,,终于发现dl1.exe病毒完整解决方法了
dl1.exe是病毒名叫worm.win32.delf.cc(德芙)在任务管理里中的进程!
中此病毒的症状为:
1.破坏安全模式
2.不能显示隐藏文件
3.结束常见杀毒软件以及常用杀毒工具进程
4.监控窗口
5.IFEO映像劫持
6.可以通过移动存储传播
病毒运行后
在c:\程序文件\公共文件\ Microsoft shared \ MSInfo \下面释放一个同样由8个数字和字母组成的组合的文件名的动态链接库和一个同名的数字式录音带(数字音频tape)DOS文件名数据文件文件
我这里是c:\ program files \ common files \ Microsoft shared \ MSInfo \ 41115 BDD。动态链接库
该动态链接库插入探险家进程
结束(包括但不限于)以下进程
360rpt.exe
360Safe.exe
360tray.exe
adam.exe
AgentSvr.exe
AppSvc32.exe
autoruns.exe
avgrssvc.exe
AvMonitor.exe
avp.com
avp.exe
CCenter.exe
ccSvcHst.exe
FileDsty.exe
FTCleanerShell.exe
HijackThis.exe
IceSword.exe
iparmo.exe
Iparmor.exe
isPwdSvc.exe
kabaload.exe
KaScrScn .教员公用室
KASMain.exe
KASTask.exe
KAV32.exe
KAVDX.exe
KAVPFW.exe
KAVSetup.exe
KAVStart.exe
KISLnchr.exe
KMailMon.exe
KMFilter.exe
KPFW32.exe
KPFW32X.exe
KPFWSvc.exe
KRegEx.exe
KRepair .计算机输出缩微胶片
KsLoader.exe
KVCenter.kxp
KvDetect.exe
KvfwMcl.exe
KVMonXP.kxp
KVMonXP_1.kxp
kvol.exe
kvolself.exe
KvReport.kxp
KVScan.kxp
KVSrvXP.exe
KVStub.kxp
kvupload.exe
kvwsc.exe
KvXP.kxp
KvXP_1.kxp
KWatch.exe
KWatch9x.exe
KWatchX.exe
loaddll.exe
MagicSet.exe
mcconsol.exe
mmqczj.exe
mmsk.exe
NAVSetup.exe
nod32krn.exe
nod32kui.exe
PFW.exe
PFWLiveUpdate.exe
QHSET.exe
Ras.exe
Rav.exe
RavMon.exe
RavMonD.exe
RavStub.exe
RavTask.exe
RegClean.exe
rfwcfg.exe
RfwMain.exe
rfwProxy.exe
rfwsrv.exe
RsAgent.exe
Rsaupd.exe
runiep.exe
safelive.exe
scan32.exe
shcfg32.exe
SmartUp.exe
SREng.exe
symlcsvc.exe
SysSafe.exe
TrojanDetector.exe
Trojanwall.exe
TrojDie.kxp
UIHost.exe
UmxAgent.exe
UmxAttachment.exe
UmxCfg.exe
UmxFwHlp.exe
UmxPol.exe
上传.EXE.exe
WoptiClean.exe
zxsweep.exe
常见的杀毒软件和一些安全工具都被他干掉了
然后将这些可执行程序的扩展名通过IFEO进行映像劫持指向c:\ program files \ common files \ Microsoft shared \ msinfo \ 41115 BDD。数字式录音带(digital audio tape)DOS文件名数据文件
监控带有如下字样的窗口如果发现带有如下字样的窗口则马上将其关闭
木马
木馬
病毒
杀毒
殺毒
查毒
防毒
反病毒
专杀
專殺
卡巴斯基
江民
瑞星
卡卡社区
金山毒霸
金山社区
360安全
恶意软件
流氓软件
举报
报警
杀软
殺軟
防駭
以上这些监控和关闭窗口的工作全都是由插入探险家进程的c:\ program files \ common files \ Microsoft shared \ MSInfo \ 41115 BDD。动态链接库操作的
比熊猫更狠让你找不到进程咯
然后在HKEY _ LOCAL _ MACHINE \ SOFTWARE \ Microsoft \ Windows \ current version \ Explorer \ shell execute钩子
下面添加注册表项目{ 15bd 4111-4111-5BDD-115B-111 BD 1115 BDD } C:\ program files \ common files \ Microsoft shared \ MSINFO \ 41115 BDD。dll[不适用]
达到开机启动目的
而且那个动态链接库会监控这个注册表项目如果被删除则立即恢复
删除键
HKLM系统\控制集001 \控制\安全引导\最小\ { 4d 36 e 967-E325-11CE-BF C1-08002 be 10318 }
HKLM系统\控制集001 \控制\安全引导\网络\ { 4d 36 e 967-E325-11CE-BF C1-08002 be 10318 }
HKLM系统\当前控制集\控制\安全引导\最低限度\ { 4d 36 e 967-E325-11CE-BF C1-08002 be 10318 }
HKLM系统\当前控制集\控制\安全引导\网络\ { 4d 36 e 967-E325-11CE-BF C1-08002 be 10318 }
破坏安全模式
修改HKLM软件\微软\ Windows \当前版本\资源管理器\高级\文件夹\隐藏\显示所有\检查值滴?x00000000
使得显示不了隐藏文件
释放8668122F.exe(骨头语:此文件名在每台电脑上各不相同)和autorun.inf到除系统分区外的其他分区
然后通过探险家进程链接网络下载一个自解压文件dl1.exe到临时文件夹
自解压文件释放C:\WINDOWS\system\20290.exe
C:\WINDOWS\system\ad1309.exe
c:\ WINDOWS \ system \ disk free _ hy 1.5。可执行程序的扩展名
c:\ WINDOWS \ system \ dodo look 027。可执行程序的扩展名等文件
这里面有驱动木马也有流氓软件
所有的文件都运行后
添加了如下文件
c:\ WINDOWS \ system32 \ drivers \ acpidisk。[计]系统复制命令(system的简写)
c:\ WINDOWS \ system32 \ drivers \ to nfo 47。[计]系统复制命令(system的简写)
c:\ WINDOWS \ system32 \ drivers \ vilpew 30。[计]系统复制命令(system的简写)
c:\ WINDOWS \ system32 \ drivers \ ykagjt 85。[计]系统复制命令(system的简写)
C:\WINDOWS\system32\1b.dll
C:\WINDOWS\system32\48a69
C:\WINDOWS\system32\60e4.exe
C:\WINDOWS\system32\7df9.dll
C:\WINDOWS\system32\91b6.dll
C:\WINDOWS\system32\b60.dll
c:\ WINDOWS \ system32 \ bpjlgv 91。动态链接库
C:\WINDOWS\system32\df91.dll
C:\WINDOWS\system32\f91b.exe
c:\ WINDOWS \ system32 \ ie代理。可执行程序的扩展名
c:\ WINDOWS \ system32 \ mprmsgse。axz
c:\ WINDOWS \ system32 \ MSC px 32 r . det
c:\ WINDOWS \ system32 \ msrundll。可执行程序的扩展名
c:\ WINDOWS \ system32 \ nt print。直接接入线路
c:\ WINDOWS \ system32 \ tolnfo 47。动态链接库
c:\ WINDOWS \ system32 \ tolnfo 47。初始化设置文件的后缀名
c:\ WINDOWS \ system32 \ vilpew 30。动态链接库
c:\ WINDOWS \ system32 \ wing JT 85箱子
c:\ WINDOWS \ system32 \ wing JT 85动态链接库
C:\WINDOWS\system32\winkx.dll
c:\ WINDOWS \ system32 \ winlgv 91。箱子
c:\ WINDOWS \ system32 \ winpew 30。箱子
c:\ WINDOWS \ system32 \ winpew 30。动态链接库
c:\ WINDOWS \ system32 \ ykagjt 85。动态链接库
c:\ WINDOWS \ system32 \ cewrndm。动态链接库
c:\ WINDOWS \ system32 \ tolnfo 47。动态链接库
c:\ WINDOWS \ system32 \ vilpew 30。动态链接库
C:\WINDOWS\system32\b60.dll
C:\WINDOWS\03.bmp
C:\WINDOWS\3fa.exe
C:\WINDOWS\41115BDD.hlp
C:\WINDOWS\fa7c.txt
c:\ program files \ internet explorer \ PLUGINS \ system 2。jmp
c:\ program files \ internet explorer \ PLUGINS \ system kb。[计]系统复制命令(system的简写)
还装了两个软件一个是广告推送软件一个是磁盘空闲
==========================================================
dl1.exe病毒的删除办法
首先:进入任务管理器,结束掉explorer.exe的进程
然后:用winrar打开c:\ program files \ common files \ Microsoft shared \ MSInfo
打开的方法是先启动winrar程序,然后点打开-一级一级的打开上面的目录,在msinfo里面会有个八位的可执行程序的扩展名执行文件如:CF62255D.dll和CF62255D.exe。将其删除
第三:启动explorer.exe
第四:打开注册表(开始-运行-注册表编辑-回车)
在HKEY _ LOCAL _ MACHINE \ SOFTWARE \ Microsoft \ windows nt \ current version \ ImageFileExecutionOptions下面就是被禁用的杀毒软件列表了,把相关的杀毒软件的名字删掉就可以运行了
第五:运行你机子上有的杀毒软件,升级,全盘杀毒,就好了。
病毒名叫worm.win32.delf.cc(德芙)。有可能有变种,后面的,抄送会变成其它的。
郑重声明:本文由网友发布,不代表盛行IT的观点,版权归原作者所有,仅为传播更多信息之目的,如有侵权请联系,我们将第一时间修改或删除,多谢。