每次打开浏览器诺顿就报infostealer病毒

大宙斯

每次打开浏览器诺顿就报infostealer病毒，到底什么病毒，怎么总是删不掉呢

下午格全盘，重新分区做了系统，装上诺顿依旧报毒，难道是Ghost盘本身就有问题？

[ 本帖最后由 大宙斯 于 2009-8-29 15:12 编辑 ]

samtogo

第一种断网安全模式下全盘查杀
第二种手工删除间谍软件InfoStealer
别名
Infostealer.Salira [Symantec], PWS-Mafia [McAfee], Trojan-PSW.Win32.Bumaf.c [Kaspersky],

类别
Trojan : 有隐藏意图的任何程序。 特洛伊木马程序是侵入计算机的主要方式之一。如果您的程序在访问聊天室、新的小组或阅读未经请求的邮件后被破坏，则该程序可能感染了具有某种破坏目的的特洛伊木马程序。 单词 Trojan（特洛伊）可以用作动词：要 trojan 一个程序意即向现有的程序添加破坏性功能。 例如，被 trojan 了的登录程序可能会被编程为接受某个不限定用户的特定密码，这样骇客就可以在任何时间使用该密码登录回系统。 Rootkit 经常包含像这样被 trojan 了的程序组。

检测和删除
手工删除
按照以下步骤从您的机器删除InfoStealer。先备份您的注册表和系统，并设置一个还原点，防止发生错误。
停止运行进程:
利用任务管理器停止以下运行进程：
%windows%\backup.exe
%system%\winrarshell32.exe
w32bumaf-c.exe

删除自动运行的引用:
访问 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
如果找到值 HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run backup
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run winrarshell，立即删除并重启机器

清除注册表:
使用注册表编辑器清除以下注册项（如果存在）：
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run winrarshell
HKEY_CURRENT_USER\software\bgm
HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run backup

删除文件:
使用资源管理器删除以下文件（如果存在）：
w32bumaf-c.exe
%system%\winrarshell32.exe
%windows%\backup.exe

调查
文件分析
infostealer专杀
1、 由于这个种infostealer病毒木马带有生成伪装系统文件，所以给手动删除造成迷惑，故需要十分小心判认。
2、 此木马会通过系统保护项重复生成感染。
3、 此木马也可能会在C:\Documents and Settings\系统用户名\Local Settings\Temp\生成1.exe、2.exe等可执行文件进行破坏exe关联。
4、中毒后，病毒修改了系统执行关联，控制不能执行.exe的命令，重启电脑系统后会导致病毒防火墙等都不能启动。此时IE执行的命令文件是病毒文件 Program Files\Internet Explorer\iexplore.com，故上网时不能直接使用IE执行，有存在Windows\explorer.com也要先删除。

解决步骤： 1、 开机启动时按F8，选择带网络的安全模式进入，打开我的电脑，从工具->文件夹选项，在查看中，勾选[显示系统文件夹的内容]，去掉勾选 [隐藏受保护的操作系统文件]的勾。选择[显示所有文件]，去掉隐藏已知的后缀名。
然后到以上描棕的文件夹里，把相应的infostealer病毒病毒文件删除。
如果不能正确判断文件是否系统文件还是伪系统文件，可以下载最新的木马分析专家扫描分析，会列出这些文件名，然后用他的病毒文件定位，把它们一一删除。

2、 在资源管理器的地址栏上直接输入：
C:\Documents and Settings\系统用户名\Local Settings\Temporary Internet Files\Content.IE5\
C:\Documents and Settings\系统用户名\Local Settings\Temporary Internet Files\
C:\Documents and Settings\系统用户名\Local Settings\Temp\
这三个临时文件夹中的文件全部直接删除。
3、 连接上网络，在资源管理器的地址栏上直接输入：http://cn.zs.yahoo.com/
然后在IE修复的高级修复中，通过扫描出来后，把所有未知的勾上，然后点立即修复，完成后，到IE修复的保护IE，启动保护中，把保护系统启动项勾选，把启动项保护起来。
4、 在雅虎助手的IE修复的编辑Hosts表，发现有IP，后面的网址的话，把前面的IP改为127.0.0.1 ,然后点击立即保存，重新启动计算机。
5、 重启系统后，用杀病毒软件（保持最新的病毒特征库）进行完全查杀病毒。

[ 本帖最后由 zhangzhiyu8866 于 2009-8-29 10:30 编辑 ]

samtogo

另外启动时加载打开。。。该病毒启动时就已经加载所以诺顿无法清除干净。。。
file:///C:/Users/sam.to/AppData/Local/Temp/moz-screenshot.png

woshijiqiren

扫描报告到求援区

lzxzyhy

我也一样，就这周才出现的。

shenxiaogang

我也是昨晚发现的，我好像是上了一个叫 麦粉论坛的就有了
McAfeefans.com

samtogo

这个病毒诺顿直接清理不干净的。。。启动时加载了。。。

lcyku

一样..我这好多机器都出现该问题..一直不停的报...关都关不掉

pcstx

我和我周围装NIS2009的都和楼主一样的情况，打开某些网站就死命的报。
不知道诺顿怎么了，难道发神经病了

aribeth199

可能是个别网站页面的flash导致的。