20秒检测并清除ZeroAccess/ADS流病毒 By PowerTool(按步骤无隐患，可清除上周的ZA)

显示全部楼层 · 发表于 2011-9-1 18:21:05

本帖最后由 ithurricane 于 2011-9-3 13:20 编辑

还是按照自己的风格，

先看一下ZeroAccess都修改了哪些地方

首先就是万恶的流文件进程，因为这个进程的名字，导致以前的版本无法查看进程。。。

在pt里面可以找到这个流文件

有一个可疑的驱动

在内核的DPC定时器，回调和内核线程里面都动了手脚

网络里可以看到它在偷偷下载病毒

劫持了硬盘的读写

最后看一下，新版本新加的系统驱动感染检测功能，zeroaccess通过感染系统驱动来不断再生

接下去就可以修复，手动杀掉这个病毒了

第一步：

在内核回调里面，删掉那个Shutdown的回调

第二步：

恢复硬盘读写的劫持

最后一步，最为关键，就是用PowerTool来恢复被感染的系统驱动

就像上面图片里的文字一样，恭喜你，病毒杀掉了，重启一下电脑看看，

一切都烟消云散了~~~

这个ZeroAccess在国外是和TDSS/TDL齐名的rootkit，

在国内貌似也流传开了，希望关键时刻，PowerTool能帮大家解决问题，呵呵~~~

显示全部楼层 · 发表于 2011-9-2 09:22:42

占楼，备用，呵呵

显示全部楼层 · 发表于 2011-9-2 09:41:20

很给力谢谢作者。

显示全部楼层 · 发表于 2011-9-2 09:42:02

本帖最后由 sanhu35 于 2011-9-2 09:42 编辑

希望国产越来越强

显示全部楼层 · 发表于 2011-9-2 09:44:21

修复感染驱动功能非常实用和人性化

显示全部楼层 · 发表于 2011-9-2 10:08:10

感染驱动恢复是否是用系统备份目录C:\WINDOWS\system32\dllcache 的sys进行还原呢？

显示全部楼层 · 发表于 2011-9-2 10:10:33

本帖最后由 liulangzhecgr 于 2011-9-2 10:13 编辑

sanhu35 发表于 2011-9-2 09:44
修复感染驱动功能非常实用和人性化

pt我不清楚！
lz 意思是否替换病毒感染的驱动，就杀掉此病毒---这个意思？！

（病毒进程，病毒文件---没有处理？！）

显示全部楼层 · 发表于 2011-9-2 10:10:54

sanhu35 发表于 2011-9-2 11:08
感染驱动恢复是否是用系统备份目录C:\WINDOWS\system32\dllcache 的sys进行还原呢？

感谢大大的支持哦

不是用那个还原的，
用的是别的方法，嘿嘿

显示全部楼层 · 发表于 2011-9-2 10:17:21

liulangzhecgr 发表于 2011-9-2 11:10
pt我不清楚！
lz 意思是否替换病毒感染的驱动，就杀掉此病毒---这个意思？！

除了进程不能结束，病毒文件可以用pt删除，不过没有必要而已，

你有这些疑问，何不按照我的步骤用pt杀一下zeroaccess呢？

显示全部楼层 · 发表于 2011-9-2 10:20:15

本帖最后由 liulangzhecgr 于 2011-9-2 10:29 编辑

ithurricane 发表于 2011-9-2 10:17
除了进程不能结束，病毒文件可以用pt删除，不过没有必要而已，

你有这些疑问，何不按照我的步骤用pt杀 ...

这何必呢？！22日还是23日我已经成功查杀！

比你早几天还是一个礼拜。。。。。。

--------------------------------------------
tdsskiller 秒杀此病毒！

[原创文章] 20秒检测并清除ZeroAccess/ADS流病毒 By PowerTool(按步骤无隐患，可清除上周的ZA)