谁说Mod 4轻松的?
晃晃悠悠又过了一天
又学了点新鲜的
哼哼,病毒,敢跟我斗!!!
HKEY_LOCAL_MACHINE\SYSTEM\Controlset001\Services
HKEY_LOCAL_MACHINE\SYSTEM\Controlset002\Services
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
下找到以病毒文件名命名的项并删除(这是删除病毒文件的注册项)
今天又发现Adware.NewWeb病毒,按上次“删除Adware.NewWeb(http://blog.sina.com.cn/u/4baba09b010006z8)病毒”进行删除而无法清除,我在C:\WINDOWS\system32 下找到病毒文件(4e7fntos.dll)删除它后又自动生成此文件。一直不住地检查注册表(HKLM\SYSTEM\CurrentControlSet\Services\)下自己这个驱动的值,如果删除马上又会生成。
看来它的驱动保护做的还是不错的,难以杀掉的原因是对文件以及进程都做了保护。我用了一个autoruns揪出流氓软件的驱动保护,我们今天就来实战一下。运行autoruns之后,在它的“Options(选项)”菜单中有两项“Verifiy Code Signatures(验证代码签名)“Hide Signed Microsoft Entries(隐藏已签名的微软项)“,把这两项都选中了。扫描之后,我们只看驱动(driver)这一项:可以看出C:\WINNT\SYSTEM32\DRIVER\ATMSIG.SYS、C:\WINNT\SYSTEM32\4e7fntos.dll都没有经过微软的数字签名,所以肯定是假的。(因为是随机生成的文件名,所以你那里找出来的,可能跟我的不一样)。
我记下ATMSIG.SYS和\4e7fntos.dll,用了一个unlocker的软件进行解锁。然后就可以把病毒文件删除了。然后在运行里输入REGEDIT打开注册表编辑器,删除下列项:
HKEY_CLASSES_ROOT\CLSID\{841B2B65-118D-4FF2-AD63-4CFF44B8B 68F}
HKEY_CLASSES_ROOT\CLSID\{da187a27-ceb3-4e7f-ae2b-1b294ae19f4f}
HKEY_CLASSES_ROOT\CLSID\{DFCB34B6-902D-426E-AE2B-1B294AE19F4F}
HKEY_CLASSES_ROOT\TypeLib\{FD5EC997-35AB-49B6-A504-D0879643845F}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{DFCB34B6-902D-426E-AE2B-1B294AE19F4F}
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks\{DFCB34B6-902D-426E-AE2B-1B294AE19F4F}
并分别在:
HKEY_LOCAL_MACHINE\SYSTEM\Controlset001\Services
HKEY_LOCAL_MACHINE\SYSTEM\Controlset002\Services
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
下找到以病毒文件名命名atmsig的项并删除。
AutoRuns官方下载
http://download.sysinternals.com/Files/Autoruns.zip
新学期计划
我的internship
这个PE是投资中国的,所以我暑假得以有机会一半在这里,一半在中国。手边还有一个到非洲某国家投标采矿特许权的项目,也有中国一个大公司参与,我暑假的部分任务,就是作为老板的眼睛和嘴巴,告诉中国那个公司需要什么。中国矿产25%是从这个优雅的女人手里进口的。还有,就是我竟然还有钱可以拿。问了几个人,都说PE的实习,都是No pay。我不但有pay,而且是拿着美国人的平均,不是中国人的平均。更重要的是,今天她在跟我讨论,准备帮我办一个working permit,这样我就可以在这里正式工作。还有很多有趣的工作,每次听到工作内容,我都在对自己说,我不是在做梦吧?一切太完美了,不是吗?完美到,比我的梦还完美,当你遇到这种情况的时候,你会怎样?而这份工作,我没有面试,到最后她要我电话的时候,我才给她发了简历,就这么顺其自然,没有任何悬念的拿到了。