（原创）查杀kavo木马

可樂仔

最近遇到一个木马kavo.exe,由于卡巴斯基对它一点反应都没有，所以将杀马过程，和毒源放上网，让卡巴斯基毒库增加之。
中了kavo木马有以下特征：所有硬盘的根目录下都有autorun.inf和ntdelect.com,直接删除它会自动恢复，有一定的威胁性。还有就是在系统盘（我的是在c:）c:\windows\system32\有三个文件：kavo.exe、kavo0.dll、kavo1.dll同样直接删除它会自动恢复。以上文件你是看不到的，无论是安全模式还是正常模式，因为中了kavo木马后，你无法看到隐藏文件。
杀马步骤：
1、进入安全模式，运行winrar（不是用来压缩哦），在winrar内进入根目录，你现在可以看到时autorun.inf和ntdelect.com，用winrar删除。重点是所有操作都是在winrar中进行，还有就是所有分区都要删除autorun.inf和ntdelect.com。
2、还是在winrar中，进入c:\windows\system32\把kavo.exe、kavo0.dll、kavo1.dll删除。
3、运行regedit,搜索关键字kavo和ntdekect,然后删除。
4运行regedit、[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]下面的项CheckedValue的值“0”改成“1”
至此问题解决，检验一下。重启电脑，正常模式进入，打开“我的电脑”工具文件夹选项查看勾选“显示所有文件和文件夹”。查看C：根目录下是否可以看得到隐形文件，如果可以，就是说问题已经解决。如果还是不行，检查一下自己有没有按照步骤，有没有做少一步。

另：附上木马源提供给卡巴斯基（小心，请勿打开） kavo.rar (312.33 KB, 下载次数: 139)

2007-11-13 15:23 上传

点击文件名下载附件
小心，请勿打开

wwtd

楼主 直接上报就完了么 不知道卡巴主动防御有没有反映

wangjay1980

连启发都过不了，还用主动吗
detected: virus Heur.Trojan.Generic        File: C:\Documents and Settings\Owner\×ÀÃæ\kavo.rar/kavo.exe
detected: virus Heur.Trojan.Generic File: C:\Documents and Settings\Owner\×ÀÃæ\kavo.rar/ntdelect.com

[ 本帖最后由 wangjay1980 于 2007-11-13 17:20 编辑 ]

king6808

应该发样本区

weifenghhu

呵呵 这么厉害的木马?

秋叶濛濛

貌似楼主发错地方了

945945

下了试试  被卡巴查处5个木马 删了