"鬼影"病毒入侵原理與感染后可能出現的癥狀(2)

　　“鬼影”病毒入侵后，會釋放驅動程序改寫硬盤MBR(主引導記錄)，驅動程序在開機過程中攻擊眾多殺毒軟件，令殺毒軟件失效，再下載傳統的AV終結者木馬下載器，最終目的依然是通過傳播盜號木馬，竊取用戶虛擬財產牟利。中毒后，最直觀的現象是安全軟件無法正常運行，電腦明顯變慢，IE主頁被改。

　　電腦感染后可能出現的癥狀

　　1、電腦非常卡，操作程序有明顯的停滯感，常見殺毒軟件無法正常打開，同時發現反復重裝系統后問題依舊無法解決。

　　2、系統文件被感染殺毒查殺以后提示找不到相應的dll或者系統功能不正常。目前rpcss.dll，ddraw.dll是盜號木馬現在常修改的系統dll。

　　3、QQ號碼被盜，可被黑客用來傳播廣告等。魔獸、DNF、天龍八部、夢幻西游等游戲賬號被盜。

　　4、進程中存在iexplor.exe進程并指向一個不正常的網站。

　　5、現在鬼影共同特征就是進程里有ali.exe6、你的電腦桌面上出現了一個討厭的“播放器”快捷方式，而且刪不掉。

　　鬼影病毒的工作原理

　　鬼影病毒偽裝為某共享軟件，欺騙用戶下載安裝。病毒運行后，會釋放2個驅動到用戶電腦中，并加載。驅動會修改系統的引導區(mbr)，并將b驅動寫入磁盤，保證病毒是優先于系統啟動，且病毒文件保存在系統之外。這樣進入系統后，病毒加載入內存，但找不到任何啟動項、找不到病毒文件、在進程中找不到任何進程模塊。

　　重啟系統后，存在于引導區中的惡意代碼會對windows系統的整個啟動過程進行監控，發現系統加載ntldr文件時，插入惡意代碼，使其加載寫入引導區第五個扇區的b驅動。b驅動加載起來后，會監視系統中的所有進程模塊，若存在安全軟件的進程，直接結束。b驅動會下載av終結者到電腦中，并運行。av終結者會修改系統文件，對安全軟件進程添加大量的映像劫持，下載大量的盜號木馬。進一步盜取用戶的虛擬財產。該病毒只針對Winxp系統，尚不能破壞Vista和Win7系統。

　　鬼影病毒處理方法

　　重裝系統格式化C盤，進入dos狀態，運行fdisk/mbr命令，用以清除掉主引導區的病毒引導代碼，這時候重裝系統就可以了，但是這是在完全安裝起作用的，如果你用是GHOST安裝系統那么還要多做以下幾步：

　　1、通過GHOST系統盤進入PQ/PM分區工具，一般GHOST系統盤都帶的。

　　2、右擊c盤，選擇進階-設為作用，這樣就把MBR引導層重新寫了一遍，這樣在引導層中的病毒也自然被剔除了。

　　3、直接用GHOST系統盤安裝系統就OK了。[3]DOS下手動查殺方法

　　第一步：找專殺工具：這里推薦使用“一鍵GHOST“，其中的DOS工具箱自帶的小工具DISKRW就可以完美解決。

　　第二步：殺除MBR病毒

　　1、清除MBR以外的硬盤保留扇區。安裝或制作好“一鍵GHOST”，開機進入一鍵

　　GHOST，最終出現紅色界面時按ESC鍵退回到主菜單，按方向鍵選擇“DOS工具箱”-->“DISKRW"-->"3.清除"-->"清除(2)“-->確定。(注意，盡量使用2010版，更早的版本不能保證有此功能)。

　　2、修復MBR(關鍵一步，必須做)，接著上一步，選擇“4.修復”-->“修復(F)“-->確定。第三步：重裝或恢復系統。在第二步完成后，千萬不要重啟電腦進入WINDOWS了，否則會二次感染。正確的方法是，將系統安裝光盤放入光驅中，重裝系統。或者如果你有本地的系統備份(當然是沒感染病毒之前做過的備份)，也可以用“一鍵恢復系統”功能進行恢復。

　　第四步：全盤殺毒。返回WINDOWS后，需要升級你的殺毒軟件到最新版本(最新病毒庫)，然后進行“全盤查殺”，這樣可以把殘留在非系統盤(比如D盤、E盤、F盤)里的病毒寄主文件殺掉，以做到“斬草除根”。

　　WindowsXP下MBRFix配合360安全衛士查殺

　　步驟一：開機打開任務管理器，結束(nat.exe)　

　　步驟二：打開360安全衛士，選擇系統修復來修復系統

　　步驟三：在網上下載一個工具(MBRFix)，在XP下運行“CMD”進入DOS模式，運行(MBRFix/drive0fixmbr/yes)重啟后OK

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]