|
|
沙发
楼主 |
发表于 2011-7-27 14:25:00
|
只看该作者
如何手工查杀jwgkvsq.vmx
如何手工查杀jwgkvsq.vmx
3 \' U, R' Y. B& A" }$ `. C) q
' | X1 N. Y# l; U' g: l6 T现在网络盘病毒横行，即使是在不能连入互联网的上课机房也难遭侵害。最近我就发现了一种U盘病毒jwgkvsq.vmx 。同业MQ7 I8 Z. e1 s0 A, s; B6 J; b
症状0 Q$ {: o, N) T
种了jwgkvsq.vmx毒后，移动存储设备的图标会变成文件夹的图标而不是硬盘的图标。各盘符下会生成如下图的两个文件。而且会修改注册表使系统不能显示隐藏文件。
6 X8 G( i% K! Q- b
, K9 U: t& O0 K随州旅游景点大全9 I! z- C( H6 q0 o6 i( W/ O
西安旅游景点大全
) m0 n t& @6 D4 x* H/ k7 p清除方法& i% {7 N: ^0 Q' p
1、在“开始”、“运行” 输入“regedit” 打开注册表编辑器依次打开
9 s) c: U9 C, ^5 N5 J$ |1 Q[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] 到右侧，右击把CheckedValue值修改为1。7 Z: ?6 Y$ x# j o5 H5 e8 B2 J" J
然后在打开资源管理器在“工具”->“文件夹选项” ->“查看” 选上"显示所有文件和文件夹" ，并把“隐藏受保护的操作系统文件” 前面的点点掉，这样就- ] @6 g, L0 }+ `6 j, P" o8 K1 ^
2 K/ ]* \6 @ t4 r
杭州旅游景点" t8 w2 ]0 j ]4 v! Y& I
杭州旅游景点介绍/ a3 O4 M/ p; g. g' D
可以看到隐藏文件了。/ e- R" b$ X _* V" R
2、在注册表里发现该回收站的SID（HKLM_Software_Microsoft_Windows_CurrentVersion_InstallerUserData），
n, V3 d/ e! q7 v- c8 v里面有一项值，写着c:\window\system32\mmutspxi.dll。利用命令attrib将该文件属性去掉（具体方法打开cmd,进入 c:\window\system32,然后输入attrib
; B9 Z4 \! s6 ?7 M, L0 Ammutspxi.dll -a -s -r -h ），删除源文件，并将注册表中相关的信息删除。重启计算机。由于该病毒加载项被清除，病毒已经无法进行启动加载，此时，清除各盘中的RECYCLER及 autorun.inf后，病毒不会被重写入U盘。说明：若不显现隐藏文件，RECYCLER、autorun.inf、mmutspxi.dll这三个文件是看不到的，而且看清楚了是RECYCLER不是RECYCLED，RECYCLED是回收站，而RECYCLER打开里面是文件夹S- 5-3-42-2819952290-8240758988-879315005-3665，再打开就是病毒的
- I3 R0 Z9 |1 ~5 h" C2 {宁波旅游景点介绍8 O; f) j5 n6 ]" z6 a" V0 ]
济南旅游景点大全2 U0 v& l# w: ?; b3 I3 U& B/ q0 M6 @
铜川旅游
% l0 B0 P$ k3 k原体了jwgkvsq.vmx，由于后缀名 vmx我不了解，要是exe，dll我就进行解剖了。 实际上后来查了发现此病毒名字（指的是释放后的DLL病毒）是随机产生的。想
# }7 P8 y6 b" C1 D' c Z要找此病毒只要根据时间搜索就可以了，你双击盘时间跟c:\window \system32里新产生的文件一样，而且是隐藏只读就基本是病毒了。当然最好先备份一份并压
2 x- a8 l9 {- {; Q/ H* J8 T缩好。! a3 `$ M0 F& W4 h# d, |" D; ?
当然要是闲手工杀毒麻烦，那就用专杀工具吧！http:///www.xker.com/plus/download.php?open=0&aid=73942&cid=38 ]. t% |3 O* x" c
jwgkvsq.vmx病毒利用了微软的“MS08-067”漏洞下载KB958644补丁安装补丁重启以后，删除U盘autorun.inf文件和RECYCLER文件夹后，系统不再自动复制5 B5 U" }) |& L/ \
autorun.inf文件和RECYCLER文件夹到U盘。
" R& r$ [. A2 G& q9 r$ q下载地址http:///download.microsoft.com/download/a/5/f/a5fcaabe-ff81-4d4f-972e-865bdc60dcbf/WindowsXP-KB958644-x86-CHS.exe。
7 d# m R+ c8 j6 ?0 b2 I- J付：在国内网站找了半天也没有发现什么病毒描述的信息，到国外网站找到一点描绘信息由于英语水平有限大家将就着看下译文为：利用一个在视窗
- V9 n+ Y8 R* k" d w9 A上海旅游景点推荐
. y9 i: X8 f1 d3 `9 v9 p2 s" ~上海到云南旅游& T' P8 b1 C* h( `* l/ l; ]& a
上海自助游
# T+ B8 a& s. y3 j4 E(http:///www.microsoft.com/technet/security/bulletin/ms08-067.mspx) 中安全洞来关于网络传播它自己，在感染一台机器之后,Confi随着一任意行动地产生. z* v3 B% m2 n, ?. _* q! ]
名字建立一服务和设法感染在同局域网中其它电脑.它也把它自己投到任何把插入感染机器可移动的媒体(通用串行总线)里。当利用邻近的电脑的尝试失败的时候
/ y1 g0 j. V, j6 l
$ f3 U) N: K5 `* [6 r上海周边游; F' K2 _, x- a# p$ X
上海旅行社3 E3 V: t/ q' y- D) K
上海景点大全3 O* K0 H/ ~/ a2 r' }( A% y! I, O
，蠕虫运作一次蛮力-对软弱密码的攻击，因为蠕虫从它的文件去除权利和所有权,在 Win32:Confi文件之上Filesystem运算对于共用用户是并非容易接近的。
5 x; [! J7 |$ ~$ e/ o" w原文为0 p. g( ^7 A$ n5 _: q( I
Description
" k. m8 J) ]8 i2 Z4 sWin32:Confi exploits a security hole in Windows (http:///www.microsoft.com/technet/security/bulletin/ms08-067.mspx ) to propagate itself over
~, Q* A q% E- b) U: {# vnetworks. After infecting a machine, Confi creates a service with a randomly generated name and tries to infect other computers in the same, j+ B5 P. A1 f/ X2 z
subnet. It also drops itself into any removable media (USB sticks) plugged into the infected machine. When the attempt to exploit; d0 V; A! _0 O4 L$ T
neighbouring computers fails, the worm runs a brute-force attack against weak passwords. Filesystem operati above the Win32:Confi files6 W. J0 q4 I$ K) T" p+ H, j2 Z
are not accessible for common users (not even for administrators), because the worm removes the rights and ownership from its files.% w6 a" \6 W3 \; }0 |' p
运行原理2 g# z/ C" c* b
其实只要没有运行病毒，对付U盘病毒的是很轻松。我先简单说下U盘病毒运行原理：首先病毒由两部分组成，) L. e% [# U4 r( j/ C& e
1、配置文件，也就是autorun.inf，导致双击盘符就运行病毒的原因这个文件以前主要用于光盘的自启动，但是现在普遍用于U盘病毒，要是autorun.inf里面的
( i% i" r: I, E9 q4 ^8 N' p. H内容没有用混乱代码工具混乱过，打开通常是下面内容：
9 b0 O& p' O9 P$ u; [[autorun]
5 t; w$ W2 {4 m1 g% i8 G+ nOPEN=可执行文件.exe
P* L- C L) H% V) X0 vICON=相关的图标文件.ico
( W/ _* o% s# K9 _ y, \最关键的是autorun.inf文件是可以被用于硬盘驱动器上的，也是就是说把光盘内容全部复制到硬盘根目录下，双击该盘符，文件就自动运行了，所以被广泛用于U盘病毒上。( d, x) ^1 B" y) C' p
北京旅行社; y7 i4 v: k. r9 d5 g0 p+ V2 y6 E: c
北京114/ L' `0 \# K! G! l1 E- ~
2、病毒的安装文件，通常是exe程序，但是也有另外，比如上面所说的就是vmx文件。一旦运行病毒通常就会释放到c:\windows\system32 或者直接就在windows7 z. s7 X8 a5 ^/ U
下，让后对autorun.inf和原安装程序形成保护，一旦发现被删又马上重新生成。) w4 E/ Z% T8 B! g
防范
7 ~5 ?3 l, j& d1 v9 u- l0 f 不让U盘病毒运行最简单方法，右击打开U盘，不要双击打开，最好是在资源管理器输入盘符，右击打开也是有一定可能性运行，原因具体详见
5 g g( I- H- S4 W. [1 N3 ?; c3 t# Z9 m% I
北京自助游
" Z# P) V. ?' [% V( D# d北京周边旅游景点大全2 [- |9 a$ D" X; i1 H8 `
北京旅游信息) ]4 x) i/ w8 u4 i
http:///bbs.antidu.cn/thread-14350-1-1.html 这就不做讨论了。病毒通常是隐藏的，所以建议显示隐藏文件，发现可疑文件及时删除。打开资源管理器在
. r' k) m' H$ C9 O“工具”->“文件夹选项” ->“查看” 选上"显示所有文件和文件夹" ，并把“隐藏受保护的操作系统文件” 前面的点点掉，这样就可以看到隐藏文件了。还
" g: F8 x! C+ n: T9 c( |有下个U盘免疫软件，这样能就有效的防治不小心运行U盘病毒，其实也就是在各盘符下建个windows不访问文件夹autorun.inf。由于不可访问，病毒的7 p! I/ d5 V l7 a# }# V/ j
autorun.inf就无法把文件夹autorun.inf替换掉，也就是无法自动运行病毒原安装程序了。 |
|
|申请友链|手机版|华讯行业网
( 桂B2-20030027 ) 
窥视卡
雷达卡
发表于 2011-7-27 14:19:00
QQ好友和群
QQ空间
腾讯微博
腾讯朋友
收藏
转播
分享
淘帖
支持
反对
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
千斤顶
显身卡