查看完整版本: 主页被篡改（狂跳窗口）导致死机的病毒木马清除经验分享

主页被篡改（狂跳窗口）导致死机的病毒木马清除经验分享

[size=2]前几天，有个同事突然问我会不会重装，
'J?1ZG!K!K7q [color=black]我那时说会呀，我说怎么了，他说他的电脑出现了问题。。[/color]
(aVeR)_U{,p6O4p [color=black]好了，先让他说说电脑出现的诊状。。[/color][/size]
FB$t#b'j$xb CJ`L9^w
[size=2][color=red]电脑诊状：[/color][/size]
YG"_(B4sVP [size=2][color=green]打开IE后，主页被篡改，指定一个网址，那个网址忘记了，，呵呵。。[/color][/size]
N*C^Cqwt [size=2][color=green]然后狂弹出网页，直到把机子给耗尽，卡死机了。。只能重启。[/color][/size]
F3s)[b#Jm [size=2][color=green]一打开IE就这样反复循环~~~~~~~~[/color][/size]
J'u|kM5E O [size=2][color=green]用360.瑞星都查不出所以然来。。[/color][/size]
`*B%{?~@$D$ae [size=2][color=green]所以决定重装。于是就有开篇的那几句话了。。。[/color][/size]"c9sn-j,cU.g+W
qoD!\J#pKX L
[size=2][color=black]我对他说，这种肯定是电脑中了恶意程序了。应该不用重装就能搞定。[/color][/size]lD7k)QTBK
[size=2][color=black]他说不重装最好了。。呵呵。。叫我下午下班后去他家帮他搞下。。。[/color][/size]
R!jOn.H7Wry [size=2][color=black]于是，猛然的我答应了。[/color][/size]
:f&S$gp/eh8H)J)o1l
{
y%P1};B$\*~GU [size=2][color=green]下班后，我从我自己的电脑工具包里。[/color][/size]
]I*Idb
tU:s [size=2][color=green]拷贝了金山清理专家，windows清理助手，unlocker，sreng，Wsyscheck这些顶级解决病毒的工具。。[/color][/size]1E Y(Vq2N3s$f.G.`
[size=2][color=green]还拷贝了一个系统，装到我的U盘里。。。免的搞不定，就只好重装了。。。[/color][/size] C%v'j,K(O@)^,Cx%H Z
[size=2][color=green][/color][/size]
"N]Z:L-V [size=2][color=green]对这些工具的使用方法及用途就在这不做介绍了，[/color][/size]|*@OXL2i
[size=3][color=red][/color][/size]

qtXphv0h8z5b(my [size=2][color=green][/color][/size](R9dn5z/f"[xQ$nG4m
[size=2][color=green]下面就开始查杀了~~~~~~~~~[/color][/size]#dO {1^m;D0|g

'b5M#r8BH#jnZL2p [size=3][color=blue]首先，打开他的电脑，断开网，然后就把以上工具拷到他的电脑上。[/color][/size]
.rk9M-_.tZ"s3e [size=3][color=blue]第一步：就是安装金山清理专家，（本人感觉：金山清理专家比其他一些辅助查杀工具要好一点）[/color][/size]
,kI-M^g;?8?$Q [size=3][color=blue]然后，进行测试系统，测试完毕后，发现系统低到只有8分。。。。[/color][/size];\$AWSJ
[size=3][color=blue]真不敢相信~~~~~~有木马，病毒，广告程序，漏洞~~Userinit出现异常等状况。。。[/color][/size]}Y[_ gk%H;n,k#v)i%\
[size=3][color=blue][/color][/size]1AX8G0v?t@v0}Y3N6`v
[size=3][color=blue]于是就用金山清理专家全部清理。。因为有几个要重启才能清理。于是就重启。[/color][/size] aMH @]
[size=3][color=blue]这些木马，病毒，广告程序，userinit修复好之后，就剩下漏洞没补了。。[/color][/size]1|Z Ey)k)ZVGsw'?R
[size=3][color=blue]为了打全漏洞，于是就联网。[/color][/size]U;r:XM'_L }h
[size=3][color=blue][/color][/size]
u5T t#z0m(? [size=3][color=red]问题之一：一联网补漏洞，IE就自动开启，跳到开始所说的那个网页，然后狂跳网页窗口[/color][/size]*R9g/{*\ ~{ U9}Ht
[size=3][color=red][/color][/size]jLK
b
W.\
[size=3][color=red]知道死机为止，只能重启，问题还蛮严重的。。。[/color][/size]+pXFA,h8@ C
[size=3][color=blue][/color][/size]
/Mwa(H6C:z6u9jI [size=3][color=blue]于是，重启，用金山清理专家再次测试系统，然后发现刚刚清除的这些“不速之客”又回来了。。[/color][/size]
`,A@9G1K
[size=3][color=blue]看来，应该中了自动跳到指定网页，下载木马等病毒了。。。[/color][/size]
@.Ke"@l:^2U [size=3][color=blue][/color][/size]`;a)y%Px'dR5Y
[size=3][color=blue]这次，接受第一次的教训，不联网了，查杀后，漏洞先放着。。[/color][/size]Y\4q0yAt1A(r
[size=3][color=#0000ff][/color][/size]
P9puJ'K'UV? [size=3][color=red]问题之二：双击金山清理专家时，又自动跳出IE连接到刚刚那个网页，于是我马上关闭网页。[/color][/size]
-wUDS W2PZM nXm [size=3][color=seagreen]幸好没死机，于是我右键打开就ok。（心想，应该是映像劫持了）[/color][/size]vN!rk_"~:G|C
[size=3][color=#2e8b57][/color][/size]5O|E~S#I`Gn$C
[size=3][color=blue]然后，又查杀了一遍，再安装windows清理助手还发现更多的木马加上恶意程序等有12个可清除的。。。[/color][/size]m'ly'Z9~O?e+ku Q
[size=3][color=blue]全部清理完毕后，进入下列注册表。。。[/color][/size]
/N7Ado9d*W9\4`k [size=3][color=blue]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options[/color][/size]e%p^ { O;q/o'c\
[size=3][color=blue]Image File Execution Options这个键值下面有很多dll和exe。这就是映像劫持的老巢。。。[/color][/size]9kz.Q a~%e-n^
[size=3][color=blue]于是，就全删了。。然后右击设置Image File Execution Options权限。把完全控制除掉。。。[/color][/size]iY!YCSx
[size=3][color=blue]这样为了以免一重启，避免再次出现映像劫持。。。[/color][/size]#gH'V!k{
[size=3][color=#0000ff][/color][/size]f1M[6N~.ks+H'm4l
[size=3][color=blue]最后，打开sreng，修复了下。。。[/color][/size]
Qk]*VX0ANF { [size=3][color=blue][/color][/size]
[r6M%dc3V$k%@8F [size=3][color=blue]再次，打开IE。就回答原先的GOOGLE页面了。。。[/color][/size]x%F]Q @ aJ'p#HO
[size=3][color=#0000ff][/color][/size]3?$j6o oa RP)[
[size=3][color=blue]问题解决了。。同事叫我留在那吃饭。。（我不好推迟就在那吃饭了。。。）[/color][/size]T2Y2XW8l.F\

p#[5JL7mC [size=3][color=red]PS:因为是帮同事弄，所以没有截图，所以只有文字表述，[/color][/size]
&O:T,EH @9H;UB [size=3][color=#ff0000][/color][/size]
Q'u3TVCz [size=3][color=red]还请大家见谅。。不懂的地方可以随时call我。。。[/color][/size]2r|]6m,I B*l
[size=3][color=#ff0000][/color][/size]
`^4O+Xj%LGr [size=3][color=#ff0000]本人目前还是菜鸟，但也愿意把所知道的知识跟大家一起分享~~~~~~[/color][/size]

经验分享，不错，支持原创。希望对有些朋友有个帮助！

回复 楼主 的帖子

不错，把症状和解决方法都介绍的比较详细！值得学习。尤其像我这种菜鸟更需要！

回复 3楼 的帖子

对于你那个问题。。
8] xZ$V%]#[gGM 最好上传sreng日志。。。

支持一下，最好有个影响劫持编辑器可以全部删除影响劫持

userinit.exe怎么修复呢?

映像挟持到IE,创意不错。看来还是多装几款不同内核的浏览器安全。