Windows下的Autorun病毒相信大家都有听说或者中过，如果没有中过这个毒呢，我可以给出两个假设：一、你跟我一样，是高手（(*^__^*) 嘻嘻……），二、你是个菜鸟中的菜鸟，估计你连XP是什么都不知道。不然的话，嘿嘿，熟悉吧。
一般的Autorun病毒都会有以下几种本事：当插入时自动运行，然后在系统目录下新建一些病毒文件，常驻内存，当发现病毒文件被删除时，重建自己。把病毒文件拷贝到每个盘的根目录，当系统启动时，自动运行。其他的本事就看各个病毒有所不同了。（比如下面要说到的我同学中的那个病毒的厉害之处在于，它可以禁止卡巴斯基、瑞星（估计病毒是国产的）等杀毒软件的运行，我那个同学就是因为杀毒软件不能用才拿过来要我班上的男生帮助重装系统的，我说装个avast不就行了，可是说她只信任卡巴斯基的杀毒能力，晕！她还自以为杀毒软件不能运行的原因是因为安装了Vista，她的Vista是买电脑附送的正版--有钱银啊）
Autorun病毒的一般特征：当你双击盘符而打不开的时候，当你在某个分区的根目录下面建立一个Autorun.inf的文件夹时，提示错误，当你对着盘符右键时，发现有自动播放、autorun，或者其他的右键多余菜单时，恭喜你，你又与Autorun病毒有一次美丽的遇见（听见、冬天，到离开，…… 孙燕姿《遇见》）。
但是昨天在我的同学的电脑上遇见一个超强的Autorun病毒。具体表现是上面这段话描述的Autorun一般特征都没有。文件名为uvmmind，生成两个进程wocfiba.exe 和gnkjkrl.exe 。把系统时间改到1980，估计写毒的人是1980出生的大哥。并且在文件夹选项里选择查看所有文件和所有系统文件也不能显示，DOS下面的命令dir/a依然看不到。但是怎么就发现了有病毒呢？是因为我同学用Ghost的时候，那个病毒居然显示出来了。还有一个表现是我在她电脑的D:盘根目录下想建立一个Autorun.inf的文件夹时，提示错误，已经有同名的文件存在。更蹊跷的事情是居然可以建立一个Autorun.inf的文件而不提示错误，并且Autorun.inf的文件的图标显示与一般的txt文件一样（正常的情况可以自己建立一个Autorun.inf的文件看看图标长啥样）。
发现了问题，现在是要解决。用DOS是没用的，在Windows下更不可能的,因为当我把这个病毒的启动项关掉时，提示错误，并且一切的安全软件全部没用，包括杀毒软件，防火墙，安全卫士。对了，linux！也该linux大显身手了。于是用linux live cd启动，之后发现没用，因为我那个同学的电脑分区是NTFS格式的！要知道NTFS格式的兼容性极差，所以如果要用linux的话，最好不要用NTFS，而linux也宣告失败了。我还有什么办法？暂时没办法！只能看看我会不会哪天脑子开窍能够相出一个办法……
问题是这个时候我发现这个病毒的厉害之前，我的U盘已经在她的电脑上插过了，这个时候我的U盘肯定带毒无疑！我于是把我的电脑显示桌面同时按住shift键，并把U盘插入（按住shift键的同时插入U盘可以阻止自动播放，推荐显示桌面后再插入）。然后打开我的电脑，右键选择资源管理器（我犯的一个严重的错误，不要学），这个时候风云防火墙提示
2007-6-16 18:39:24 发现：新建文件!
文件：C:\WINDOWS\system32\gnkjkrl.exe
进程：L:\uvmmind.exe
然后问我是否允许。完了，中招了！赶快禁止新建。风云再提示
文件：C:\WINDOWS\system32\gnkjkrl.exe加壳运行，是否允许？
当然拒绝！否则我的电脑就中毒了！违背我是高手的那个前言（本文第一段就写了）。今天幸好有风云救我！
问题说到这里，我只能说如果让这种病毒得以运行，而你的电脑分区是NTFS或者没有办法接触到linux的话，确实是很麻烦。噢，我想到一个办法了，就是装avast杀毒软件，或许能够有用，等下拿我的同学电脑试试。后来证明没用。我看我还有一些招，比如winpe，或者把.exe改成.bat或者进程盾之类的，等下试试。但是不管怎么说都是很麻烦的，所以对于Autorun病毒，重在预防！下面给出预防方法。
1.在桌面上建立一个文件夹，命名为Autorun.inf，然后右键|属性，把属性中隐藏这个选项勾上。接着右键|复制，然后依次到每个盘，选择粘贴。注意每个盘都要粘贴到！
2.当你需要插入U盘或者不信任的光盘时，先显示桌面，然后按住shift键同时插入，等待电脑没有动静（大概20秒），才可以松开shift。
3.千万不要在我的电脑里对他们采取打开、资源管理器、等一切行动，要查看里面的文件的话，可以打开我的电脑选择搜索，选择搜索对象为你要看的那个U盘或者光盘，按下搜索，找到一个文件夹双击进入（什么，一个文件夹都没有？那你在桌面上新建一个，然后右键|发送到那个盘，然后再次搜索），然后工具栏选择向上。现在你可已对文件采取安全操作。
4..禁用自动播放：
[code]1、点击“开始”选择“运行”，键入“gpedit.msc”，并运行，打开“组策略”窗口；
2、在左栏的“本地计算机策略”下，打开“计算机配置_管理模板_系统”，然后在右栏的“设置”标题下，双击“关闭自动播放”；
3、选择“设置”选项卡，勾取“已启用”复选钮，然后在“关闭自动播放”框中选择“所有驱动器”，单击“确定”按钮，退出“组策略”窗口[/code]
5.真的，卡巴斯基真的不是世界上最好的杀毒软件，至少不是对每个人来说都是，比如我。
后话：
我一个舍友的U盘也插过了那台中毒的电脑，被我发现后连忙检查有没有中毒，最后发现没有中毒，后来一问，居然是我上面的预防法则的第2条。那个法则的规定已经是他的习惯了（嘿嘿，我教的）。看来一个第二条的做法是一个好的习惯，又拯救了一台电脑。
最后这个病毒还是被我搞定了，用的方法是avast的开机扫描，这个时候还没有病毒可以运行，avast在本来用来磁盘检查的界面进行扫毒。之后进系统，但是D盘，E盘都打不开，于是我在桌面建立一个autorun.inf文件夹并压缩，然后解压到D盘，E盘，好了，Ghost恢复C盘，OK！其实还有别的方法，比如安装winpe，……好多方法啊，我这里都写不完，不写了，具体方法可以问我。
最后附上从我同学电脑里活捉的病毒文件，[color=#FF7F50]仅供技术分析用，请勿用于非法用途[/color]！
[sfile]attachment/200706/uvmmind.rar[/sfile]
没有评论:
发表评论