目录：

• 1、杀毒软件自动关闭

杀毒软件自动关闭

别说废话`~~~~~~~ 肯定中病毒了~~~~~~~~~~

据瑞星全球反病毒监测网介绍，今日有两个病毒特别值得注意，它们是:“波特后门变种NRV(Backdoor.SdBot.nrv)”和“小木马变种IEE(Trojan.DL.Small.iee)”病毒。“波特后门变种NRV”会造成多种杀毒软件无法使用，同时修改本机配置文件，造成一些国外反病毒软件的官方网站无法访问。“小木马变种IEE”是木马下载程序，它会下载指定网址的木马病毒到本地运行。下载的木马可能会盗取用户的账号、密码等信息并发送到黑客指定的信箱中。

波特后门变种NRV(Backdoor.SdBot.nrv)” 警惕程度★★★，后门程序，通过网络传播，依赖系统:WIN9X/NT/2000/XP。

病毒启动后将自己拷贝到系统目录下，修改注册表实现开机自动运行。病毒会终止多种杀毒软件运行，造成它们无法正常使用。它会修改本机配置文件，造成一些国外反病毒软件的官方网站无法访问。同时会造成多种国外多种反病毒软件无法在线升级，使计算机的防毒能力降低，大大增加其感染其他病毒的机率。

小木马变种IEE(Trojan.DL.Small.iee)”病毒:警惕程度★★★，木马病毒，通过网络传播，依赖系统:WIN9X/NT/2000/XP。

病毒运行后将自身复制到系统目录中，并修改注册表实现开机自动运行。病毒会关闭多种反病毒软件，造成这些软件无法正常使用。它会自动从黑客指定的网站下载病毒及木马文件并运行。这些下载的病毒及木马可能会盗取用户的账号及密码等个人信息并发送给黑客。

反病毒专家建议:建立良好的安全习惯，不打开可疑邮件和可疑网站;关闭或删除系统中不需要的服务;很多病毒利用漏洞传播，一定要及时给系统打补丁;安装专业的防毒软件进行实时监控，平时上网的时候一定要打开防病毒软件的实时监控功能。

1、病毒是一个8位随机数组成的（0—F），其实是本身机子的机器码。运行后释放同名的Dll文件，设置系统全局挂勾。后枚举进程，插入TIMPlatform.exe和Explorer.exe进程（如果有）

)^;F'Q+~5\a'M0Dll的文件在C:\Program Files\Common Files\MicrosoftShared\MSInfo\下，目录下还有个同名的dat文件```

\%~9`v ];Do0

bXz}'_r1c)adUY2Q6b Z02、插入进程的随机8位数.dll检测窗口句柄，并关闭列入病毒名单的“关键字”一些冷门的工具也不放过`````

e0G*^){.?]] X0

E"Jc ~ rL03、修改IFEO重定向劫持，指向的是：C:\Program Files\Common Files\MicrosoftShared\MSInfo\的Dat文件。

y![(O(^c??1b0广西阿锟网;T ok,[%X0GD

4、破坏安全模式和显示隐藏文件，达到自身防护的目的。广西阿锟网8~9Hh M Mi Q

广西阿锟网WZi.G~"\x$}

5、释放一个Dl1.exe，创建远程线程并调用IE下载木马，下载其他病毒文件。广西阿锟网/I'@3k6~kC*T E y

(~ ms ~/W/v2]i06、（遍历）每个分区，在根目录下生成Autorun.inf和随机8位的EXE，达到双击硬盘激活病毒。广西阿锟网'`9B5_;@#I I

Autorun.inf内容为：

.lw7`%`lL0[AutoRun]广西阿锟网2oK#E4_y.u6K

open=随机8位数.exe

8{\M|Q dQr VD$z0shell\open=打开(O)广西阿锟网gst!KL%wS

shell\open\Command=随机8位数.exe

1a-?KO,Z0shell\open\Default=1

D#i\r'c bZp!C aW0shell\explore=资源管理器(X)

3v\(RF!}6TVY0UV0shell\explore\Command=随机8位数.exe广西阿锟网"M fna ZQ\-T^

E.^(M r i1[/ME07、依附宿主的随机8位Dll每隔一段时间刷新，检测自身释放的“同党”和修改的注册表项，如果被修改和删除的话即使其恢复。并监视移动介质盘插入，支持U盘传播

%X W2J/Ucu3`7UI0

'H8m x0u9C08、修改安全工具（杀软）服务和驱动的启动类型，设置为禁用，并删除其RUN启项，最后还挂了系统自带的防火墙广西阿锟网D`/q,h"|vY)n

广西阿锟网,iI@_ jxk#h

9、用安全工具（如果能打开）检测宿主模块时，那么它则卸掉自身，安全工具退出（关闭）时，重新注入。广西阿锟网s5g+xW7BO3U

1cda:Q`` YC010、"病毒版本"：在C:\Program Files和C:\WINNT\system32\DirectX，释放一个.ini的文本，里面生成病毒的版本``如：生成的是525，也就是5.25日更新的版本。

/}w }W6gl2h0广西阿锟网6B'F4D5q0L

11、局域ARP挂马````比较“旁门”的技术（开始有点佩服作者）由外部下载的病毒ycnt9.exe，释放的win1ogo.exe，由它监听局域，每5秒刷新从自身机子（被感染的）经过的ARP数据包，并插入一短Js代码，嗅探范围：192.168.0.1 -192.168.0.254，这意味着经过该被感染机子的数据包返回时，是一段被挂马的数据包！！！说简单点就是你浏览的所有网页上都有病毒。后来我点 入该网址，是个MD5一样的8位随机病毒，呵呵，病毒名字为“hello.exe”。广西阿锟网-[B4jz%_+oj0v Y;o2n

这可比访问局域穷举猜口令轻松多了，这也是我佩服作者的地方。广西阿锟网3^L c%f4fO/w

)Iu'|X(Xe W;q012、常驻进程的随机8位数.dll每毫秒刷新，尝试拦截FindWindowExA、mouse_event等信息函数，修改映像命令，发送“假情报”`````向瑞星注册表监控捕捉发送“允许”命令`（不经过用户操作）``广西阿锟网 h `a4Ui

Vf:v8t ax+T;cK0【解决方法】广西阿锟网_4l~ wc8P U`.M

看清了以上的原由后，就有合理的思路啦。广西阿锟网1jJ SZ9C

广西阿锟网wO(rJ3_0X?x

其实思路就是去dos解决它。广西阿锟网(\ d-n!P?%gK'd-E

进入dos后，由于各分区都有这个病毒，就用edit命令编了个小的批处理文件，把它们一次过删掉。

Ga6xy-D f;K-u0此处要注意的是，因为病毒文件是系统属性、隐藏属性，再加上在windows中根本没法用正常方法看清其面目（就算用winrar也看不到，它反应很快），所以你只能在dos下看清楚了。。要做的是，先用attrib命令将各区根目录下的属性全部改为A，命令是： attrib －s －h －r *.* 。这样才能用批处理删的掉。广西阿锟网{E%h5j1e

广西阿锟网:i}3Y;H5Ne B#X{

然后进入以下目录去清理：（F2104F30.exe只是我的电脑中毒名字，换成你们电脑中的名字就是啦）广西阿锟网p;erD B4B+W dj.y

T5T\N w#{@0c:\windows\F2104F30.hlp 44(左右)广西阿锟网Z }I:e0c It

c:\WINDOWS\Help\F2104F30.chm 36,659(左右)

R"o3NTP%^d9P0c:\Documents and Settings\Admin\Local Settings\Temp\F2104F30.exe 36,659(左右)

`mw yK}sp.s*F0 还有个DL1.exe，记住啊！

O)e|KzT^0c:\Program Files\Common Files\Microsoft Shared\MSInfo\F2104F30.dll 47,923(左右)广西阿锟网K/kF.d{!k@;s

c:\Program Files\Common Files\Microsoft Shared\MSInfo\F2104F30.dat 36,659(左右)

Dok j$D1@#C [Jr8~0其它所有分区:\autorun.inf 172(左右)广西阿锟网%E{ \ ` L!^%L/M

其它所有分区:\F2104F30.exe 36,659(左右)

+U"M/D.|:i0广西阿锟网$Q!Y2jA}z

清理完后重启。广西阿锟网b9f B[3A

-xQum L so[ ^,v9T7O!S,b0进了windows之后，稳妥起见，打开所有分区和文件夹都用——右键——打开 的模式。。如果你有分区是NTFS格式的，这时就可以利用winrar的浏览功能，查找到此分区根目录下的病毒文件了，在winrar里将其一一删除就是。。广西阿锟网f3j!? y6a/`P

广西阿锟网3oew R;R+RY [

最后嘛，就是去注册表了啊，把所有找到的跟F2104F30有关的键值去掉，就ok啦。。。

1、病毒是一个8位随机数组成的（0—F），其实是本身机子的机器码。运行后释放同名的Dll文件，设置系统全局挂勾。后枚举进程，插入TIMPlatform.exe和Explorer.exe进程（如果有）

)^;F'Q+~5\a'M0Dll的文件在C:\Program Files\Common Files\MicrosoftShared\MSInfo\下，目录下还有个同名的dat文件```

\%~9`v ];Do0

bXz}'_r1c)adUY2Q6b Z02、插入进程的随机8位数.dll检测窗口句柄，并关闭列入病毒名单的“关键字”一些冷门的工具也不放过`````

e0G*^){.?]] X0

E"Jc ~ rL03、修改IFEO重定向劫持，指向的是：C:\Program Files\Common Files\MicrosoftShared\MSInfo\的Dat文件。

y![(O(^c??1b0广西阿锟网;T ok,[%X0GD

4、破坏安全模式和显示隐藏文件，达到自身防护的目的。广西阿锟网8~9Hh M Mi Q

广西阿锟网WZi.G~"\x$}

5、释放一个Dl1.exe，创建远程线程并调用IE下载木马，下载其他病毒文件。广西阿锟网/I'@3k6~kC*T E y

(~ ms ~/W/v2]i06、（遍历）每个分区，在根目录下生成Autorun.inf和随机8位的EXE，达到双击硬盘激活病毒。广西阿锟网'`9B5_;@#I I

Autorun.inf内容为：

.lw7`%`lL0[AutoRun]广西阿锟网2oK#E4_y.u6K

open=随机8位数.exe

8{\M|Q dQr VD$z0shell\open=打开(O)广西阿锟网gst!KL%wS

shell\open\Command=随机8位数.exe

1a-?KO,Z0shell\open\Default=1

D#i\r'c bZp!C aW0shell\explore=资源管理器(X)

3v\(RF!}6TVY0UV0shell\explore\Command=随机8位数.exe广西阿锟网"M fna ZQ\-T^

E.^(M r i1[/ME07、依附宿主的随机8位Dll每隔一段时间刷新，检测自身释放的“同党”和修改的注册表项，如果被修改和删除的话即使其恢复。并监视移动介质盘插入，支持U盘传播

%X W2J/Ucu3`7UI0

'H8m x0u9C08、修改安全工具（杀软）服务和驱动的启动类型，设置为禁用，并删除其RUN启项，最后还挂了系统自带的防火墙广西阿锟网D`/q,h"|vY)n

广西阿锟网,iI@_ jxk#h

9、用安全工具（如果能打开）检测宿主模块时，那么它则卸掉自身，安全工具退出（关闭）时，重新注入。广西阿锟网s5g+xW7BO3U

1cda:Q`` YC010、"病毒版本"：在C:\Program Files和C:\WINNT\system32\DirectX，释放一个.ini的文本，里面生成病毒的版本``如：生成的是525，也就是5.25日更新的版本。

/}w }W6gl2h0广西阿锟网6B'F4D5q0L

11、局域ARP挂马````比较“旁门”的技术（开始有点佩服作者）由外部下载的病毒ycnt9.exe，释放的win1ogo.exe，由它监听局域，每5秒刷新从自身机子（被感染的）经过的ARP数据包，并插入一短Js代码，嗅探范围：192.168.0.1 -192.168.0.254，这意味着经过该被感染机子的数据包返回时，是一段被挂马的数据包！！！说简单点就是你浏览的所有网页上都有病毒。后来我点 入该网址，是个MD5一样的8位随机病毒，呵呵，病毒名字为“hello.exe”。广西阿锟网-[B4jz%_+oj0v Y;o2n

这可比访问局域穷举猜口令轻松多了，这也是我佩服作者的地方。广西阿锟网3^L c%f4fO/w

)Iu'|X(Xe W;q012、常驻进程的随机8位数.dll每毫秒刷新，尝试拦截FindWindowExA、mouse_event等信息函数，修改映像命令，发送“假情报”`````向瑞星注册表监控捕捉发送“允许”命令`（不经过用户操作）``广西阿锟网 h `a4Ui

Vf:v8t ax+T;cK0【解决方法】广西阿锟网_4l~ wc8P U`.M

看清了以上的原由后，就有合理的思路啦。广西阿锟网1jJ SZ9C

广西阿锟网wO(rJ3_0X?x

其实思路就是去dos解决它。广西阿锟网(\ d-n!P?%gK'd-E

进入dos后，由于各分区都有这个病毒，就用edit命令编了个小的批处理文件，把它们一次过删掉。

Ga6xy-D f;K-u0此处要注意的是，因为病毒文件是系统属性、隐藏属性，再加上在windows中根本没法用正常方法看清其面目（就算用winrar也看不到，它反应很快），所以你只能在dos下看清楚了。。要做的是，先用attrib命令将各区根目录下的属性全部改为A，命令是： attrib －s －h －r *.* 。这样才能用批处理删的掉。广西阿锟网{E%h5j1e

广西阿锟网:i}3Y;H5Ne B#X{

然后进入以下目录去清理：（F2104F30.exe只是我的电脑中毒名字，换成你们电脑中的名字就是啦）广西阿锟网p;erD B4B+W dj.y

T5T\N w#{@0c:\windows\F2104F30.hlp 44(左右)广西阿锟网Z }I:e0c It

c:\WINDOWS\Help\F2104F30.chm 36,659(左右)

R"o3NTP%^d9P0c:\Documents and Settings\Admin\Local Settings\Temp\F2104F30.exe 36,659(左右)

`mw yK}sp.s*F0 还有个DL1.exe，记住啊！

O)e|KzT^0c:\Program Files\Common Files\Microsoft Shared\MSInfo\F2104F30.dll 47,923(左右)广西阿锟网K/kF.d{!k@;s

c:\Program Files\Common Files\Microsoft Shared\MSInfo\F2104F30.dat 36,659(左右)

Dok j$D1@#C [Jr8~0其它所有分区:\autorun.inf 172(左右)广西阿锟网%E{ \ ` L!^%L/M

其它所有分区:\F2104F30.exe 36,659(左右)

+U"M/D.|:i0广西阿锟网$Q!Y2jA}z

清理完后重启。广西阿锟网b9f B[3A

-xQum L so[ ^,v9T7O!S,b0进了windows之后，稳妥起见，打开所有分区和文件夹都用——右键——打开 的模式。。如果你有分区是NTFS格式的，这时就可以利用winrar的浏览功能，查找到此分区根目录下的病毒文件了，在winrar里将其一一删除就是。。广西阿锟网f3j!? y6a/`P

广西阿锟网3oew R;R+RY [

最后嘛，就是去注册表了啊，把所有找到的跟F2104F30有关的键值去掉，就ok啦。。。