|
该网站上含有典型的bmp木马,并含有恶意脚本。而且任务管理器打开后会被自动关闭,注册表也无法打开,会提示被管理员禁止。并且txt文件的关联也被修改,很是讨厌!有朋友向小陌发来了求助。 经过进一步的分析,bmp文件中下载的是“武汉男生2005”和“破解还原精灵”的程序。该bmp本身是一个下载器,毒霸报为(Win32.Troj.DownloadSmal.9072),下载的“武汉男生2005”,毒霸也是可以查杀的!但由于涉及到修改了注册表的相关内容,所以小陌在此提供手工建议解决方案:
1.开机进入安全模式(开机后,按F8,选择带网络命令的安全模式)
2.然后进入系统文件夹(xp,98用户为C://WINDOWS/system32,2000用户为C://Winnt/system32)
查找easn.exe,gop.exe,mstinitt.exe,windows.exe,logonuit.exe这些文件,一并删除!
3.下载注册表清理工具(小陌推荐金山毒霸的工具),下载地址:http://db.kingsoft.com/download/3/8.shtml;或者自己制作一个.reg文件,双击直接运行(制作方法,网上有介绍,小陌在此不再作叙述)
4.开启注册表编辑器(开始,运行,输入“regedit.exe”),定位到HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Runonce下,删除windows update----------C:WINDOWSSystem32logonuit.exe这一项,然后再定位到HKEY_CLASSES_ROOT/txtfile/shell/open/command下,将C:WINDOWSSystem32mstinitt.exe %1修改为C:WINDOWSNOTEPAD.EXE %1
5.再在注册表中查找以下选项,"HKCU/Software/Microsoft/Internet Explorer/Main/Start Page", "http://www.169super.com"
"HKCU/Software/Microsoft/Internet Explorer/Main/Start Page", "http://www.169super.com"
"HKCU/Software/Microsoft/Internet Explorer/Main/Search Page", "http://www.169super.com"
"HKCU/Software/Microsoft/Internet Explorer/Main/default_page_url", "http://www.169super.com"
"HKCU/Software/Microsoft/Internet Explorer/TypedURLs/url1","http://www.169super.com"
"HKCU/Software/Microsoft/Internet Explorer/TypedURLs/url2","http://www.169super.com"
"HKCU/Software/Microsoft/Internet Explorer/TypedURLs/url3","http://www.169super.com"
"HKCU/Software/Microsoft/Internet Explorer/Main/First Home Page","http://www.169super.com"
将以上中的网址全部删除
"HKCU/Software/Policies/Microsoft/Internet Explorer/Control Panel/HomePage",1,"REG_DWORD"
"HKCU/Software/Microsoft/Windows/CurrentVersion/Policies/System/DisableRegistryTools",1,"REG_DWORD",将这两项中的“1”改为0!
6.最后重启系统! 附:由于最新的joyiex网页中已经去除了恶意脚本,因此解决方案中的第5步可能在部分朋友的电脑中并没有修改,如在查找后发现没有被修改的朋友,可以不要太过紧张,跳过这一步就可以了! |