如何手动清除利用了映像劫持技术的病毒
映像劫持(Image Hijack)是为一些在默认系统环境中运行时可能引发错误的程序执行体提供特殊的环境设定,在针对杀毒软件方面,OSO病毒还采用了一种新技术就是映像劫持,通过这种技术就可以将杀毒软件置于死地,以下是小编为大家搜索整理的如何手动清除利用了映像劫持技术的病毒,希望能给大家带来帮助!更多精彩内容请及时关注我们应届毕业生考试网!
最近有用户的电脑感染了病毒,开机时就会弹出若干个窗口,也无法关机,只能待内存耗尽,最后导致死机,其实他只是格式化了c分区,重装系统之后开机,还是会出现中病毒的现象。
从上述现象至少得到2个信息:1、病毒会通过自动播放传播;2、病毒可能利用映像劫持。
故障现象
检查故障机,重启时,很自然的想到启动到带命令行的安全模式。运行regedit,结果失败。msconfig一样失败。改为,同样失败,没有继续尝试改别的名字。重启电脑进普通模式,想看一下具体中毒的现象。
登录到桌面后,发现一个类似记事本的程序不停打开一个小对话框,速度很快,根本来不及关闭,任务管理器也调不出来。立即拿出我的杀毒U盘,其中常备ProcessExplorer、冰刃、Sreng。发现杀毒U盘没有正常的启动成功。双击冰刃/Sreng都宣告失败。
解决步骤
分别对将icesword和Sreng主程序改名后运行,此时,那个象记事本的病毒程序已经打开近百个对话框,系统变得很慢。在WINXP的任务栏选中这一组窗口,关闭掉,先抢占一些系统资源再说。
然后,双击U盘上的ProcessExplorer,一眼看到有记事本图标的三个进程,尝试结束其中一个,发现结束后,程序会立即重新启动。看来,直接KILL进程是不行的。结束不行,就用下冻结进程,分别选中这三个进程,单击右键,在进程属性中选择Suspend(暂停)进程,病毒就不再弹出新的对话框,杀它就容易了。(参考下图的示例:)
切换到冰刃,简单地通过进程管理,根据病毒进程的程序位置和文件名,轻松使用冰刃内置的文件管理器浏览到这几个文件,复制一个备份到桌面,再单击右键,选择强制删除。
(下图演示冰刃的.强制删除):
接下来,再切换到冰刃窗口中的注册表编辑器,浏览到HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options,逐个查看子注册表键中对应的程序名,找到另一个病毒程序。(这里要说明一下,有网友认为只需要保留Your Image File Name Here without a path子键,其它都可以删除。觉得这样做还是有风险的,谨慎的做法还是一个子键一个子键的检查,如果发现键值为病毒程序的路径时,再删除这个子键)。
同样,需要使用冰刃的文件管理器将病毒程序强制删除。这个病毒太恶劣了,我发现几乎所有的杀毒软件、防火墙、系统自带的管理工具(regedit,msconfig,cmd,任务管理器)、第三方的系统辅助工具(Sreng、autoruns、冰刃)全部被劫持。
修复注册表后,双击杀毒U盘中的毒霸,新版杀毒U盘增加了监视功能,在我点击桌面备份的那几个病毒程序时,杀毒U盘的监控立即干掉了病毒。然后打开资源管理器,浏览到其它分区根目录,杀毒U盘又把另几个分区根目录下隐藏的病毒干掉。
另类解决方案
在你没有冰刃、Process Explorer时,可以用其人之道,还治其人之身。编辑一个修改注册表的批处理脚本,把病毒程序也给加到映像劫持的清单中,如下示例:
@echo offecho Windows Registry Editor Version 5.00>cho [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options] >>cho "Debugger"="" >> (如果发现多个病毒程序,就编辑多行)rem regedit /s &del /q (如果发现多个病毒程序,就编辑多行)
重启电脑后,病毒程序也启动不了,比较毒吧,然后把注册表编辑器的程序名为其它的什么名字,双击后对注册表的HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options项进行修改。再升级杀毒软件杀毒。
总结
对普通用户来说,遇到这类对抗杀毒软件很强的病毒,实在很棘手。使用杀毒软件轻松修复的可能性很小,手工修复对普通用户来说,很有难度。
建议
1.使用组策略编辑器,关闭所有驱动器的自动播放功能(自动播放功能传播了太多的病毒)。
2.及时升级杀毒软件,防止被这类病毒袭击,中招后再去处理,需要花更多功夫。
3.一旦中毒,应立即联系专业反病毒工程师协助,重装系统不是好方法。
-
猫和无线路由器不用的时候要不要关掉
在移动互联网的时代,很多家庭都用上了宽带,无线路由器当然不可缺少。我们在家的时候,要用电脑或手机上网,自然要把路由器和猫打开,但是不在家的时候,要不要把家里的猫和无线路由器关掉呢?跟着小编一下来了解一下。我见过很多人,每天在离开家之前,都会随手把家里的所有...
-
ADSL无线路由器设置的方法
在这个全民wifi的时代,无线路由器当然成为了我们网络生活的主角,现在大家最关心莫过于路由器问题,现在小编就给大家讲一下ADSL无线路由器设置方法。DSL无线路由器设置:网卡TCP/IP协议的设置右键单击桌面上网上邻居,在弹出菜单中选择属性,出现网络对话框后,在配置标签...
-
企业局域网本地路由配置方法
为了有效提高工作效率,不少规模较大的单位把局域网按照一定的规律分成了许多不同用途的子网,下面YJBYS小编就从多个角度出发,向各位介绍一下配置本地路由的几种方法,希望这些内容能对大家带来帮助!1、用静态方式完成配置这种方式其实就是通过Windows2000系统的网络...
-
如何查看电脑无线网络密码
有时候时间久了很容易忘记电脑的无线网络密码,也就是Wifi密码,当朋友或者家人无线设备需要无线上网的时候,就要告知其密码,那么如何查看电脑无线网络密码?下面是小编为大家带来的'如何查看电脑无线网络密码的知识,欢迎阅读。方法一:直接查看电脑无线密码1、点击桌面...