一个卡巴斯基杀不了的病毒

coopergubo

最近同学用他的Ｕ盘插了我的电脑，结果直接查出来有一个叫ＲａｖＭｏｎ．ｅｘｅ的病毒但是杀不掉，而且我的Ｕ盘和移动硬盘里也被感染了这个病毒，只能用ｗｉｎｒａｒ来查看，普通的点击显示隐藏文件内容根本就不行，不管怎么删除都会再生，注册表也被修改了，我的移动硬盘不管用双击还是资源管理器都打不开。大虾们请教一下要怎么删除。
密码是：ｖｉｒｕｓ

[ 本帖最后由 coopergubo 于 2007-1-10 18:38 编辑 ]

coopergubo

而且好像是变种，因为我用百度上搜到的办法也没有将其手动杀出，连显示都没有

Nblock

微点的回答

[ 本帖最后由 Nblock 于 2007-1-10 18:51 编辑 ]

ALEXBLAIR

deleted: Trojan program Trojan.Win32.Agent.abt        File: D:\temp\Rar$DR00.265\RavMon.exe//NPack
卡巴已经可以了

coopergubo

可是我拿更新后的卡巴斯基杀了以后就出现打不开的现象，这是怎么搞得？？

[ 本帖最后由 coopergubo 于 2007-1-10 19:24 编辑 ]

coopergubo

格式化也不行

ggw2006

AntiVir 不报
AVG 不报
NOD32 报

小邪邪

这个文件比较“离谱”，设置显示所有隐藏文件也“看”不到它，“只读”属性，只好使用非常规手段

[ 本帖最后由 小邪邪 于 2007-1-11 00:07 编辑 ]

ttdown

原帖由 小邪邪 于 2007-1-11 00:06 发表
这个文件比较“离谱”，设置显示所有隐藏文件也“看”不到它，“只读”属性，只好使用非常规手段

呵呵，去掉“隐藏受保护的操作系统文件（推荐）”这个勾就可看见啦。

ttdown

这个木马除了自动创建3楼的朋友用微点监测出的文件外，还会自动修改注册表，使得你无法在文件夹选项中再打开“显示所有文件和文件夹”选项。
所修改的注册表项有2处：
1、HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
修改前：REG_DWORD, 4 bytes, 1
修改后：REG_DWORD, 4 bytes, 2

2、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue
修改前：REG_DWORD, 4 bytes, 1
修改后：REG_SZ, 8 bytes, "0  "

要先恢复以上2项注册表项，再打开“显示所有文件和文件夹”和去掉“隐藏受保护的操作系统文件（推荐）”这个勾，再手动查找它自动创建的文件并删除。（360安全卫士也可杀出此恶意软件）

BTW：在运行这个木马时我开着SSM（2.2.0.604），SSM会报c:\windows\svchost.exe（正常的svchost.exe在c:\windows\system32\），但如果一不留神允许了这个svchost.exe，它就会立即修改上面提到的2个注册表项，但此时SSM却并未监控着上述两个注册表项的键值和子键！不得不说这是个SSM的漏洞（当然，现在知道了可以自己在SSM中添加对此2个键值的保护）。
后来我又开着Cyberhawk测试了一下，此木马新增和自动复制文件以及注册表项全都报了！不得不说Cyberhawk还是很强悍呀！

[ 本帖最后由 ttdown 于 2007-1-11 06:52 编辑 ]