"鬼影"病毒入侵原理與感染后可能出現(xiàn)的癥狀(2)

　　“鬼影”病毒入侵后，會(huì)釋放驅(qū)動(dòng)程序改寫硬盤MBR(主引導(dǎo)記錄)，驅(qū)動(dòng)程序在開機(jī)過(guò)程中攻擊眾多殺毒軟件，令殺毒軟件失效，再下載傳統(tǒng)的AV終結(jié)者木馬下載器，最終目的依然是通過(guò)傳播盜號(hào)木馬，竊取用戶虛擬財(cái)產(chǎn)牟利。中毒后，最直觀的現(xiàn)象是安全軟件無(wú)法正常運(yùn)行，電腦明顯變慢，IE主頁(yè)被改。

　　電腦感染后可能出現(xiàn)的癥狀

　　1、電腦非常卡，操作程序有明顯的停滯感，常見殺毒軟件無(wú)法正常打開，同時(shí)發(fā)現(xiàn)反復(fù)重裝系統(tǒng)后問(wèn)題依舊無(wú)法解決。

　　2、系統(tǒng)文件被感染殺毒查殺以后提示找不到相應(yīng)的dll或者系統(tǒng)功能不正常。目前rpcss.dll，ddraw.dll是盜號(hào)木馬現(xiàn)在常修改的系統(tǒng)dll。

　　3、QQ號(hào)碼被盜，可被黑客用來(lái)傳播廣告等。魔獸、DNF、天龍八部、夢(mèng)幻西游等游戲賬號(hào)被盜。

　　4、進(jìn)程中存在iexplor.exe進(jìn)程并指向一個(gè)不正常的網(wǎng)站。

　　5、現(xiàn)在鬼影共同特征就是進(jìn)程里有ali.exe6、你的電腦桌面上出現(xiàn)了一個(gè)討厭的“播放器”快捷方式，而且刪不掉。

　　鬼影病毒的工作原理

　　鬼影病毒偽裝為某共享軟件，欺騙用戶下載安裝。病毒運(yùn)行后，會(huì)釋放2個(gè)驅(qū)動(dòng)到用戶電腦中，并加載。驅(qū)動(dòng)會(huì)修改系統(tǒng)的引導(dǎo)區(qū)(mbr)，并將b驅(qū)動(dòng)寫入磁盤，保證病毒是優(yōu)先于系統(tǒng)啟動(dòng)，且病毒文件保存在系統(tǒng)之外。這樣進(jìn)入系統(tǒng)后，病毒加載入內(nèi)存，但找不到任何啟動(dòng)項(xiàng)、找不到病毒文件、在進(jìn)程中找不到任何進(jìn)程模塊。

　　重啟系統(tǒng)后，存在于引導(dǎo)區(qū)中的惡意代碼會(huì)對(duì)windows系統(tǒng)的整個(gè)啟動(dòng)過(guò)程進(jìn)行監(jiān)控，發(fā)現(xiàn)系統(tǒng)加載ntldr文件時(shí)，插入惡意代碼，使其加載寫入引導(dǎo)區(qū)第五個(gè)扇區(qū)的b驅(qū)動(dòng)。b驅(qū)動(dòng)加載起來(lái)后，會(huì)監(jiān)視系統(tǒng)中的所有進(jìn)程模塊，若存在安全軟件的進(jìn)程，直接結(jié)束。b驅(qū)動(dòng)會(huì)下載av終結(jié)者到電腦中，并運(yùn)行。av終結(jié)者會(huì)修改系統(tǒng)文件，對(duì)安全軟件進(jìn)程添加大量的映像劫持，下載大量的盜號(hào)木馬。進(jìn)一步盜取用戶的虛擬財(cái)產(chǎn)。該病毒只針對(duì)Winxp系統(tǒng)，尚不能破壞Vista和Win7系統(tǒng)。

　　鬼影病毒處理方法

　　重裝系統(tǒng)格式化C盤，進(jìn)入dos狀態(tài)，運(yùn)行fdisk/mbr命令，用以清除掉主引導(dǎo)區(qū)的病毒引導(dǎo)代碼，這時(shí)候重裝系統(tǒng)就可以了，但是這是在完全安裝起作用的，如果你用是GHOST安裝系統(tǒng)那么還要多做以下幾步：

　　1、通過(guò)GHOST系統(tǒng)盤進(jìn)入PQ/PM分區(qū)工具，一般GHOST系統(tǒng)盤都帶的。

　　2、右擊c盤，選擇進(jìn)階-設(shè)為作用，這樣就把MBR引導(dǎo)層重新寫了一遍，這樣在引導(dǎo)層中的病毒也自然被剔除了。

　　3、直接用GHOST系統(tǒng)盤安裝系統(tǒng)就OK了。[3]DOS下手動(dòng)查殺方法

　　第一步：找專殺工具：這里推薦使用“一鍵GHOST“，其中的DOS工具箱自帶的小工具DISKRW就可以完美解決。

　　第二步：殺除MBR病毒

　　1、清除MBR以外的硬盤保留扇區(qū)。安裝或制作好“一鍵GHOST”，開機(jī)進(jìn)入一鍵

　　GHOST，最終出現(xiàn)紅色界面時(shí)按ESC鍵退回到主菜單，按方向鍵選擇“DOS工具箱”-->“DISKRW"-->"3.清除"-->"清除(2)“-->確定。(注意，盡量使用2010版，更早的版本不能保證有此功能)。

　　2、修復(fù)MBR(關(guān)鍵一步，必須做)，接著上一步，選擇“4.修復(fù)”-->“修復(fù)(F)“-->確定。第三步：重裝或恢復(fù)系統(tǒng)。在第二步完成后，千萬(wàn)不要重啟電腦進(jìn)入WINDOWS了，否則會(huì)二次感染。正確的方法是，將系統(tǒng)安裝光盤放入光驅(qū)中，重裝系統(tǒng)。或者如果你有本地的系統(tǒng)備份(當(dāng)然是沒感染病毒之前做過(guò)的備份)，也可以用“一鍵恢復(fù)系統(tǒng)”功能進(jìn)行恢復(fù)。

　　第四步：全盤殺毒。返回WINDOWS后，需要升級(jí)你的殺毒軟件到最新版本(最新病毒庫(kù))，然后進(jìn)行“全盤查殺”，這樣可以把殘留在非系統(tǒng)盤(比如D盤、E盤、F盤)里的病毒寄主文件殺掉，以做到“斬草除根”。

　　WindowsXP下MBRFix配合360安全衛(wèi)士查殺

　　步驟一：開機(jī)打開任務(wù)管理器，結(jié)束(nat.exe)　

　　步驟二：打開360安全衛(wèi)士，選擇系統(tǒng)修復(fù)來(lái)修復(fù)系統(tǒng)

　　步驟三：在網(wǎng)上下載一個(gè)工具(MBRFix)，在XP下運(yùn)行“CMD”進(jìn)入DOS模式，運(yùn)行(MBRFix/drive0fixmbr/yes)重啟后OK

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]