手工杀毒之驱动Rookit清除方法

firboy

先说下中了驱动Rookit的症状： 1、杀毒软件不断报警，但无法清除或清除后又生成； 2、Icesword的SSDT项有大量红色显示的驱动（后缀名为sys）........... 为什么驱动Rookit难以清除呢？ 答：在系统底层，采用了多种方式来保护自身；启动顺序前，杀毒软件无法清除..... 正文>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>> 1、找出Rookit： 方法参考（如果杀软已经报了就不用找了）：釜底抽薪:用autoruns揪出流氓软件的驱动保护 2、删除Rookit: 安装Unlocker,找到Rookit按右键用Unlocker删除:    在弹出的框的右下角选择“删除”，再按“全部解锁”。 有时Unlock会出现这种窗口，你应该按“是”。 有遇到Unlock删除不掉的情况，可用Icesword强制删除。（选中该毒后按右键“强制删除”，再在弹出的询问框中按“是”） 2、删除病毒的启动项： 打开System Rapair Engineer,按窗口左侧的启动项目，再到服务选项卡，然后按驱动程序。 接着选中“隐藏已认证的微软项目”。接着找到毒的驱动，选中“删除服务”，然后按设置，在弹出的窗口中按“否”。 重启后，如果Rookit并没有清除，则可重复刚才的操作，只是不要选中删除服务，而是把启动类型该为“Disabled”。        3、对付插入进程的Rookit: 打开Syscheck,查看下红色和紫色的的进程，找出可疑的DLL，按右键“全局卸载指定模块”。然后再删除即可。 4、对付不断恢复自身文件/服务的Rookit： 先打开Process Explorer,初次打开会出现一个窗口，按“Agree”即可。 在System按右键，按“Properties”。 进入“Threads”选项卡，在Start Address中寻找所有有关该驱动的线程，按“Suspend”。     为防止该驱动自身恢复，你可在该驱动所在的文件夹创建一个名字与那驱动相同的文件夹。 5、最后一招：DOS（T~T） 记得删除前要attrib -s -r -h 文件名 例子：attrib -s -r -h 1234567.sys 写在最后： Rookit不仅上面一种方法可以搞定的，要结合以上多种方法才能把它“喀”。

janfire

不错，可以作为一种指南。

老虎曰

这个病毒好象有专杀的工具