病毒之Death.exe病毒及变种分析查杀方法

 2007-11-29 10:17:51 来源：PC235.COM 您有问题？请联系我们

关 键 词：病毒之Death.exe病毒及变种分析查杀方法

症状：

　　杀毒软件被禁用、隐藏文件无法显示、开始命令msconfig无法运行、很多辅助软件也无法运行，运行EXE以及SCR 文件后被病毒的感染

　　手动查杀用到的软件的下载地址：

　　到down.45it.com下载SRENG软件以及XDELBOX软件

　　病毒名称：Trojan-Downloader.Win32.Agent.****
　　病毒类型：木马

　　病毒MD5：2ccd81d7d358778b11de9303e0097d2d

　　加壳类型：UPX
　　编写语言：Borland Delphi 6.0 - 7.0

　　病毒运行

　　生成进程：

　　C:\WINDOWS\system32\Death.exe

　　C:\WINDOWS\system32\Supervise.exe

　　释放文件
　　C:\WINDOWS\system32\Supervise.exe（这个Supervise.exe调用net.exe执行局域网络的感染，并且创建文件：%system32%\Death.SiShen，将病毒信息写进此文件）http://www.pc235.com/

（此进程还会Supervise.exe开启端口 连接网络下载木马！！！真是可恶）
　　C:\WINDOWS\system32\Death.SiShen
　　C:\WINDOWS\system32\Death.exe（这个进程生成Supervise.exe文件）

　　C:\WINDOWS\system32\Death.SiShen

　　以及每个盘根目录下有ANTO隐藏文件

　　双击硬盘也会导致病毒运行 请大家点右键--打开

　　修改注册表

　　[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Supervise.exe"="C:\WINDOWS\system32\Supervise.exe"

　　[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Death.exe"="C:\WINDOWS\system32\Death.exe"

　　[HKLM\software\microsoft\windows\currentversion\explorer\advanced\folder\hidden\showall]
"checkedvalue"=dword:00000000

　　搜索尝试关闭杀毒软件以及辅助软件的窗口

　　尝试关闭杀毒软件以及辅助软件等进程

　　搜索感染除系统盘以外的 .exe/.scr 文件.
　　受感染的 .exe/.scr 文件直接被替换.. 大小为:81,928 字节 ..这样一来所有的 .exe/.scr 文件全部无法恢复.运行被感染的exe文件后，将释放病毒！

　　可以通过区域网传播(death.exe)

　　手动删除方法：

　　1：关闭系统还原 清空IE临时文件夹

　　2：进安全模式

　　终止进程Death.exe进程

　　3：用XDELBOX软件 钩上抑制再生后 删除以下文件：

　　C:\WINDOWS\system32\Death.exe  
　　C:\WINDOWS\system32\Supervise.exe
　　C:\WINDOWS\system32\Death.SiShen
　　C:\WINDOWS\system32\Death.SiShen

　　4：打开SRENG软件 在启动中删除以下启动：

　　[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Supervise.exe"="C:\WINDOWS\system32\Supervise.exe"
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Death.exe"="C:\WINDOWS\system32\Death.exe" .

　　------SRENG软件 在系统修复--全选--修复

　　-----或者打开注册表 开始运行--REGEDIT-修改项直
HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL，将CheckedValue键值修改为1

　　------有部分病毒变种会直接把这个CheckedValue给删掉，只需和下面一样，自己再重新建一个就可以了（步骤：删除此CheckedValue键值，单击右键 新建——Dword值——命名为“CheckedValue”，修改键值为1）

　　--重起

　　------手动删除每个盘下面的AUTO隐藏文件

　　------重起（不要点被感染的EXE、SCR文件！！）

　　------安全模式下 杀毒软件扫描删除病毒残留感染文件以及配合360修复系统

　　--重起 OK

病毒之Death.exe病毒及变种分析查杀方法文章结束

更多内容请看 菜鸟学堂 > > 最新病毒专题

上一个文章： 病毒之“缇比斯”变种cby(Trojan/Tibs.cby)的手动清除

下一个文章： 网银盗号木马病毒的原理与防杀