|
|
主题: 或许是跟病毒有关的问题（一定帮个忙分析一下）
|
hiinhie
职务：普通成员
等级：1
金币：0.0
发贴：102
|
#12002/5/14 20:14:04
这几天我发现机子上的每一个文件夹（除了“我的电脑”上一级以及下一级以外）里都有这两个隐含文件：desktop.ini和folder.htt（超文件模板文件）。我把它们删掉了以后，又马上再生出来。我用“查找”命令查了一下，数量惊人。鉴于以前并没有这种情况发现，肯定不是本来就应该存在的，加上它们总是删不去，象个阴魂不散的东东几乎一直跟在我的面前，而且我这几天一直有从网络上当东西，我不由得不想到是不是机子感染了某种病毒，但是我用防毒杀毒扫描过后，却并没有提示有病毒出现。而且由此我的机子每打开一个文件夹，都会有几秒的停滞现象，弄得操作起来很累力，慢得火大。为此，我重装了一次系统。但是情况还在。
请问哪位知道这到底是怎么回事？谢谢帮忙分析一下。本人感激不尽。
|
=ridincal=
职务：管理员
等级：7
金币：20.0
发贴：5886
|
#22002/5/14 20:26:34
杀毒吧，有蠕虫病毒。
|
hiinhie
职务：普通成员
等级：1
金币：0.0
发贴：102
|
|
I''MAD
职务：普通成员
等级：8
金币：11.0
发贴：9502
|
#42002/5/17 14:20:16
病毒感染过程介绍
VBS.KJ 是一个感染 html/htm、jsp、vbs、php、asp 的脚本类病毒。和欢乐时光“VBS.HappyTime”一样，该病毒采用 VBScript 语言编写，在互联网上通过电子邮件进行传播，也可以通过文件感染；感染后的机器系统资源被大量消耗，速度变慢；利用 Windows 系统的“资源管理器”进行寄生与感染。
然而，与欢乐时光相比，VBS.KJ 病毒显然经过改进。首先，每次感染都会进行一次变形，可以逃过普通的特征码匹配查找方法；其次，该病毒不会主动发送电子邮件！而是修改系统中 Microsoft Outlook Express、Microsoft Outlook 2000/XP 的设置，采用 html 格式的信纸来撰写邮件，病毒感染全部信纸！当发送邮件时病毒会附在邮件中，隐蔽性更强！第三，会感染 html/htm、jsp、vbs、php、asp 等格式的文件，不会删除系统文件。
病毒生成和修改的文件
1、在每个检查到的文件夹下生成 desktop.ini 和 folder.htt 文件(这两个文件控制了文件夹在资源管理器中的显示视力)。
2、在 %Windows%\web 和 %Windows%System32 中生成 kjwall.gif。
3、在 Windows 9X 系统中，生成 %Windows%\System\Kernel.dll 文件；在 Windows 2000/XP 中生成 %Windows%\System\Kernel32.dll 文件。
4、感染 htt 文件，将病毒附加在其中；感染 html/htm、jsp、vbs、php、asp，用病毒替换其内容。
注册表的修改
1、在 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\ 下增加 Kernel32 键值，使病毒随系统启动；
2、修改 HKEY_CLASSES_ROOT\dllFile\，改变 dll 文件的打开方式；
3、修改 HKEY_CURRENT_USER\Identities\" & UserID & "\Software\Microsoft\Outlook Express\" & OEVersion& "\Mail\Compose Use Stationery" 为 1，即采用信纸； 修改 HKEY_CURRENT_USER\Identities\" & UserId & "\Software\Microsoft\Outlook Express\" &OEVersion & "\Mail\Stationery Name" 指向信纸文件；
4、修改 HKEY_CURRENT_USER\Software\Microsoft\Office\9.0\Outlook\Options\Mail 相关内容，使 Outlook 2000 采用信纸来撰写邮件；
5、修改 HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Outlook\Options\Mail 相关内容，使 Outlook XP 采用信纸撰写邮件；
病毒感染的标志
1、在注册表 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\ 下存在 Kernel32 键值，并指向 Kernel.dll 或者 Kernel32.dll 文件；
2、系统中大量存在 desktop.ini 和 folder.htt；
3、在 system 目录下存在 kjwall.gif 文件；
手工清除(难度较大，建议采用杀毒软件杀毒)
1、打开注册表，删除 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Kernel32 键值；
参照其他机器，恢复 HKEY_CLASSES_ROOT\dllFile\ 下键值；
参照其他机器，恢复 HKEY_CURRENT_USER\Identities\" & UserID & "\Software\Microsoft\Outlook Express\" & OEVersion& "\Mail\ 下相关键值；
参照其他机器，恢复 HKEY_CURRENT_USER\Software\Microsoft\Office\9.0\Outlook\Options\Mail\ 下相关键值；
参照其他机器，恢复 HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Outlook\Options\Mail\ 下相关键值；
2、删除文件(建议在 DOS 状态下或者使用第三方文件管理系统，如 Win Commander 等)
参照其他机器，恢复 %Windows%\web 目录下 folder.htt 文件；
删除 Kernel32.dll 或者 Kernel.dll 文件；删除 kjwall.gif；
查找所有存在 KJ_start 字符串的文件，删除文件尾部的病毒代码；
金山毒霸用户可以请升级杀毒软件处理该病毒。
|
I''MAD
职务：普通成员
等级：8
金币：11.0
发贴：9502
|
#52002/5/17 22:47:15
毒霸没错，这是它官方网站介绍的方法，我没中过。呵。。。
|
I''MAD
职务：普通成员
等级：8
金币：11.0
发贴：9502
|
#62002/5/18 9:14:37
还好我从来不邮件，呵。。。
|
hiinhie
职务：普通成员
等级：1
金币：0.0
发贴：102
|
#72002/5/18 15:04:47
我想毒霸真的不起作用。我也用过，也查测不出来。
|
