WSYSCHECK手工清除西游仙剑-西游冰封恶意流氓插件（病毒样本更新+图例教程+视频教程）

显示全部楼层 · 发表于 2010-4-23 22:03:03

本帖最后由 yaholo 于 2010-6-16 20:34 编辑

这是本人来卡饭后第一次发帖，希望个人的一点体会能够为各位饭友带来帮助，不足之处敬请指点！

测试环境:VMWARE+XP SP2 主要测试工具：wsyscheck

1、西游仙剑病毒样本下载（密码yaholo）： setup.part1.rar (488.28 KB, 下载次数: 44)

2010-4-25 20:24 上传
点击文件名下载附件
病毒样本
阅读权限: 5 setup.part2.rar (488.28 KB, 下载次数: 28)

2010-4-25 20:24 上传
点击文件名下载附件
病毒样本
阅读权限: 5 setup.part3.rar (488.28 KB, 下载次数: 29)

2010-4-25 20:25 上传
点击文件名下载附件
病毒样本
阅读权限: 5 setup.part4.rar (57.05 KB, 下载次数: 26)

2010-4-25 20:25 上传
点击文件名下载附件
病毒样本
阅读权限: 5

视频教程下载：http://e.ys168.com/?bluewolf 在卡饭专供目录里，密码是yaholo，压缩包的解压缩密码也是yaholo.

2、西游冰封病毒样本参见：http://bbs.kafan.cn/viewthread.php?tid=689326&extra=page%3D3%26amp%3Bfilter%3Dtype%26amp%3Btypeid%3D39&page=1

此毒清除过程中发现在搜索的时候提示错误可在运行框里输入命令 regsvr32 shell32.dll /i 之后便可正常搜索。

为了体现WSYSCHECK的强大功能，清除过程中不使用autoruns\process explorer\process moniter\Sreng等工具，只结合平时清除病毒的一些意识和小技巧，如果你耐心看完，一定会有所收获！也欢迎各位兄弟拍砖，毕竟做教程很辛苦的，你的支持和鼓励是我莫大的动力。

运行病毒样本后，系统出现如下画面：

观察发现桌面出现若干快捷方式，同时IE首页被更改，如下图所示：

打开wsyscheck，检查进程信息以及进程下模块注入情况，发现可疑进程Fangbian.exe同时Explorer.exe下注入两个可疑DLL（没有版本信息，同时也可根据该文件的创建时间和修改时间判定），如下动态图所示：

先不要关闭进程和卸载模块，找到相应文件在硬盘上的位置，同时根据可疑文件的创建时间和修改时间仔细检查是否还有同党，操作如下动态图所示：

果然发现有隐藏在后面的同党，本例为runfonce.bat、sysdkeys.dll，此处要特别注意如果没有清除掉这两个文件即使清除掉superrepair.dll重启后会发现开机有个批处理运行，速度很快，病毒再度发作，原因在于此病毒调用系统文件rundll32.exe加载sysdkey.dll，具体可右击runfonce.bat点编辑查看其内容。下面我们准备剪切这些文件，为什么不清除呢？因为这样可以降低误删除带来的不良后果，所以大家在清除病毒的时候要尽量养成剪切的习惯。首先，卸载可疑DLL文件并结束可疑进程，然后剪切这些可疑文件，如下动态图所示：

那么是否清除干净可疑文件了呢？我们最好利用系统的搜索功能根据可疑文件的创建时间和修改时间进行搜索，具体操作如下图所示，这个操作的目的在于一网打尽所有不法分子。

至此，硬盘文件全部消灭完毕，当然我们还需要查看注册表情况，对于本例而言不需要清除注册表开机启动项，唯一还需要处理的是IE的首页被修改了，我们可以采用360或者WINDOWS清理助手进行修复，当然你也可以用论坛里WILL兄弟原创的FixUpIE进行修复，效果也很赞的说！具体如下图所示：

好的，该病毒对系统的不良影响到此全部修复完毕，本教程结束，感谢您的浏览，也欢迎您的指正，谢谢！

补充：有朋友问说为什么不做静态的教程，在这里我谈一下我做这个教程的初衷和体会，一开始我也是准备做静态教程的，那对我而言是更简单的事，但我后来还是决定在操作这一重点部分上动态图，如果大家认真仔细看的话会发现那些动态图操作系统上显示的时间间隔蛮久的，因为我不满意我的操作所以重复截图耗费了很多时间，我之所以花那么多时间弄动态图就是希望大家能够看到我具体的操作，操作部分是很有一些小技巧的，这些技巧很难用图例和文字来描述，如果你认真看了并且操作了你就会明白我的意思了。当然，可能一些朋友会说那我用杀毒软件处理好了，呵呵，杀毒软件依靠病毒库，滞后啊，在杀毒软件不能查杀的这一段时间内你怎么办？重装？哦那太费事了，打补丁装软件就是一件痛苦的事啊！所以呢，这时候你就需要借助一些病毒分析工具和自己平时积攒的经验手工清除了，这个例子里我重点凸显的就是这个意思，把我的一些手工杀毒经验告诉大家。最后，要特别感谢tawny2008，谢谢你对我的肯定和鼓励，对了，有个问题我不太明白请教你一下，经验和人气有什么区别呢？我进病毒样本区的样本区众议院进不去，阅读权限要25才进的去，阅读权限25怎么评定的呢？跟经验关系多一点还是跟人气关系多一点呢？我想进去那里面看看，好测试更多的病毒。

显示全部楼层 · 发表于 2010-4-23 22:21:37

咳没人支持自己顶下先

显示全部楼层 · 发表于 2010-4-23 22:38:11

慢慢学习,帮我解决我的问题好吗,谢
yuan-0918 发表于 2010-4-23 22:35

你什么问题呢？

显示全部楼层 · 发表于 2010-4-24 11:22:22

不错的教程，手法细腻。

显示全部楼层 · 发表于 2010-4-24 11:29:45

支持原创!

显示全部楼层 · 发表于 2010-4-24 11:34:21

太长，居然没看完，帮顶了

显示全部楼层 · 发表于 2010-4-24 11:41:12

学习一下

显示全部楼层 · 发表于 2010-4-24 11:47:29

回复 4# zxjzwy

谢谢你的鼓励，我会继续努力的。

显示全部楼层 · 发表于 2010-4-24 11:48:23

回复 5# xndd

来卡饭学了很多，也得跟大家一起分享分享。

显示全部楼层 · 发表于 2010-4-24 11:49:00

回复 6# 口条

谢谢！

[原创文章] WSYSCHECK手工清除西游仙剑-西游冰封恶意流氓插件（病毒样本更新+图例教程+视频教程）

评分