很幸运的,病毒缠身...

软硬通吃 · 2006-09-05 · 544 人浏览

今天我才发现,昨天电脑病毒没有彻底杀完。又有一个最新面世的Realplayer.exe隆重登场。(修改主页为7939.com)
网上给出的症状及查杀方法:

Realplayer.exe brlmon.dll 解决方案

病毒名称:Win32.TrojanDownloader.Delf.NMM (avp)
病毒大小:31,744 字节
加壳方式:UPX
传染方式:通过恶意网站传播,通过其它病毒、木马下载

病毒分析:
1、Realplayer.exe运行后复制自身到系统目录%System%\Realplayer.exe,在%Windows%目录下生成bat批处理删除原文件:
:try
del "Realplayer.exe"
if exist "Realplayer.exe" goto try
del %0
Realplayer.exe释放%System%\brlmon.dll,尝试插入Explorer.exe进程。

2、创建启动项:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft NT\Windows\CurrentVersion\Winlogon]
"Shell"="Explorer.exe %System%\Realplayer.exe"

3、修改IE主页:
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="hxtp://www.7939.com/"

4、设置注册表信息:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RunDown\info]
"vvad"="0"
以上注册表信息和%System%\brlmon.dll文件大约每2秒会监视恢复。

5、终止其他进程:
fint2005.exe
Unlocker.exe
unlockerassistant.exe
HijackThis.exe
DLLShow.exe
RogueCleaner.exe
DosTools.exe
Killbox.exe
uihost.exe

6、尝试关闭杀软窗口:
瑞星注册表监控提示
主动防御 警报
AVP

7、自动连接down.Virussky.com,更新版本替换旧版本

解决方法:

1. 终止%System%\Realplayer.exe进程

2. 终止%Windows%\Explorer.exe进程

3. 通过任务管理器→新建任务→浏览系统盘,删除病毒文件:
%System%\Realplayer.exe
%System%\brlmon.dll

4. 然后在新建任务那里,运行注册表编辑器,删除病毒启动项:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"

5. 删除病毒添加的注册表信息:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft NT]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RunDown]

6.搜索注册表被修改的IE主页,恢复默认。

如今这个病毒变种很快,按照这个方法杀完毒后,现在俺电脑还是不能上网...
dns错误,瑞星监控完全不能开启...
正在继续研究对策中....

京ICP备2023019113号-1 ◎ Theme by Jasmine