|
 
- 积分
- 18709
- 威望
- 796
- 金钱
- 3
- 阅读权限
- 100
- 性别
- 男
- 在线时间
- 3271 小时
|
4#
发表于 2008-3-7 18:22
| 只看该作者
学习一下这篇文章,也许你就能自己解决问题了.
原帖由 kristall325 于 2008-3-7 17:56 发表 
我的电脑 (IBM-R51) 不幸中毒，看样子还挺厉害。因为已经格式化了一次，然后更新完所有软件，又查了一遍病毒，结果什么也没发现。可是刚上网病毒又发作了。具体表现是不时有网页跳出来，每次基本不一样。电脑速度被拖 ...
无法进入安全模式,进入安全模式重启,进入安全模式重启,无法打开杀毒软件,无法显示隐藏文件
目前有很多种病毒有”智能学习功能”, 只要发现你运行的程序危及到病毒自身安全,会强行关闭你所打开的程序,当然包括所有的杀毒软件.这类病毒一般情况下会模拟运行系统其中一个程序,例如svchost, fmt等. 电脑无法进入安全模式，通常情况下是由于注册表safeboot项被修改造成的,为了修复系统,也可以不进安全模式进行修复处理这类病毒的方法:
选择启动时只加载基本设备驱动,方法为:运行-------msconfig-------诊断启动----.(备注:千万不要选择安全模式启动,否则你连系统都无法进入..)
进入系统后千万不要双击任何盘符,因为病毒已经在每一个盘内写入了autorun.Inf,及所需要的病毒文件exe.记得用资源管理器打开盘符,打开文件夹选项,选择 显示所有隐藏文件及隐藏文件夹,然后就会在每一个盘内看到两个这样的文件,删除即可,不要双击盘符直接打开,切记!
(如果你进入的不是诊断启动,隐藏文件夹是被病毒屏蔽掉看不到的,修改方式需要修改注册表,比较复杂,这里不适合菜鸟,具体方法为: 运行regedit
HKEY_LOCAL_MACHINE | Software |Microsoft | windows | CurrentVersion | explorer | Advanced | Folder | Hidden | SHOWALL，将CheckedValue键值修改为1
但可能依然没有用，隐藏文件还是没有显示，这是因为病毒在修改注册表达到隐藏文件目的之后，把本来有效的DWORD值CheckedValue删除掉，新建了一个无效的字符串值CheckedValue，并且把键值改为0！
方法：删除此CheckedValue键值，单击右键 新建Dword值，命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。)-----------------如果你觉得复杂可以不做这一步,按照上述方法进行即可.
然后要做的事情就是下载可以杀灭这类病毒的专杀工具即可,推荐的工具有这个: http://www.chenoe.com/ 去下载其中一个即可
以下为无法进安全模式,及无法打开杀毒软件的其他处理方式,为网上搜集:
选择“显示隐藏文件”这一选项后，发现U盘有个文件闪出来一下就马上又消失了，而再打开文件夹选项时，发现仍就是“不显示隐藏文件”这一选项。而且刚发现点击C、D等盘符图标时会另外打开一个窗口！
总结：
I、病情描述：
1、无法显示隐藏文件；
2、点击C、D等盘符图标时会另外打开一个窗口；
3、用winrar查看时发现C、D等根目录下有autorun.inf和tel.xls.exe两个恶心的文件；
4、任务管理器中的应用进程一栏里有个莫明其妙的kill；
5、开机启动项中有莫明其妙的SocksA.exe。
II、解决办法：
用了一些专杀工具和DOS下的批处理文件，都不好使，只好DIY。注意在以下整个过程中不要双击硬盘分区，需要打开时用鼠标右键—>打开。
一、关闭病毒进程
在任务管理器应用程序里面查找类似kill等你不认识的进程，右键—>转到进程，找到类似SVOHOST.exe（也可能就是某个svchost.exe）的进程，右键—>结束进程树。
二、显示出被隐藏的系统文件
开始—>运行—>regedit
{HKEY_LOCAL_MACHINE/Software/Microsoft/windows/CurrentVersion/explorer/Advanced/ Folder/Hidden/SHOWALL \
删除CheckedValue键值，单击右键 新建—>Dword值—>命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。
三、删除病毒
在分区盘上单击鼠标右键—>打开，看到每个盘跟目录下有autorun.inf 和tel/.xls/.exe 两个文件，将其删除，U盘同样。
四、删除病毒的自动运行项
开始—>运行—>msconfig—>启动—>删除类似sacksa.exe、SocksA.exe之类项，或者打开注册表运行regedit HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run n7&J ，删除类似C:/WINDOWS/system32/SVOHOST.exe 的项。 "
五、删除遗留文件
C:/WINDOWS/ 跟 C:/WINDOWS/system32/ 目录下删除SVOHOST.exe(注意系统有一个类似文件，图标怪异的那个类似excel的图标的是病毒)session.exe、sacaka.exe、SocksA.exe以及所有excel类似图标的文件，每个文件夹两个，不要误删哦，自己注意。重启电脑后，基本可以了
我的电脑无法显示隐藏文件,在控制面板中的文件夹选项中也没办法改变过来
我
运行注册表展开到：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\把CheckedValue改为1 重起机器 结果还是没有用
另外，我的CheckedValue的类型是REG_SZ,而不是REG_DWORD，无病毒迹象，求帮助
提问者： jycspring - 秀才 二级
最佳答案
有时候系统中病毒以后(例如sxs.exe和lsass(落雪病毒)),杀毒软件无法杀毒,或者没有杀毒软件.这时就需要手动杀毒.这时往往需要删除病毒文件,病毒文件为了保护自己,总是把自己隐藏起来.把文件属性设置成隐藏,一般的病毒我们通过修改菜单:工具--文件夹选项--查看--显示隐藏文件即可.但是很多病毒通过修改注册表使我们这步操作失效,还是无法看到隐藏文件,下面的操作就是教我们如何通过修改注册表让隐藏的文件原形毕露。
首先要显示出被隐藏的系统文件
运行regedit
HKEY_LOCAL_MACHINE | Software |Microsoft | windows | CurrentVersion | explorer | Advanced | Folder | Hidden | SHOWALL，将CheckedValue键值修改为1
但可能依然没有用，隐藏文件还是没有显示，这是因为病毒在修改注册表达到隐藏文件目的之后，把本来有效的DWORD值CheckedValue删除掉，新建了一个无效的字符串值CheckedValue，并且把键值改为0！
方法：删除此CheckedValue键值，单击右键 新建Dword值，命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。
1、更改注册表：
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下添加键值：
"Shell"="Explorer.exe commamd.exe"（只要打开资源管理器，就会运行木马文件commamd.exe）。
更改HKEY_CLASSES_ROOT\txtfile\shell\open\command的默认键值为@="C:\\windows\\system32\\lsasa.exe \"%1\""（只要打开记事本，就会运行木马文件lsasa.exe）。
在HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main下写入键值："Start Page"="http://www.joyiex.com"（将http://www.joyiex.com设为默认主页）。
在HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system下写入键值："DisableTaskMgr"="1"（禁止用户打开任务管理器）。
在HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run下添加键值："ctfnom.exe"="C:\\windows\\SVOHOST.exe"（实现启动加载）。
在HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel下写入键值："HomePage"="1"（禁止更改浏览器主页）。
2、在C:\WINDOWS\下创建木马文件SVOHOST.EXE（REAL图标）
3、在SYSTEM32文件夹创建木马文件command.exe和lsasa.exe
二、手工杀毒：
1、用第三方软件（TuneUp、IceSword等）结束木马进程SVOHOST.EXE。因为WINDOWS的任务管理器已被木马被禁用。
2、用第三方软件TuneUp的注册表编辑器打开注册表。
定位到：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下添加键值：
将"Shell"="Explorer.exe commamd.exe"改为"Shell"="Explorer.exe"；
定位到：HKEY_CLASSES_ROOT\txtfile\shell\open\command，将键值改为@=""%1\"%*";
定位到：HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main，删除键值："Start Page"="http://www.joyiex.com"；
定位到：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system，将键值："DisableTaskMgr"="1"改为"DisableTaskMgr"="0"；
定位到：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run，删除键值："ctfnom.exe"="C:\\windows\\SVOHOST.exe"；
定位到：HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel，删除键值："HomePage"="1"。
3、删除木马文件（C:\WINDOWS\下的SVOHOST.EXE；SYSTEM32下的command.exe和lsasa.exe）。 |
|
