今天剛剛中毒了，簡單分析一下！
本帖最后由 happyzcq911 于 2010-9-28 14:57 编辑剛在壇里闲逛！ 点了一下 会员xxx 的 签名 打开一个网站 恶梦 开始啦！
只见NOD32弹出病毒 提示！心想 已经拦截到了 就没管它 ，哎
不到 10秒 NOD32 关闭 中招！
先讲下 中毒的 的一些 症状！
1. 对 系统做 镜像挟持 所有安全 软件 一律 干掉了
Windows Registry Editor Version 5.00
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
"Debugger"="ntsd -d"
还删除不少时间关系 要下班了 ，下午再来！
我們繼續！
2. 運行后感染 D:\ 所有 .EXE 文件（有几个 却没有被感染 xue TR RADMIN )我的E盘野没事（這作者 和D盤 有仇？？？不解）
3.在C盤 開始菜單啟動目錄中 加入一個 desktop.ini.exe 文件 rar 自解压文件 里面 一个 host 文件
内容如下：
74.82.186.142 www.taobao.com
74.82.186.142 taobao.com
74.82.186.142 mall.taobao.com
74.82.186.142 lady.taobao.com
74.82.186.134 www.xunlei.com
74.82.186.134 xunlei.com
74.82.186.134 www.dygod.net
74.82.186.134 dygod.net
74.82.186.134 www.m1905.com
74.82.186.134 m1905.com
74.82.186.134 www.tom365.com
74.82.186.134 tom365.com
74.82.186.134 www.pipi.cn
74.82.186.134 www.funshion.com
74.82.186.134 www.3edyy.com
74.82.186.134 www.y80s.com
74.82.186.134 www.y80s.cn
74.82.186.134 www.a67.com
74.82.186.134 www.qiyi.com
74.82.186.134 www.hao3gp.com
74.82.186.134 www.22mp4.com
74.82.186.134 www.youku.com
74.82.186.134 www.chinafilm.com
74.82.186.134 www.360.cn
74.82.186.134 360.cn
74.82.186.134 www.56.com
看来 这家活 野心不小，盯上 淘宝了。
4.在 D盘 释放 AUTORUN.INF 和 SYSTEM.EXE 这两个文件 作用 就不需要在讲了了吧。
在 中毒 把它 压缩 高手 可以 研究下 （貌似 是用易语言 写的）
NOD32能杀得到的
5这是 最主要的 一个文件一个 .SYS 驱动文件。释放到SYSTEM32目录
这个文件 我用 xue trWSYSCHECK.EXE WS 能查出来 但是 始终没办法 删除 这个 .sys 驱动
期间 我用 WS 强制 卸载结果 蓝屏了。马上 换 XUE TR 上场这回 点 卸载并删除 顺利KILL 掉了
（PS：这里再次感谢 XUE Tr 的 作者。提供这么强大的工具 这病毒居然没把它 感染。。。嘿嘿：）
再看看 nod32 拦截的 网马 地址：如图
好了 这个 驱动 已删除重启 我的 NOD32 终于出来了 ， 到此 手动 杀毒完毕。
本人才疏学浅 只能分享一下 手工杀毒的 过程 各位 高手请勿见笑！
为了保险起见下午 还是还原了 系统呵呵！ Windows注册表编辑器5.00版
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
“调试”=“的NTSD - D”的
想不到你这么的不幸，节哀顺变 :lol哈哈 你牛B啊 :curse:谁的签名，怎么不说出来 回复 2# qin2556130
:funk:eweqw 你只是怎么搞的啊 回复 5# hanchaoxx22b
不是我不想 說出來 是不記得 是那個了啊，剛翻遍了坛子 也没看到！ = =那他的签名是写什么的本来。。 記得 一點 好像 寫的 是各大論壇 開放註冊 那个我记得写的不是吾爱论坛开放注册吗- -