不知道为什么逻辑分区双击打不开，而且在任务管理器中会出现一个niu.exe的这么个东西
的有关信息介绍如下：
病毒特征：File: niu.exeSize: 36141 bytesMD5: 1E3096FAE27F2E81F0AA73FFFA5171B0SHA1: BF1639F93B2B6E6E69A32FA6ECEC8ABDB94AC7CFCRC32: C9ACBC14 病毒运行后：文件变化: 释放文件C:WINDOWSsystem32crsss.exe在每个分区下面释放autorun.inf和niu.exe 右键菜单无变化 遍历所有分区的htm文件在其后面 插入代码 遍历所有分区 删除*.gho文件删除C:WINDOWSsystem32verclsid.exe 注册表变化HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下添加 [] 达到开机启动的目的修改HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALLCheckedValue为0x00000001达到 屏蔽隐藏文件显示的目的在HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesWindowsUpdate下面增加DisableWindowsUpdateAccess键 并把其键值设为00000001 关闭windows自动更新功能 如果无耐察族连接网络 还有如下变化不断暴力写HKEY_CURRENT_USERSOFTWAREMicrosoftInternet ExplorerMainStart Page为 www.hao123.com并且修改HKCUSoftwarePoliciesMicrosoftInternet ExplorerControl PanelHomePage 的值为00000001使得IE主页修改按钮失效 如果连接网络则为如下变化下载http://www.xxxxxx.cn/htm/IEURL.txt到系统文件夹该文本内为一网址 那么上面的被修改没穗的主页则变为此文本中的昌弊网址 下载http://www.xxxxxx.cn/htm/exe.txt到系统文件夹 读取里面的内容下载木马http://www.xxxxxx.cn/xp/WindowsXP-KB888303-x86-CHS.exehttp://www.xxxxxx.cn/xp/WindowsXP-KB838201-x86-CHS.exehttp://www.xxxxxx.cn/xp/WindowsXP-KB284303-x86-CHS.exehttp://www.xxxxxx.cn/xp/WindowsXP-KB398305-x86-CHS.exehttp://www.xxxxxx.cn/xp/WindowsXP-KB983306-x86-CHS.exehttp://www.xxxxxx.cn/xp/WindowsXP-KB828301-x86-CHS.exehttp://www.xxxxxx.cn/xp/WindowsXP-KB328207-x86-CHS.exehttp://www.xxxxxx.cn/xp/WindowsXP-KB138308-x86-CHS.exehttp://www.xxxxxx.cn/xp/WindowsXP-KB238104-x86-CHS.exehttp://www.xxxxxx.cn/xp/WindowsXP-KB284302-x86-CHS.exehttp://www.xxxxxx.cn/xp/WindowsXP-KB468603-x86-CHS.exehttp://www.xxxxxx.cn/xp/WindowsXP-KB878206-x86-CHS.exehttp://www.xxxxxx.cn/xp/WindowsXP-KB423807-x86-CHS.exehttp://www.xxxxxx.cn/xp/WindowsXP-KB138309-x86-CHS.exe到系统文件夹 分别命名为0temp.exe~13temp.exe 木马生成物下面将列出 其他一些变化0temp.exe修改系统时间为1987年10月18日1temp.exe比较有意思 1temp.exe运行以后会自动关闭瑞星防火墙 瑞星杀毒软件监控 卡卡上网安全助手的ie防漏墙等 而此关闭并非结束进程 而是相当于用户的手动按软件上的停止保护（如图） 但再次运行该文件后 相关保护又会被开启具体原理不懂 希望高手指教 木马植入完毕后 生成文件如下C:WINDOWSsystem3210temp.DATC:WINDOWSsystem327temp.DATC:WINDOWSsystem32Autorun.infC:WINDOWSsystem32c.txtC:WINDOWSsystem32driverssvchost.exeC:WINDOWSsystem32d.txtC:WINDOWSsystem32dhbini.dllC:WINDOWSsystem32dhbpri.dllC:WINDOWSsystem32nwizqjsj.exeC:WINDOWSsystem32RemoteDbg.dllC:WINDOWSsystem32test1.txtC:WINDOWSsystem32TIMHost.dllC:WINDOWSsystem32WinForm.dllC:WINDOWSsystem32ztgini.dllC:WINDOWSsystem32ztgpri.dllC:WINDOWSTIMHost.exeC:WINDOWSWinForm.exe%temp%tlso.exe%temp%zxzo0.dll%temp%tlso0.dllC:Program FilesInternet ExplorerPLUGINSSystem64.Sys sreng日志如下[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun] [] [] [] [] [][HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionWindows] [][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerShellExecuteHooks]<{754FB7D8-B8FE-4810-B363-A788CD060F1F}> []<{22311A42-AC1B-158F-FD32-5674345F23A2}> []<{71351752-5628-1547-FFAB-BADC13512AF7}> []服务[Remote Debug Service / RemoteDbg][Stopped/Auto Start] 解决方法：首先把系统时间改回来并且修改 C:WINDOWSsystem32dhbpri.dll和C:WINDOWSsystem32ztgpri.dll文件名为其他名称 然后重启计算机进入安全模式(开机后不断 按F8键 然后出来一个高级菜单 选择第一项 安全模式 进入系统)打开sreng 启动项目 注册表 删除如下项目 [HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun] [] [] [] [] [][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerShellExecuteHooks]<{754FB7D8-B8FE-4810-B363-A788CD060F1F}> []<{22311A42-AC1B-158F-FD32-5674345F23A2}> []<{71351752-5628-1547-FFAB-BADC13512AF7}> []双击AppInit_DLLs 把其键值改为空“启动项目”-“服务”-“Win32服务应用程序”中点“隐藏经认证的微软项目”，选中以下项目，点“删除服务”，再点“设置”，在弹出的框中点“否”：Remote Debug Service / RemoteDbg 系统修复－Windows shell/IE 选中设置主页为"about:blank"和允许Internet Explorer选项窗口和选项窗口的所有内容 然后点击下面的修复 把下面的代码拷入记事本中然后另存为1.reg文件Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL]"RegPath"="Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced""Text"="@shell32.dll,-30500""Type"="radio""CheckedValue"=dword:00000001"ValueName"="Hidden""DefaultValue"=dword:00000002"HKeyRoot"=dword:80000001"HelpID"="shell.hlp#51105" 双击1.reg把这个注册表项导入 双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示确定更改时，单击“是” 然后确定点击 菜单栏下方的 文件夹按钮（搜索右边的按钮）从左边的资源管理器 进入C盘删除如下文件C:WINDOWSsystem3210temp.DATC:WINDOWSsystem327temp.DATC:WINDOWSsystem32Autorun.infC:WINDOWSsystem32c.txtC:WINDOWSsystem32driverssvchost.exeC:WINDOWSsystem32d.txtC:WINDOWSsystem32dhbini.dllC:WINDOWSsystem32dhbpri.dll改完名称的文件C:WINDOWSsystem32nwizqjsj.exeC:WINDOWSsystem32RemoteDbg.dllC:WINDOWSsystem32test1.txtC:WINDOWSsystem32TIMHost.dllC:WINDOWSsystem32WinForm.dllC:WINDOWSsystem32ztgini.dllC:WINDOWSsystem32ztgpri.dll改完名称的文件C:WINDOWSTIMHost.exeC:WINDOWSWinForm.exe%temp%tlso.exe%temp%zxzo0.dll%temp%tlso0.dllC:Program FilesInternet ExplorerPLUGINSSystem64.SysC:WINDOWSsystem32crsss.exeC:autorun.infC:niu.exe从左边的资源管理器 进入其他分区 删除autorun.inf和niu.exe。 使用一些工具清理被感染的htm等文件。不过gho文件就没办法恢复了。
Simone
