sagood

abeTrojan.Win32.Agent.abe病毒清除/删除方法及解决方案 http://zhidao.baidu.com/question/15302671.html

这个QQ病毒和以往的此类病毒最大的区别就是不是通过发送网址来让人点击进入，而是染毒计算机会自动向QQ好友发送病毒文件，而且病毒文件大小不定，发送的病毒文件名具有一定诱惑性，诸如：

今年过年不收礼，收礼只收白骨精（搞笑版广告）.exe
啊哈，网友发的超级搞笑FLASH，你看得懂吗.exe
接啊，快接啊，推荐给你看看.exe
一个对你目前工作很有帮助的东东.exe
网上电视（20个CCTV频道+36个省台+50个英文台，极力推荐）.exe
等等。

病毒文件图标是WINRAR的压缩包的图样。

病毒运行后首先建立HKLM\Software\Classes\MSipv项，然后病毒创建自身副本到系统目录下：
%System%\ .exe
%System%\notepad .exe
%Windows%\System\RUNDLL32.EXE（如果是Windows 2000/XP）
%Windows%\System32\RUNDLL32.EXE（如果是Windows 9x）

并修改EXE和TXT的文件关联：
HKLM\Software\Classes\exefile\shell\open\command
EXE文件关联被修改为“ %1 %*”
HKLM\Software\Classes\txtfile\shell\open\command
TXT文件关联被修改为“notepad %1”

注：其中“ ”不是单纯的一个空格，而是一个字符,是双字节ASCII码为“41643”。病毒感染系统后会显示一个提示框：“安装时检测到系统中某程序与本软件发生冲突，请先纠正该冲突，或选择另一台电脑上安装！”
再注：病毒文件大小不固定，从文件内容来看好像是通过一些重复的信息来改变文件大小。

此外，病毒还会检查被感染系统是否安装QQ，如果安装有QQ，病毒则通过注册表找到QQ.EXE所在路径，把正常的TIMPlatform.exe改名为TIMP1atform.exe，将病毒自身复制为TIMPlatform.exe。

最后在注册表建立病毒标记：
HKLM\Software\Classes\MSipv\MainSetup
HKLM\Software\Classes\MSipv\MainUp
HKLM\Software\Classes\MSipv\MainVer
其中MainSetup和MainUp值相同，但不固定。

病毒的清除
由于病毒关联了EXE文件，我们建议这样处理：
首先打开注册表编辑器或用来恢复文件关联的工具（如RegFix），先不要关闭（否则再次启动应用程序的时候使病毒又重新加载，或者将“.exe”的后缀名改为“.com”也可以。），然后通过任务管理器或KillBox或者是TroyanFindInfo等进程管理工具结束病毒Rundll32.exe的进程，接下来恢复EXE和TXT文件关联，最后再找到病毒文件删除掉：
%System%\ .exe
%System%\notepad .exe
%Windows%\System\RUNDLL32.EXE（如果是Windows 2000/XP）
%Windows%\System32\RUNDLL32.EXE（如果是Windows 9x）
还有一步，到QQ安装目录下，把病毒生成的TIMPlatform.exe删除，然后把TIMP1atform.exe改名为TIMPlatform.exe即可。
注：推荐使用工具来恢复TXT文件关联。
木马可以把自己改为系统启动时必定会调用的某个文件名，并复制到比原文件要浅一级以上的目录里。Windows系统搜寻一个不带路径信息的文件时遵循一种“从外到里”的规则，这就意味着，如果有两个同样名称的文件分别放在C:\和C:\Windows下，Windows会执行C:\下的程序，而不是C:\Windows下的，这就是木马运行起来的方式。但关键是如果你以为删除掉这些木马程序就万事大吉的话，你会发现在删除之后哭都来不及：系统也出了故障，所有应用程序都打不开了。因为在Windows系统里，文件的打开操作是通过注册表内相应键值指定的应用程序来执行的，这个部分位于注册表的“HKEY_CLASSES_ROOT”主键内。而应用程序自身也被视为一个文件，它也属于一种文件类型，同样可以用其他方式开启，只不过Windows设置它的调用程序为“"%1" %*”，但是木马程序则修改了应用程序(EXE文件)的并联方式,它将EXE后缀名对应的exefile类型的“打开方式”改成了“木马程序 "%1" %*”，也就是说，系统是通过调用木马程序将原来的.exe程序打开。所以当你把木马杀死后，没有东西给被改变并联方式的.exe文件传递参数，就没法启动这些程序，自然你的电脑的应用程序就打不开了。
一种最最最方便简捷有效的方法来恢复.exe文件的关联文件：新建一个记事本文件，把下面的复制进去
Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\exefile\shell\open\command]
@="\"%1\" %*"
直接保存，然后右键点此文件，选打开方式-〉选择程序-〉浏览到windows文件夹里双击regedit,把信息加到注册表就可以了 。

如果你们的确看不懂 那我就给你们个补丁连接 打上补丁一般没事了
我的一些客户就是我给打的补丁 一直没出现什么问题
http://hi.baidu.com/pinkrare/blo ... 5e8c8fa1ec9c7f.html

Trojan.Win32.StartPage最新解决方法已经出台：http://hi.baidu.com/pinkrare/blo ... 4ab3faae51337d.html
希望能给你们帮助。

lilyn01

还是重新装系统吧，太复杂了。虽然俺会先试着杀杀——为了解恨！但恐怕不容易弄净。
请问诸位大侠，怎样格掉C盘后从光盘启动重装系统？是否Dos下format C:
然后呢？从哪里怎么设置成光盘启动？
另外，原来装好系统后分区的只格C装系统行么？会不会光盘自动把所有盘都覆盖掉？

sagood

1 看说明不是很难清除
2 开机一般按del进入cmos，改变机器第一引导顺序为 cd-rom
3 放入光盘，安装xp的话，可以在安装之前选择格式化c盘

lilyn01

就是安XP。那个格式化C盘是在哪里选择？用光盘启动之后还是进cmos之前？

sunbird10

原帖由 lilyn01 于 2007-6-22 17:36 发表
就是安XP。那个格式化C盘是在哪里选择？用光盘启动之后还是进cmos之前？

启动之后。选择从光盘启动后，保存设置，电脑重启，光驱读盘，电脑提示按任意键从光盘启动，然后读盘，稍等片刻，这时会提取乱七八糟的文件，然后出来个协议，按F8同意，再就出来个选项，问你是修复（按R）还是要安装（忘了是什么字母了，看提示吧）还是取消，选安装，又出来个提示，问要在哪个分区下安装，或者要删除一个分区，或者取消，选你想格式化的分区，然后按提示，点相应的字母，最后又出来个选项，是NTFS还是NTFS 快速，还是FAT或FAT 快速，如果你没啥特殊要求就选NTFS快速吧。稍等片刻，电脑提示15秒后自动重启还是立即重启。重启后什么都不用管，自动进入XP安装阶段

会员18888

光盘启动之后进入XP安装程序.走到某一步会显示你硬盘上分了几个区,问你系统装在哪里. 也有选相可以先消掉C区,在空的地方装XP系统. C跟D别搞混就行. 选错D就被覆盖了.:astonishment: :astonishment:

lilyn01

多谢大家的热心帮忙！感动ing
只是听说我们那个笔记本自带的windowsXP家庭版会由于原本系统是在分区前装的而直接覆盖掉所有分区，一直没敢擅动。
实在不行就只好备份下那另外50G的数据再装系统了——大多都是电影电视的，实在舍不得丢啊。这年头儿，在这里找点娱乐内容不容易啊。

会员18888

原帖由 lilyn01 于 2007-6-22 17:56 发表
多谢大家的热心帮忙！感动ing
只是听说我们那个笔记本自带的windowsXP家庭版会由于原本系统是在分区前装的而直接覆盖掉所有分区，一直没敢擅动。
实在不行就只好备份下那另外50G的数据再装系统了 ...

我说的是用正版XP安装盘的情况.
笔记本自带的叫恢复光盘, 用它装,分区可能就没了. 恢复到你买来时的情况.聪明的恢复盘只恢复C区. 笨的就全盖住了.

wawa

如果感染的话，还是危险。别的分区上也有可能有复制的病毒文件，以后还是有隐患。最好能硬盘全部格式化。不行的话，还是先杀毒吧。

-现任上帝-

跟你电脑说bye bye吧， 没希望了。 重新分区再重装一次。 以前的照片或其他存档文件可以考出来。 所有exe，rar, zip，自解压安装文件，这些全部不能再要了。 他们都被感染了，这些被感染的文件根本无法将它们跟病毒分离。 杀掉系统和内存里的病毒又有什么用。你只要一运行被感染过的任何文件，马上病毒重现.......超级恶心。