善用软件 卸载驱动类型病毒

aklus

今天看到了一个不错的帖子，和大家分享一下


平时我们会遇到一些疑难病毒  就连杀毒软件都杀不掉。在网上搜索也找不出结果。这个时候你会选择怎么办？ 重装系统？ 恢复系统？  还是其他？

但我们需要具备专研精神  虽然我们都很菜  但我们需要不断的专研 学习 进一步提升自己的能力


今天我就以我自己的经历给大家分析一下如何卸载驱动类型病毒


什么是驱动类型病毒（大概含义）：
一种利用Windows驱动技术的病毒，与系统服务类似，本身并不作为单独的进程出现，所以在任务管理器里面无法找到它。就算知道病毒文件在哪里，但是无法删除，即便是在安全模式里面也是一样无法删除。这时因为其使用了驱动保护技术，将自身作为驱动加载。而驱动程序在系统里面具有高优先级和最高级别权限，所以这类病毒对付起来很麻烦。


今天我给朋友修理系统的时候，就遇到这么一个病毒，卡巴斯基报告发现病毒文件C:\Windows\System32\rv0128.sys   但卡巴斯基提示无法删除病毒，将在重启后删除。
接着我按照卡巴斯基的提示重启机器后，仍然显示无法删除。

既然卡巴斯基无法删除，那么我们就自己手动来删除。打开查看隐藏文件选项，然后找到病毒文件，却发现删除不了，提示“有程序正在使用该文件”。
这个也好办，进入安全模式呗。随后就进入安全模式，这个时候就奇怪了，发现在安全模式里面也是出现同样的提示并且无法删除。使用360安全卫士文件粉碎机还是无法删除文件。这下怎么办？杀毒软件删除不了，手动删除也不行。

我这个时候大概猜想到应该是一个驱动类病毒，因为病毒文件无法删除并且提示“有程序正在使用该文件”，那么就证明有后台程序或者服务在使用该程序。但是安全模式里面任何多余的服务和启动项都是不会启动的，却也无法删除，那么唯一剩下的就是驱动类病毒技术了。因为驱动程序在系统里具备极高的权限，即便是在安全模式下也能启动，所以也就导致了在安全模式下也无法删除该文件的情况。

了解了原理，这个时候，就该动用咱们的软件了！用很多病毒查杀辅助工具可以快速的帮助我们清除病毒。



步骤一  查明病毒的驱动程序：
首先打开System Repair Engineer(SReng)这个软件，既然我们要删除病毒文件，首先要解决的就是它的驱动保护。先要卸载它的驱动。


System Repair Engineer(SREng) 是一款全新的、强有力的、可扩充的用于调整和修复你系统的免费工具，在这个工具的帮助下，你可以察觉你的系统故障并能够很容易的修复他们。 他的日志比hiJakcthis的更全（体现在hijackthis会遗漏一些启动项）另外 SREng的日志能提供更详细的诊断信息

下载System Repair Engineer(SREng)
sreng2.zip (780.11 KB)


在SREng里面，点选启动项--服务-驱动程序，软件会给我们列出系统中存在的驱动程序列表，再点下面的隐藏微软认证的项目，那么软件就会把Windows系统自带的驱动程序隐藏起来，我们就可以很明了的看到系统里面所存在的第三方驱动程序。

但有些驱动程序是正常的，我们如何分辨哪些是正常的，哪些是病毒？这里有2个小技巧：
一，正常的驱动程序一般都会有公司的名称，例如卡巴斯基杀毒软件就有公司名称:Kaspersky lab。而病毒的驱动大多数都是没有公司名称和版本号之类的。显示为：N/A
二，从卡巴斯基查出来的病毒文件名C:\Windows\System32\rv0128.sys来看，我们可以看看有没有rv0128这样名称的驱动，如果有，那么一定就是病毒程序了

如图1



OK，我们找到一个驱动程序名字叫rv0128，看来它就是病毒的后台老大了。



步骤二 卸载病毒驱动程序
对着“我的电脑”点右键-属性-硬件-设备。打开了设备管理器。我们要在这里删除病毒的驱动程序。
在常规模式下我们是看不到病毒的驱动程序的，需要点击设备管理器菜单栏上面的“查看”-“显示隐藏的设备”。这个时候，设备管理器里面会多出一项“非即插即用驱动程序”，一些软件的驱动程序，包括病毒的驱动程序都在这里面。如图2，3





OK，在里面找到rv0128这个驱动程序，它就是病毒的真身了。对着它点击右键-卸载，完毕后重新启动电脑。


步骤三  删除病毒文件
重新启动电脑后，手动删除C:\Windows\System32\rv0128.sys，就可以了，这个时候就不会出现无法删除的提示了
如果还是出现无法删除的情况，可以使用360安全卫士文件粉碎工具或者冰刃等软件删除。

至此，这个驱动类病毒清除完毕。

销售的好

图全部挂了

benison

好的，受教了……谢谢

live613

学到了 ..
不过想问下 安全模式下显卡驱动会启动的吗

aklus

原帖由 live613 于 2007-10-11 17:31 发表
学到了 ..
不过想问下 安全模式下显卡驱动会启动的吗

没有发现进入安全模式下图标都变大了嘛！！！！

live613

那为什么这个病毒作为一个驱动 加载了呢

einheria

不错不错，学习了

aklus

原帖由 live613 于 2007-10-11 19:58 发表
那为什么这个病毒作为一个驱动 加载了呢

通常进入安全模式系统只使用基本文件和驱动程序。
如鼠标(USB串行鼠标除外)、监视器、键盘、硬盘、基本视频、默认系统服务等。

live613

今天酷似遇到了这种病毒
在system中 有个病毒hghpvq67.dll
在drivers中有个hghpvq67.sys
刚看到它是以一个驱动启动的
我在设备管理器中卸载了  没了
可用System Repair Engineer(SREng)  查驱动  这个hghpvq67还在
我把那两个文件都删了   可开机就说找不到那个模块了  我晕
不知道怎么来彻底  删除这个驱动呢