500變種攻擊電腦 殺毒軟件遭病毒綁架

■病毒發作癥狀

1.生成很多8位數字或字母隨機命名的病毒程序文件，並在電腦開機時自動運行。

2.綁架安全軟件，中毒後會發現幾乎所有殺毒軟件，系統管理工具，反間諜軟件不能正常啟動。

3.不能正常顯示隱藏文件，其目的是更好地隱藏自身不被發現。

4.禁用windows自動更新和Windows防火牆，這樣木馬下載器工作時，就不會有任何提示窗口彈出來。

5.破壞系統安全模式，使得用戶不能啟動系統到安全模式來維護和修復。

6.當前活動窗口中有殺毒、安全、社區相關的關鍵字時，病毒會關閉這些窗口。假如你想通過瀏覽器搜索有關病毒的關鍵字，瀏覽器窗口會自動關閉。

7.在本地硬盤、U盤或移動硬盤生成autorun.inf和相應的病毒程序文件，通過自動播放功能進行傳播。很多用戶格式化系統分區後重裝，訪問其他磁盤，立即再次中毒。

8.最終目的是下載更多木馬、後門程序。用戶最後受損失的情況正是取決於此。

■防范措施

對於病毒而言，良好的防范措施，好過中毒之後再絞盡腦汁去尋找查殺方法，而且一旦感染該病毒，清除過程相當復雜，因此，在采訪中，金山、江民、瑞星等幾家公司的反病毒專家們向記者提供了針對該病毒防范措施：

1.保管好自己的U盤，MP3、移動硬盤等移動儲存的使用，當外來U盤接入電腦時，請先不要急於雙擊打開，一定要先經過殺毒處理，建議采用具有U盤病毒免疫功能的殺毒軟件，如KV2007 獨有的U盤盾技術，可以免疫所有U盤病毒通過雙擊U盤時運行。

2. 給系統打好補丁程序，尤其是MS06-014和MS07-17這兩個補丁，目前絕大部分的網頁木馬都是通過這兩個漏洞入侵到計算機裡面的。

3. 即時更新殺毒軟件病毒庫，做到定時昇級，定時殺毒。

4.安裝軟件要到正規網站下載，避免軟件安裝包被捆綁進木馬病毒。

5.關閉windows的自動播放功能。

■傳播方式

1.通過U盤、移動硬盤的自動播放功能傳播。

2.AV終結者最初的來源是通過大量劫持網絡會話，利用網站漏洞下載傳播。和前一段時間ARP攻擊的病毒泛濫有關。

■專殺工具下載

金山毒霸專殺工具下載地址：http://duba-011.duba.net/duba/kavtools/DubaTool_AV_Killer.COM

瑞星反病毒中心專殺工具下載地址：http://it.rising.com.cn/Channels/Service/2006-08/1154786729d36873.shtml

■手動清除辦法

1.到網上下載IceSword工具，並將該工具改名，如改成abc.exe 名稱，這樣就可以突破病毒進程對該工具的屏蔽。然後雙擊打開IceSword工具，結束一個8位數字的EXE文件的進程，有時可能無該進程。

2.利用IceSword的文件管理功能，展開到C:\Program Files\Common Files\Microsoft Shared\MSINFO\下，刪除2個8位隨機數字的文件，其擴展名分別為：dat 和dll 。再到%windir%\help\目錄下，刪除同名的.hlp或者同名的.chm文件，該文件為系統幫助文件圖標。

3. 然後到各個硬盤根目錄下面刪除Autorun.inf 文件和可疑的8位數字文件，注意，不要直接雙擊打開各個硬盤分區，而應該利用Windows資源管理器左邊的樹狀目錄來瀏覽。有時電腦中毒後可能無法查看隱藏文件，這時可以利用WinRar軟件的文件管理功能來瀏覽文件和進行刪除操作。

4.利用IceSword的注冊表管理功能，展開注冊表項到：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]，刪除裡面的IFEO劫持項。

當完成以上操作之後，就可以安裝或打開殺毒軟件了，然後昇級殺毒軟件到最新的病毒庫，對電腦進行全盤殺毒。