McAfee能清除在system32/com下的lsass和smss进程病毒(附extra.dat)

显示全部楼层 · 发表于 2008-1-16 17:45:05

原帖由 lonjet 于 2008-1-15 11:18 发表
大概上报病毒库5日左右搞定。现在McAfee用户不用害怕了。

真昏，上报病毒要5日才能搞定，那会死很多人啊

显示全部楼层 · 发表于 2008-1-21 18:06:54

谢谢分享，前些日子，我办公室的一个本本中了毒，但不是咖啡，而是卡巴

显示全部楼层 · 发表于 2008-1-25 09:16:41

是这个病毒吗？现在mcafee已经能防御和彻底查杀了。

显示全部楼层 · 发表于 2008-1-25 21:42:33

我的电脑也中过这个病毒，那些天真是难过！

显示全部楼层 · 发表于 2008-2-14 10:42:38

详细说明“磁盘精灵蠕虫”病毒的技术细节：

1、此程序为Wrom类型程序

2、病毒运行后，会把自己复制到%system32%、%system32%\com目录下，文件名为：lass.exe文件属性设为隐藏。

3、建立一个dghauweugsdgerh互斥量，保证进程中只有一个病毒在运行。

4、病毒会释放2个文件来辅助病毒运行smss.exe、netcfg.dll，用来实现双进程保护，当用户去结束进程时，必须把smss.exe 跟 lass.exe同时结束，否则的话，其中的任何一个程序会把别一个进程自动启动。

5、病毒会修改注册表项，

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced

ShowSuperHidden" = 0x00000000，当用户用Explorer.Exe查看文件时，将看不到隐藏的文件，这样就简单的实现了文件隐藏的功能。

6、当病毒运行后，会遍历每个磁盘，在每个磁盘根目录下建立一个autorun.inf，并把自己复制到每个磁盘根目录下，命名为：pagefile.pif。当用我的电脑双击磁盘打开、点击磁盘自动播放或在运行中直接输入盘符进入磁盘时病毒会自动运行。

autorun.inf文件内容如下：

[AutoRun]

open=pagefile.pif

shell\open=打开(&O)

shell\open\Command=pagefile.pif

shell\open\Default=1

shell\explore=资源管理器(&X)

shell\explore\Command=pagefile.pif

7、病毒遍历C盘以后的每个磁盘，对每个磁盘的EXE文件进行感染。感染后的程序，运行后会先运行病毒，然后运行用户的EXE文件。

还有ARP欺骗功能

显示全部楼层 · 发表于 2008-2-14 11:34:17

分析的购透彻的，呵呵--学习了！

显示全部楼层 · 发表于 2008-2-14 12:10:58

是的好像mcafee已经可以全杀了

显示全部楼层 · 发表于 2008-2-15 09:04:38

支持楼主

显示全部楼层 · 发表于 2008-2-15 10:00:06

楼主你太善良了。。。我学校中的就是这个。不知道害死了多少无辜的机子。。。立刻试试。。。

显示全部楼层 · 发表于 2008-2-28 21:38:53

今天刚中了这个病毒不过我装的是mcafee个人版后来连咖啡豆被关闭了现在换企业版试试希望能搞定

[讨论] McAfee能清除在system32/com下的lsass和smss进程病毒(附extra.dat)

回复 12楼 hifanping 的帖子

这个病毒可能就是“磁盘精灵蠕虫”