Board logo

标题: [病毒查杀] Worm.Viking.af Worm.Viking.bo Worm.Viking.aa Worm.Viking.cx病毒的查杀 [打印本页]

作者: shillan    时间: 2007-1-1 21:31     标题: Worm.Viking.af Worm.Viking.bo Worm.Viking.aa Worm.Viking.cx病毒的查杀

中毒症状:

1、电脑中了worm.viking.af病毒,杀干净了只要联网马上又会中,很多电脑自动生成_desktop.ini这个病毒,这个病毒可以绕过防火墙,并把市面上98%的杀毒软件的实时监控关闭,或无法手动运行,或运行后死机,感染除系统文件夹以外的所有目录下的exe文件。
只要你用宽带,即使没有拨号接入互联网,只要网线插在网卡上,病毒就会自动扫描端口。具体症状是:在系统进程中会出现logo1_.exe文件,和另一个文件rundl132.exe一起出现在%system%\system32\下,杀毒软件的实时监控会自动关闭,无法手动打开,重装后可暂时解决,但过一会儿就会在右下角消失,如果你将隐藏文件和系统文件设定为显示,将会看到除系统文件夹以外所有分区下所有文件夹中出现一个_desktop.ini的文件,删掉后,过一会儿还会出现,而且是从最后一个分区开始向前感染。

2、viking家族的变种会感染pe文件,给中招用户带来不小麻烦,同时还具有网络感染、下载网络木马等其他功能。中招用户的典型特征为电脑中出现logo1_.exe、rundl132.exe文件。

3、同时该家族的worm.viking.i(瑞星worm.viking.bp)变种还通过qq尾巴传播,qq尾巴的形式:h**p://www.qq.com.search_2.shtml.cgi-client-entry.photo.39pic.com/qq%e5%83%8f%e5%86%8c2/

4、windows目录下,有个rundl132.exe的文件
你所有硬盘的目下有个_desktop.ini的隐藏文件
如果有的话,你就是中毒了(worm.viking.cx worm.viking.af worm.viking.bo)。

5、占用大量网速,使机器使用变得极慢。

6、会捆绑所有的exe文件,只要一运用应用程序,在winnt下的logo1_.exe图标就会相应变成应用程序图标。

7、有时还会时而不时地弹出一些程序框,有时候应用程序一起动就出错,有时候启动了就被强行退出。

8、阻止以下杀毒软件的运行,包括卡巴斯基、金山毒霸、瑞星等98%的杀毒软件运行。

9、访问部分反病毒安全网站时,浏览器就会重定向到66.197.186.149

病毒分析:

1、病毒被激活后,释放以下文件:
%systemroot%\rundl132.exe
%systemroot%\logo1_.exe
病毒目录\vdll.dll(windws根目录生成一个名为"virdll.dll"的文件)

2、添加以下启动项:
hkey_local_machine\software\microsoft\windows\currentversion\run]
"load"="%systemroot%\rundl132.exe"
[hkey_current_user\software\microsoft\windows nt\currentversion\windows]
"load"="%systemroot%\rundl132.exe"

该蠕虫会在系统注册表中生成如下键值:
[hkey_local_machine\software\soft\downloadwww]
"auto" = "1"

3、感染所有分区下大小27kb-10mb的可执行文件,并在被感染的文件夹中生成_desktop.ini。文件如果发现这个东西的话,恭喜恭喜,估计十有八九已遭遇不幸了,并且感染后会造成一些网友说的“exe文件图标花了”,但是,它不会感染路径中包含下列字符串的文件:
\program files
common files
complus applications
documents and settings
netmeeting
outlook express
recycled
system
system volume information
system32
windows
windows media player
windows nt
windowsupdate
winnt
蠕虫会从内存中删除下面列出的进程:
eghost.exe
iparmor.exe
kavpfw.exe
kwatchui.exe
mailmon.exe
ravmon.exe
zonealarm

4、通过不安全的共享网络传播,网络可用时,枚举内网所有共享主机,并尝试用弱口令连接\ipc$、\admin$等共享目录,连接成功后进行网络感染。

5、结束一些国内外的反病毒软件进程,如卡巴斯基、金山毒霸、瑞星、木马客星等。

6、vdll.dll注入explorer或者iexplore进程,当外网可用时,下载其他木马程序(如前段时间比较bt的红底黑色龙头图案的winlogon)。

7、将拿到的几个样本文件看了下,其中rundl132.exe为病毒文件,vthunder为感染后的文件,thunder为原文件。
winhex将这3个文件打开,发现感染方式为“头寄生”,vthunder文件头被插入了rundl132
的代码。
rundl132.exe
vthunder.exe
thunder.exe
offset删除至00069e6后另存为,即可还原到原来的thunder了。

威金worm.viking.**病毒的清除方法:

1、威金(worm.viking)病毒专杀工具  
http://it.rising.com.cn/service/technology/ravvikiing.htm
http://www.pcav.cn/soft/zsgj/rxjsgj/200607/375.html

2、删除_desktop.ini
该病毒会在每个文件夹中生成一个名为_desktop.ini的文件,在这里介绍给大家一个批处理命令 del d:\_desktop.ini /f/s/q/a,该命令的作用是:
强制删除d盘下所有目录内(包括d盘本身)的_desktop.ini文件并且不提示是否删除
/f 强制删除只读文件
/q 指定静音状态。不提示您确认删除。
/s 从当前目录及其所有子目录中删除指定文件。显示正在被删除的文件名。
/a的意思是按照属性来删除了
这个命令的作用是在杀掉viking病毒之后清理系统内残留的_desktop.ini文件,使用方法是开始--所有程序--附件--命令提示符,键入上述命令(也可复制粘贴),首先删除d盘中的_desktop.ini,然后依此删除另外盘中的_desktop.ini。
至此,该病毒对机器造成的影响全部消除。

★☆☆手动清除病毒方法☆☆★
(1)在进程中找到并结束logo1_.exe、rundl132.exe进程
(2)找到并删除%windir%下的logo1_.exe、rundl132.exe、vdll.dll文件
(3)打开注册表,索引到hkey_local_machine\software\soft\downloadwww,删除auto键值
(4)打开注册表,索引到hkey_current_user\software\microsoft\windows nt\currentversion\windows,删除load键值
(5)打开%system%\drivers\etc下hosts文件,删除“127.0.0.1 localhost”一行后所有内容
(6)下载”worm.viking专杀工具“,在安全模式下全盘杀毒
(7)插入系统光盘,重做系统

另外一个方法:
第一步:用同时按下ctrl,alt,del三键打开任务管理器,结束logo1_.exe进程.
第二步:删除操作系统盘(一般是c盘)winnt目录下的logo1_.exe文件.
可以看出,以上两步是很普通的,大部分人都会,关键是第三步.
第三步:在操作系统盘(一般是c盘)winnt目录下,创建一个文件夹(记住是文件夹而不是文件),文件夹名为logo1_.exe,并设置该文件夹的属性为只读+隐藏. 这样logo1_.exe病毒再也无法运行了,也就是它的破坏作用(比如降低网速)也消失了.唯一的缺陷就是那些变色的应用程序图标还是依旧.如果你希望应用程序的图标恢复,那么(1)你可以重装系统,记住重装系统后一定要在winnt目录下,创建一个名叫logo1_.exe 文件夹并设置该文件夹的属性为只读+隐藏,以防再次感染,使电脑得到免疫.也可以(2)等到能够杀该病毒的软件诞生为止.
杀毒原理:创建logo1_.exe文件夹,使无法创建logo1_.exe文件,把文件夹设为只读+隐藏使安全性更高.

对这个病毒防范胜于查杀。目前,包括毒霸在内的部分杀软可以较好的处理感染后的exe文件,但部分杀软采取的方法却是直接删除,这可不是件好事。因此,应及时升级你的杀软,并打开实时监控;安装一款防火墙;关闭不必要的网络共享;通过在线更新等给系统打好补丁;给管理员帐户加上足够强壮的密码;对于来历不名的文件不要随意运行。
作者: fox2828    时间: 2007-4-1 18:52

我中了这家伙了




欢迎光临 逐梦论坛 (http://temp2023.zhumeng.org/) Powered by Discuz! 7.2