人在德国社区 - Powered by Discuz! Board

标题: [其他] 电脑坏了，紧急求助！ [打印本页]

作者: kristall325 时间: 2008-3-7 17:56 标题: 电脑坏了，紧急求助！

我的电脑 (IBM-R51) 不幸中毒，看样子还挺厉害。因为已经格式化了一次，然后更新完所有软件，又查了一遍病毒，结果什么也没发现。可是刚上网病毒又发作了。具体表现是不时有网页跳出来，每次基本不一样。电脑速度被拖的很慢，进程很不稳定。瑞星杀毒软件也自动关闭，然后就打不开。尝试在安全模式下杀毒，可是根本无法进入安全模式。电脑也关不住，只能强行关机。
难过的要命，难道我的电脑就完全坏了？请大家帮我出出主意，还有什么可能性。先谢谢了。

[ 本帖最后由 kristall325 于 2008-3-7 18:03 编辑 ]

作者: RSPCA2001 时间: 2008-3-7 18:01

我刚中的这个病毒，你的每个硬盘盘符下都有auto.exe文件，问题是上网是不停开启相同的网页，我用卡巴斯基杀掉了

作者: kristall325 时间: 2008-3-7 18:07

我用在线卡巴司基查，可是总显示错误。是不是得先删除瑞星才能用在线卡巴司基？

作者: 发情的马甲 时间: 2008-3-7 18:22 标题: 学习一下这篇文章,也许你就能自己解决问题了.

原帖由 kristall325 于 2008-3-7 17:56 发表
我的电脑 (IBM-R51) 不幸中毒，看样子还挺厉害。因为已经格式化了一次，然后更新完所有软件，又查了一遍病毒，结果什么也没发现。可是刚上网病毒又发作了。具体表现是不时有网页跳出来，每次基本不一样。电脑速度被拖 ...

无法进入安全模式,进入安全模式重启,进入安全模式重启,无法打开杀毒软件,无法显示隐藏文件

目前有很多种病毒有”智能学习功能”, 只要发现你运行的程序危及到病毒自身安全,会强行关闭你所打开的程序,当然包括所有的杀毒软件.这类病毒一般情况下会模拟运行系统其中一个程序,例如svchost, fmt等. 电脑无法进入安全模式，通常情况下是由于注册表safeboot项被修改造成的,为了修复系统,也可以不进安全模式进行修复处理这类病毒的方法:
选择启动时只加载基本设备驱动,方法为:运行-------msconfig-------诊断启动----.(备注:千万不要选择安全模式启动,否则你连系统都无法进入..)
进入系统后千万不要双击任何盘符,因为病毒已经在每一个盘内写入了autorun.Inf,及所需要的病毒文件exe.记得用资源管理器打开盘符,打开文件夹选项,选择显示所有隐藏文件及隐藏文件夹,然后就会在每一个盘内看到两个这样的文件,删除即可,不要双击盘符直接打开,切记!

(如果你进入的不是诊断启动,隐藏文件夹是被病毒屏蔽掉看不到的,修改方式需要修改注册表,比较复杂,这里不适合菜鸟,具体方法为: 运行regedit

HKEY_LOCAL_MACHINE | Software |Microsoft | windows | CurrentVersion | explorer | Advanced | Folder | Hidden | SHOWALL，将CheckedValue键值修改为1

但可能依然没有用，隐藏文件还是没有显示，这是因为病毒在修改注册表达到隐藏文件目的之后，把本来有效的DWORD值CheckedValue删除掉，新建了一个无效的字符串值CheckedValue，并且把键值改为0！

方法：删除此CheckedValue键值，单击右键新建Dword值，命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。)-----------------如果你觉得复杂可以不做这一步,按照上述方法进行即可.
然后要做的事情就是下载可以杀灭这类病毒的专杀工具即可,推荐的工具有这个: http://www.chenoe.com/ 去下载其中一个即可

以下为无法进安全模式,及无法打开杀毒软件的其他处理方式,为网上搜集:
选择“显示隐藏文件”这一选项后，发现U盘有个文件闪出来一下就马上又消失了，而再打开文件夹选项时，发现仍就是“不显示隐藏文件”这一选项。而且刚发现点击C、D等盘符图标时会另外打开一个窗口！

　　总结：

　　I、病情描述：

　1、无法显示隐藏文件；
　　2、点击C、D等盘符图标时会另外打开一个窗口；
　　3、用winrar查看时发现C、D等根目录下有autorun.inf和tel.xls.exe两个恶心的文件；
　　4、任务管理器中的应用进程一栏里有个莫明其妙的kill；
　　5、开机启动项中有莫明其妙的SocksA.exe。　

　 II、解决办法：

　　用了一些专杀工具和DOS下的批处理文件，都不好使，只好DIY。注意在以下整个过程中不要双击硬盘分区，需要打开时用鼠标右键—>打开。

　　一、关闭病毒进程

　在任务管理器应用程序里面查找类似kill等你不认识的进程，右键—>转到进程，找到类似SVOHOST.exe（也可能就是某个svchost.exe）的进程，右键—>结束进程树。

　　二、显示出被隐藏的系统文件

　　开始—>运行—>regedit
{HKEY_LOCAL_MACHINE/Software/Microsoft/windows/CurrentVersion/explorer/Advanced/ Folder/Hidden/SHOWALL \

　　删除CheckedValue键值，单击右键新建—>Dword值—>命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。

三、删除病毒

　　在分区盘上单击鼠标右键—>打开，看到每个盘跟目录下有autorun.inf 和tel/.xls/.exe 两个文件，将其删除，U盘同样。

　　四、删除病毒的自动运行项

　　开始—>运行—>msconfig—>启动—>删除类似sacksa.exe、SocksA.exe之类项，或者打开注册表运行regedit 　　HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run n7&J ，删除类似C:/WINDOWS/system32/SVOHOST.exe 的项。 "

五、删除遗留文件

　　C:/WINDOWS/ 跟 C:/WINDOWS/system32/ 目录下删除SVOHOST.exe(注意系统有一个类似文件，图标怪异的那个类似excel的图标的是病毒)session.exe、sacaka.exe、SocksA.exe以及所有excel类似图标的文件，每个文件夹两个，不要误删哦，自己注意。重启电脑后，基本可以了

我的电脑无法显示隐藏文件,在控制面板中的文件夹选项中也没办法改变过来
我
运行注册表展开到：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\把CheckedValue改为1 重起机器结果还是没有用

另外，我的CheckedValue的类型是REG_SZ,而不是REG_DWORD，无病毒迹象，求帮助
提问者： jycspring - 秀才二级
最佳答案
有时候系统中病毒以后(例如sxs.exe和lsass(落雪病毒)),杀毒软件无法杀毒,或者没有杀毒软件.这时就需要手动杀毒.这时往往需要删除病毒文件,病毒文件为了保护自己,总是把自己隐藏起来.把文件属性设置成隐藏,一般的病毒我们通过修改菜单:工具--文件夹选项--查看--显示隐藏文件即可.但是很多病毒通过修改注册表使我们这步操作失效,还是无法看到隐藏文件,下面的操作就是教我们如何通过修改注册表让隐藏的文件原形毕露。
首先要显示出被隐藏的系统文件

运行regedit

HKEY_LOCAL_MACHINE | Software |Microsoft | windows | CurrentVersion | explorer | Advanced | Folder | Hidden | SHOWALL，将CheckedValue键值修改为1

但可能依然没有用，隐藏文件还是没有显示，这是因为病毒在修改注册表达到隐藏文件目的之后，把本来有效的DWORD值CheckedValue删除掉，新建了一个无效的字符串值CheckedValue，并且把键值改为0！

方法：删除此CheckedValue键值，单击右键新建Dword值，命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。

1、更改注册表：
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下添加键值：
"Shell"="Explorer.exe commamd.exe"（只要打开资源管理器，就会运行木马文件commamd.exe）。
更改HKEY_CLASSES_ROOT\txtfile\shell\open\command的默认键值为@="C:\\windows\\system32\\lsasa.exe \"%1\""（只要打开记事本，就会运行木马文件lsasa.exe）。
在HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main下写入键值："Start Page"="http://www.joyiex.com"（将http://www.joyiex.com设为默认主页）。
在HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system下写入键值："DisableTaskMgr"="1"（禁止用户打开任务管理器）。
在HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run下添加键值："ctfnom.exe"="C:\\windows\\SVOHOST.exe"（实现启动加载）。
在HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel下写入键值："HomePage"="1"（禁止更改浏览器主页）。

2、在C:\WINDOWS\下创建木马文件SVOHOST.EXE（REAL图标）
3、在SYSTEM32文件夹创建木马文件command.exe和lsasa.exe

二、手工杀毒：
1、用第三方软件（TuneUp、IceSword等）结束木马进程SVOHOST.EXE。因为WINDOWS的任务管理器已被木马被禁用。
2、用第三方软件TuneUp的注册表编辑器打开注册表。
定位到：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下添加键值：
将"Shell"="Explorer.exe commamd.exe"改为"Shell"="Explorer.exe"；
定位到：HKEY_CLASSES_ROOT\txtfile\shell\open\command，将键值改为@=""%1\"%*";
定位到：HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main，删除键值："Start Page"="http://www.joyiex.com"；
定位到：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system，将键值："DisableTaskMgr"="1"改为"DisableTaskMgr"="0"；
定位到：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run，删除键值："ctfnom.exe"="C:\\windows\\SVOHOST.exe"；
定位到：HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel，删除键值："HomePage"="1"。
3、删除木马文件（C:\WINDOWS\下的SVOHOST.EXE；SYSTEM32下的command.exe和lsasa.exe）。

作者: 发情的马甲 时间: 2008-3-7 18:26

我估计你的病毒在移动硬盘里也有.你用上面的方法在移动硬盘的根目录下找找有没有autorun.inf和tel.xls.exe之类的文件,有的话把它删了.

欢迎光临人在德国社区 (http://csuchen.de/bbs/)