“磁碟机(又名“千足虫”)”病毒症状和查杀方法
   颁布日期:2008年03月25日   来源:信息办、信息中心

病毒档案


中文名:“磁碟机”变种cb
        (Win32/Kdcyy.cb)又名“千足虫”
英文名:Trojan/Agent.pgz
病毒类型:木马
危害等级:★★★
影响平台:Win9X/ME/NT/2000/XP/2003

    病毒运行后会在每个磁盘下生成pagefile.exe和Autorun.inf文件,并每隔几秒检测文件是否存在,修改注册表键值,破坏“显示系统文件”功能。每隔一段时间会检测自己破坏过的显示文件、安全模式、Ifeo、病毒文件等项,如被修改则重新破坏。病毒执行后,会删除病毒主体文件。同时病毒会监控lsass.exe、smss.exe、dnsq.dll文件,如果假设不存在的话则重新生成。当拷贝失败后,病毒会调用rd /s /q命令删除原来的文件,再重新写入。病毒会连接恶意网址下载大量木马病毒。

    病毒会感染系统可执行文件,能够利用多种手段终止杀毒软件运行,并可导致被感染计算机系统出现蓝屏、死机等现象,严重危害被感染计算机的系统和数据安全。与其它关闭杀毒软件的病毒不同的是,该病毒利用了多达六种强制关闭杀毒软件和干扰用户查杀的反攻手段,许多自身保护能力不够强壮的杀毒软件在病毒面前纷纷被折。

 

如何判断电脑已感染“磁碟机”病毒?

 

  1.       某些常用安全软件打不开,打开后立即被关闭,或者打开后有被“分尸”的现象,这是由于病毒不断向这些软件发送垃圾消息导致他们不能响应正常的用户指令导致。

 

 
  Icesword被破坏
 

 
Sreng被破坏
 
  2.安全模式被破坏。用户试图进入安全模式时,显示的是蓝屏,这是由于病毒删除了与安全模式相关的注册表键导致
 

 
  3.无法正常显示隐藏文件,且工具-文件夹选项下的“隐藏受保护的操作系统文件”一项被破坏。
  
  

 

 
  4.打开任务管理器,会发现两个lsass.exe和两个smss.exe进程
 

 
  5.使用Winrar浏览windows32\Com目录下可以发现如下病毒文件
%systemroot%\system32\com\lsass.exe
%systemroot%\system32\com\smss.exe
%systemroot%\system32\com\netcfg.dll
%systemroot%\system32\com\netcfg.000
 

 
  各盘根目录下有pagefile.pif和autorun.inf文件
 

 
  系统目录下存在dnsq.dll文件
 

 

“磁碟机”病毒查杀方法

 

”中毒之后,会强行关闭多种主流杀毒软件和安全工具,使其无法正常运行。您可以通过以下两个步骤清除病毒:

    步骤一:从瑞星网站下载安全环境恢复工具进行全盘扫描。该工具会清除掉病毒释放的文件,使系统环境恢复正常。

    步骤二:重新安装原有的杀毒软件,或者下载安装免费的瑞星杀毒软件2008,升级到最新版本后对电脑进行彻底查杀,从而可以清除该病毒。

如果不行的话可以链接 http://kad.www.duba.net/down/DubaTool_AV_Killer64.com  或 http://download.jiangmin.info/jmsoft/killvirus.rar

Copyright © 2011 厦门理工学院信息办、信息中心版权所有
地址:福建省厦门市集美区理工路600号 | 邮政编码:361024 | 电话:0592-6291559 0592-6291018 | 传真:0592-6291016