|
| 关于”msn.com、msn.dll“木马解决方法 |
| 作者 网络vs浪子 查看 2360 发表时间 2006/9/9 03:02 【论坛浏览】 |
|
这个木马还真有点BT，如果你先修复它所修改的“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon”的"Userinit"="C:\WINDOWS\system32\userinit.exe,,C:\Program Files\winrar\msn.com";就会出现重新启动后，即出现不能进入系统的情况，具体现象为输入用户名和密码，登录后立即注销，再次输入登录则再次注销，如此循环下去。安全模式依然如此！还有就是你的WINRAR解压缩文件没默认安装或没安装就可能不会中此病毒！lgyanze 瑞星报为“Trojan.DL.Delf.czg”诡秘下载者，但偶觉得这是一个变种下载者～lgyanze lgyanze lgyanze 如出现自动注销问题请参考：http://www.20lz.com/Show.asp?id=1805&BoardID=10&TB=1lgyanze lgyanze 查杀方法！lgyanze lgyanze 打任务管理器（Ctrl+Alt+Delete）结束“explorer.exe”进程，这时桌面没有了，然后依次打开“文件－新任务运行－浏览”找到以下可能存在的文件，右击删除！lgyanze lgyanze lgyanze 具体请看二楼！[/COLOR]lgyanze lgyanze lgyanze Re:关于”msn.exe、msn.dll“木马解决方法lgyanze 关于这个病毒，今晚偶再次测试了一下终于发现了这么多文件！lgyanze lgyanze 首先偶运行样本里的KKK.EXE，生成如下文件：lgyanze C:\Program Files\WinRAR\msn.comlgyanze C:\Program Files\WinRAR\msn.dlllgyanze C:\Program Files\WinRAR\internat1.exelgyanze C:\Program Files\WinRAR\internat5.exe （自我删除了）lgyanze C:\Program Files\WinRAR\1.txtlgyanze C:\Program Files\WinRAR\2.txtlgyanze lgyanze %WINDIR%\system32\integer.exelgyanze %WINDIR%\system32\explore.exelgyanze %WINDIR%\system32\myrx.dlllgyanze %WINDIR%\system32\myztr.dlllgyanze lgyanze 并修改注册表lgyanze [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]lgyanze "Userinit"="c:\windows\system32\userinit.exe,,C:\Program Files\WinRAR\msn.com"lgyanze lgyanze 也可能在[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]添加两个键值，lgyanze lgyanze "rx"="C:\WINDOWS\system32\explore.exe"lgyanze lgyanze "zt"="C:\WINDOWS\system32\integer.exe"lgyanze lgyanze lgyanze 并在电脑共享文件夹内根下生成“_desktop.ini”文件（所有的目录都有）！lgyanze lgyanze lgyanze 手工完全查杀方法！lgyanze lgyanze 断网，lgyanze （1）打开任务管理器(Ctrl+Alt+Delele)结束Explorer.exe，这时桌面没有了，点文件－新任务运行－浏览！（记住文件类型要选为所有文件！）lgyanze （2）删除以上文件！并清空IE临时文件夹！（因为它在%USERPROFILE%\admin\Local Settings\Temporary Internet Files\Content.IE5\KLI7O1U3\文件夹内也生成了几个文件，可能是自我删除了，不过清空一下比较安稳~_~）lgyanze 并再运行一下Explorer.exelgyanze （3）然后打开CMD命令行（开始－运行－cmd.exe），cd 到C:\Program Files\目录下，输入 attrib -s -h winrarlgyanze 重启电脑[/COLOR]lgyanze （4）修复注册表，（开始-运行-regedit），打开到“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”lgyanze 在右边的窗口找Userinit，右击把它的值改成“c:\windows\system32\userinit.exe,”（就是去掉后面的“,C:\Program Files\WinRAR\msn.com”！并删除以上说的两个键值～lgyanze 看你是否有共享目录，去目录根下删除“_desktop.ini”（隐藏、系统文件！搜索不到的，用偶们的眼睛去找了-_-，记住是所有目录，里面的内容是日期，比如2006/9/10这样的，可能会让你的打印机自动打这些内容！！或者把以下命令保存为.bat文件运行更简单：lgyanze @echo offlgyanze echo 清除_desktop.ini文件开始lgyanze del c:\_desktop.ini /s /f /q /algyanze del d:\_desktop.ini /s /f /q /algyanze del e:\_desktop.ini /s /f /q /algyanze echo 清除完毕，按任任意键退出&pauselgyanze exitlgyanze [有几个盘自已加上，如果你没有使用共享，直接再exit前面再加上一句 net stop Server）lgyanze lgyanze lgyanze 这样就算杀毒成功啦！！ |
| 序号 | 评论者 | 共有评论 4 【论坛浏览】 【发表评论】 | 评论时间 |
| 1 | 爱丽舍 | 回复:关于”msn.exe、msn.dll“木马解决方法 莫非现在有用户出现的启动--重启---重启，就是这个原因 |
2006/10/7 05:47 |
| 2 | 飘摇3616 | 回复:关于”msn.exe、msn.dll“木马解决方法 确实如此.如果你的系统已经出现反复注销的情况，请使用ghost备份进行回复。如果之前没有做备份，请进入纯DOS模式下从安装盘里恢复该文件，命令如下。其中x:为你光驱的盘符。 copy x:\i386\userinit.ex_ c:\windows\system32\userinit.exe /y 如果恢复该文件并不能解决问题，请检查是否有备份的注册表文件，如果有的话在DOS下恢复注册表，实在不行覆盖安装系统，可在不损失任何数据的基础上解决该问题。 |
2006/10/10 06:52 |
| 3 | 爱丽舍 | 回复:关于”msn.exe、msn.dll“木马解决方法 dos下如何恢复注册表呢，什么命令？印象中dos下是不能打开注册表 |
2006/10/14 18:28 |
| 4 | 罂粟摇曳 | 回复:关于”msn.com、msn.dll“木马解决方法 现在病毒这么多 偶上来一会就要切断一会.怕啊~ |
2006/10/17 04:14 |
共有评论数 4 每页显示 10
|
|||
