病毒样本!3月15日Mcafee的病毒库4985竟然发现不了~~~

longs

原帖由 tun 于 2007-3-16 16:32 发表
咖啡启发报了
Death.rar\DEATH.EXE\DEATH.EXE ... Found virus or variant New Malware.b !!!
Please send a copy of the file to McAfee

给咖啡的话，以 Zip 打包附上密码：infected
送至 virus_researc ...

多谢！！！！

gggh

卡8杀了呀

663219623

驱逐舰报毒杀死，呵呵

sexing

我靠！就是一个挂木马的网页！

superkoei

卡巴斯基报警蠕虫！！

hsjj2005

费尔

longs

我在网上仔细搜索了一下，这个病毒是某人模仿熊猫烧香搞出来的，病毒的BUG比较多，消除也比较容易（被强人变异就没办法了），本着负责的精神，现将手工杀毒方法列出：

1、病毒运行释放文件：
C:\WINDOWS\system32\Supervise.exe
C:\WINDOWS\system32\Death.SiShen
C:\WINDOWS\system32\Death.exe

2、创建启动项：
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Supervise.exe"="C:\WINDOWS\system32\Supervise.exe"

[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
"Death.exe"="C:\WINDOWS\system32\Death.exe"

3、手工杀毒方法：
（1）删除注册表启动项；
（2）删除病毒文件；
（3）重启电脑，解毒完毕。

另外，在C盘根目录下还有一个字典文本文件，是病毒用来搜索网络口令的，看着不顺眼就删，不删也无所谓。

说明一下，被感染的电脑是一个内部局域网的主机，没有连接到互联网，只发现death.exe进程，没有发现很多资料上说的Supervise.exe进程，资料上说此病毒要从网上某地址下载病毒进程，这可能是这个病毒不完整的原因吧，我的局域网内只发现这一台主机被感染，其它都没事（因为这台主机是公用机，USB口每天被插无数次~~~其它都不对外），不过death.exe进程能驻留内存，能封杀某些杀软件进程，能自动感染U盘，已经是一个相当完整的病毒了。

经验之谈：禁用USB口的自动运行功能（网上有此类工具软件），可以防止不少类似病毒，尤其对局域网用户更重要。

再次感谢大家的帮助，谢谢。

[ 本帖最后由 longs 于 2007-3-19 14:32 编辑 ]