空间管理您的位置: ★黑基空间★ » xqfly的个人空间 » 日志

无法查看隐藏的文件

上一篇 / 下一篇 2006-10-29 15:20:21 / 天气: 晴朗 / 心情: 高兴

查看( 180164 ) / 评论( 0 ) / 评分( 0 / 0 )

【病毒名称】 Win32.Troj.QQRobber.cj  即武汉男生变种
【类别】：木马
【发现日期】：  2006-7-21
【病毒FAQ】： Windows下的PE病毒。
【症状】：系统进程多出一个"SVOHOST.EXE"其症状表现为:无法查看隐藏的文件;(在文件夹里选择查看所有文件和文件夹无反应),自动终止反病毒软件,金山和卡巴斯基(开机自动运行反病毒软件时软件自己报错,自行启动软件无反应);硬盘盘符双击无法打开,只能右键快捷方式选择打开才行!而且只要双击,系统进程里马上自动运行"SVOHOST.EXE",无法查看隐藏文件,把反病毒软件卸载重装,开机依然是无法自动运行,手动运行软件报错~~~
重装系统问题依旧,进程里还是有那个"SVOHOST.EXE"无法查看隐藏文件,硬盘盘符双击无法打开,只能右键快捷方式选择打开才行!
【运作过程】病毒运行后将自身复制到Windows系统目录下，文件名为“svohost.exe”，同时修改注册表项目实现开机自动运行。病毒将IE的首页修改为“http://www.***iex.com”，使用户每次打开IE都会浏览该病毒网站。该病毒会造成多种杀毒软件和常用软件无法使用，还会从“http://mp3.***o.com/228.exe”网站下载病毒文件并运行。（注：我的IE首页没有被修改）
　　病毒一旦运行，释放自己的副本到 %windir% 目录，文件名为"svohost.exe"，同时修改注册表 HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun 修改键值"ctfnom.exe"为"%windir%svohost.exe"；
　　修改IE主页的默认地址
　　HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain子建下的"Start Page"项为"http://www.joy＊＊x.com"
　　遍历窗体，关闭包含以下字符串的窗体：
　　“注册表”“系统配置实用程序”“QQKav”“天网”“密码防盗”“绿鹰PC”“防火墙”“进程”“网镖”“任务管理器”“杀毒”“超级兔子”“优化大师”“木马克星”“QQAV”“毒霸”“黄山IE”“腾讯公司QQ”“QQ病毒”“xleo”“whboy”“Windows 任务管理器”“ThunderRT6FormDC”
　　从指定网站下载病毒http://mp3.****.com/228.exe 病毒运行。（为避免大家误点，我修改了下网址）
【病毒资料】这是一个盗取QQ帐号密码的木马病毒，特点是可以通过可移动磁盘传播。该病毒的主要危害是盗取QQ帐户和密码；该病毒还会结束大量反病毒软件，降低系统的安全等级。

1，生成文件
％system％\SVOHOST.exe
％system％\winscok.dll （我查了下，在系统目录下，我的没有这个文件，这也是很正常的，呵呵~！）

2，添加启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"SoundMam" = "％system％\SVOHOST.exe"

3，盗取方式
键盘记录，包括软件盘；将盗取的号码和密码通过邮件发送到指定邮箱。（无论你密码再长，都逃不过键盘的眼睛吧~！给大家介绍一种方法，输入密码的时候不要按顺序输，比如你的密码是123456，你可以先输456，然后光标移到前面输123，这样键盘记录的值是456123，是不是保护了你的密码了呢~！呵呵~！当然密码框出现红叉叉还有个好处，就是你的密码可以复制，不信你将我上面提到的三个文件修改下，比如npkcrypt.sys，你重新命名或者改下扩展名，试试看）

4，传播方式
检测系统是否有可移动磁盘，是则拷贝病毒到可移动磁盘根目录。
sxs.exe
autorun.inf

5，autorun.inf添加下列内容，达到自运行的目的。
[AutoRun]
open=sxs.exe
shellexecute=sxs.exe

6，关闭窗口名为下列的应用程序
QQKav
雅虎助手
防火墙
网镖
杀毒
病毒
木马
恶意
QQAV
噬菌体

7，结束下列进程
sc.exe
net.exe
sc1.exe
net1.exe
PFW.exe
Kav.exe
KVOL.exe
KVFW.exe
TBMon.exe
kav32.exe
kvwsc.exe
CCAPP.exe
EGHOST.exe
KRegEx.exe
kavsvc.exe
VPTray.exe
RAVMON.exe
KavPFW.exe
SHSTAT.exe
RavTask.exe
TrojDie.kxp
Iparmor.exe
MAILMON.exe
MCAGENT.exe
KAVPLUS.exe
RavMonD.exe
Rtvscan.exe
Nvsvc32.exe
KVMonXP.exe
Kvsrvxp.exe
CCenter.exe
KpopMon.exe
RfwMain.exe
KWATCHUI.exe
MCVSESCN.exe
MSKAGENT.exe
kvolself.exe
KVCenter.kxp
kavstart.exe
RAVTIMER.exe
RRfwMain.exe
FireTray.exe
UpdaterUI.exe
KVSrvXp_1.exe
RavService.exe

8，删启动项
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
RavTask
KvMonXP
YLive.exe
yassistse
KAVPersonal50
NTdhcp
WinHoxt
9,主要针对以下安全软件
卡巴斯基
Symantec AntiVirus
瑞星
江民杀毒软件
天网防火墙个人版
噬菌体
木马克星
金山毒霸

杀毒方法：
首先打开注册表运行——regedit ，在HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run
SVOHOST.exe 或 sxs.exe 下找到 SoundMam（注意不是soundman,只差一个字母）键值，可能有两个，删除其中的键值为 C:\\WINDOWS\system32\SVOHOST.exe 的  （注：这个是开机启动项）
接着，在HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL，将CheckedValue键值修改为1
这里要注意，病毒会把本来有效的DWORD值CheckedValue删除掉，新建了一个无效的字符串值CheckedValue,类型为REG_SZ，并且把键值改为0！我们将这个改为1是毫无作用的。大家要看清楚CheckedValue后面的类型，正确的是“RED_DWORD”而不是“REG_SZ”（有部分病毒变种会直接把这个CheckedValue给删掉，只需和下面一样，自己再重新建一个就可以了）
方法：删除此CheckedValue键值，单击右键新建——Dword值——命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”，（注：在这之前你想显示隐藏文件是不行的，不信把DWORD值CheckedValue删除，再建一个字符串值CheckedValue,类型为REG_SZ，并且把键值改为0，看能不能显示隐藏文件）
然后删除删除HKEY_LOCAL_user\Software\Microsoft\windows\CurrentVersion\explorer\MountPoints2\4c2f911d-4a20-11db-a887-af2ec74ac635\shell\auto\command 下的（默认） REG_SZ  sxs.exe
结束svohost.exe的进程，并删除系统目录的文件SVOHOST.exe（在：WINDOWS\system32下）
接着删除各个盘符下面的 sxs.exe 和autorun.inf这两个文件，方法有两种，一种先设定显示隐藏文件夹，然后直接删除，另一种方法是运行cmd，在各个盘符下输入attrib -a -s -h -r sxs.exe执行命令，再输入attrib -a -s -h -r autorun.inf命令执行，把这两个文件的隐藏属性给取消，结束再输入del sxs.exe和del autorun.inf把这两个文件分别删除
切记，以上操作未完成前，不要双击打开盘，右键即可。