ADWare.Win32.Boran.w病毒清除办法
病毒名称：not-a-virus:ADWare.Win32.Boran.w
病毒文件包括：stdup.dll stdact.dll stdplay.dll stdstub.dll stdupnet.dll stdvote.dll alsmt.exe albus.dll albus.dat alpst.dat 等等
清除办法一：
把[控制面板]-[添加/删除程序]里面的winStdup删除，然后用卡巴全盘杀毒即可。
清除办法二：
1.到C:\WINDOWS\SYSTEM32下面,将所有文件按修改日期排序,,,,,找到stdstub.dll这个文件,看其修改建立日期,然后再找到一些和它名字差不多的文件,一般都是.DLL文件,看到建立日期和那个文件一样的,全删了,大致有这些文件:
stdup.dll stdact.dll stdplay.dll stdstub.dll stdupnet.dll stdvote.dll alsmt.exe albus.dll albus.dat alpst.dat 等等,你注意看一下建立日期,如果删不掉,就用我推荐的那个工具-----unlocker
2,以上文件中,其中有albus.dll ,albus.dat这好像又是一个病毒,好像与之关联起来了.这个病毒 我好像之前有提过的,光删了albus.*文件是不行的,要删掉它的驱动文件 ,在c:\windows\system32\drivers\目录下,名為:albus.sys删掉
3.他删掉以上文件后,就到註册表里去狂搜,搜的关键值為第一步里的那些文件名字,一个一个的搜,把搜到的键值,不管是主键还是键值,全删了,到这基本上就搞定了. 註册表里的项大部分是在 :HKEY_LOCAL_MACHINE下面的SOFTWARE下有个ALBUS键,删之,还有也是在HKEY_LOCAL_MACHINE下面, 是在SYSTEM下面的CONTROLSET001和003下面的ENUM下面的ROOT下面的LEACY_ALBUS和LEACY_STDUPENT,连著主键全删了,别外再搜下,alsmt.exe 等,搜到删,不用客气,这样就应该OK了.
4.杀完后,重新啟动，病毒清除完毕。
Trojan-PSW.Win32.OnLineGames.jp病毒分析及解决办法
以下是案例SRE日志中的注册表部分，因为从完整的日志上来看，该病毒只采用了run启动项，红色标记部分为病毒项。(此案例中不仅仅有Trojan-PSW.Win32.OnLineGames.jp，还有其他病毒)
====================================================================
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<ctfmon.exe><C:\WINDOWS\system32\ctfmon.exe> [(Verified)Microsoft Corporation]
<MSMSGS><"C:\Program Files\Messenger\msmsgs.exe" /background> [(Verified)Microsoft Corporation]
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<load><> [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<IMJPMIG8.1><"C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32> [(Verified)Microsoft Corporation]
<PHIME2002ASync><C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC> [(Verified)Microsoft Corporation]
<PHIME2002A><C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName> [(Verified)Microsoft Corporation]
<NVMixerTray><"C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe"> [NVIDIA Corporation]
<nTrayFw><C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nTrayFw.exe> [NVIDIA Corporation]
<ATIPTA><"C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"> [ATI Technologies, Inc.]
<kav><"D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"> [Kaspersky Lab]
<mhs3><C:\WINDOWS\mhs3.exe> [N/A]
<msccrt><C:\WINDOWS\msccrt.exe> [N/A]
<upxdnd><C:\DOCUME~1\DANINZ~1\LOCALS~1\Temp\TIMPLATF0RM.exe> [N/A]
<wsttrs><C:\WINDOWS\wsttrs.exe> [N/A]
<wsvbs><C:\WINDOWS\wsvbs.exe> [N/A]
<UserKill><C:\WINDOWS\system32\5.exe> [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
<twin><C:\WINDOWS\system32\ctfnom.exe> [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<shell><Explorer.exe> [(Verified)Microsoft Corporation]
<Userinit><C:\WINDOWS\system32\userinit.exe,> [(Verified)Microsoft Corporation]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<AppInit_DLLs><> [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<UIHost><logonui.exe> [(Verified)Microsoft Corporation]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
<{B8A170A8-7AD3-4678-B2FE-F2D7381CC1B5}><C:\Program Files\Internet Explorer\Connection Wizard\isignup.sys> [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cmdmant]
<WinlogonNotify: cmdmant><msgcom.dll> [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\klogon]
<WinlogonNotify: klogon><C:\WINDOWS\system32\klogon.dll> [Kaspersky Lab]====================================================================
清除步骤:
1、关闭系统还原(Win2000系统可以忽略）：右键"我的电脑"—>属性—>系统还原—>"在所有驱动器上关闭系统还原" 打勾即可。
清除IE的临时文件：打开IE 点工具—>Internet选项—>Internet临时文件—>点“删除文件”按钮—>将 "删除所有脱机内容" 打勾—>点"确定"。
2、用SRE修改注册表,删除以下键：
<mhs3>
<msccrt>
<upxdnd>
<wsttrs>
<wsvbs>
<UserKill>
<twin>
{B8A170A8-7AD3-4678-B2FE-F2D7381CC1B5}
<WinlogonNotify: cmdmant>
3、显示“受保护的操作系统文件
使用unlocker删除以下文件：
C:\WINDOWS\mhs3.exe
C:\WINDOWS\msccrt.exe
C:\DOCUME~1\DANINZ~1\LOCALS~1\Temp\TIMPLATF0RM.exe
C:\WINDOWS\wsttrs.exe
C:\WINDOWS\wsvbs.exe
C:\WINDOWS\system32\5.exe
C:\WINDOWS\system32\ctfnom.exe
C:\Program Files\Internet Explorer\Connection Wizard\isignup.sys
C:\WINDOWS\system32\msgcom.dll
4、由于C:\WINDOWS\system32\ctfnom.exe驻留内存，在系统关机时能够自我恢复，故需要在C:\WINDOWS\system32\目录下建立名为ctfnom.exe的文件夹以阻止其恢复。
5、重启计算机，病毒清除完毕。
[ 本帖最后由 幸运的西瓜 于 2007-8-11 18:22 编辑 ] |
楼主
发表于 2007-8-20 14:39