對(duì)清除Trojan.Win32.KillWin.ee病毒的方案分析(2)

到此時(shí)病毒依然沒(méi)有停手，其開(kāi)始查找并刪除卡卡助手的相關(guān)啟動(dòng)，其內(nèi)容如下：

gameover.reg：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ras.exe]

"Debugger"="C:\\winnt\\system32\\gameover.exe"

從而進(jìn)行劫持卡卡主程序并將其指向釋放的病毒。

小提示：從這里%SystemRoot%\system32\可以看出作者針對(duì)的是WIN2K系列，因?yàn)閯偛诺腤INRAR釋放腳本使用的是環(huán)境變量，只有在WIN2K系列操作平臺(tái)中才是WINNT文件夾，而在XP里是WINDOWS\system32\，所以這個(gè)劫持指向無(wú)效。

重要注釋

%System32%是一個(gè)可變路徑，Trojan.Win32.KillWin.ee病毒通過(guò)查詢(xún)操作系統(tǒng)來(lái)決定當(dāng)前System文件夾的位置。Windows2000/NT中默認(rèn)的安裝路徑是C:\Winnt\System32，windows95/98/me中默認(rèn)的安裝路徑是C:\Windows\System，windowsXP中默認(rèn)的安裝路徑是C:\Windows\System32。

%Temp% = C:\Documents and Settings\AAAAA\Local Settings\Temp 當(dāng)前用戶TEMP緩存變量

%Windir%\ WINDODWS所在目錄

%DriveLetter%\ 邏輯驅(qū)動(dòng)器根目錄

%ProgramFiles%\ 系統(tǒng)程序默認(rèn)安裝目錄

%HomeDrive% = C:\ 當(dāng)前啟動(dòng)的系統(tǒng)的所在分區(qū)

%Documents and Settings%\ 當(dāng)前用戶文檔根目錄

破壞系統(tǒng)的gameover.exe

Trojan.Win32.KillWin.ee病毒在對(duì)卡卡劫持后，開(kāi)始進(jìn)行下一步活動(dòng)，在系統(tǒng)中放入gameover.exe程序進(jìn)行系統(tǒng)破壞。其實(shí)gameover.exe也是一個(gè)自解壓縮包，內(nèi)含自解壓腳本命令如下：

Path=C:\

SavePath

Silent=1

Overwrite=1

釋放了0字節(jié)的同名空文件替換以下系統(tǒng)文件，破壞系統(tǒng)啟動(dòng)：

AUTOEXEC.BAT

boot.ini

bootfont.bin

CONFIG.SYS

IO.SYS

MSDOS.SYS

NTDETECT.COM

Ntldr

清除病毒

普通用戶可通過(guò)系統(tǒng)鏡像還原實(shí)現(xiàn)系統(tǒng)恢復(fù)，而對(duì)于有一定基礎(chǔ)的網(wǎng)民來(lái)說(shuō)，可以系統(tǒng)光盤(pán)中復(fù)制上述的系統(tǒng)文件進(jìn)行修復(fù)操作系統(tǒng)平臺(tái)。在查找文件時(shí)可以用DIR命令來(lái)查找其相關(guān)位置，如：首先進(jìn)入光盤(pán)的盤(pán)符，然后輸入：DIR Autoexe.bat，系統(tǒng)會(huì)將此路徑下的Autoexe.bat文件的位置顯示出來(lái)，然后再進(jìn)行復(fù)制文件，其命令格式如下：

COPY_源路徑_目標(biāo)路徑(其中_為空格)，比如：“COPY_X:\autoexe.bat_C:\”就表示將X盤(pán)根目錄下的Autoexe.bat文件拷貝到C盤(pán)根目錄下。

然后刪除系統(tǒng)目錄%SystemRoot%\system32\下的gameover.exe文件即可，最后進(jìn)行殺毒軟件的升級(jí)與全盤(pán)殺毒，以防另類(lèi)感染。

編者按：Trojan.Win32.KillWin.ee病毒雖然有其入駐破壞之道，但只要掌握其原理，在了解其運(yùn)行過(guò)程與所添加的注冊(cè)表項(xiàng)目后，即可輕而易舉的將其清除出系統(tǒng)之外，還平臺(tái)一個(gè)安全的環(huán)境。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]