Worm.Pabug.ao的分析 （病毒文件名jvmlts.exe）修改

钉子

这两天在学校帮助好几个同学解决电脑问题 并且发现中这个病毒的人逐渐增多 并且这个病毒十分变态 会结束 很多杀毒软件和 常用安全小工具的进程
拿了样本 分析了一下
样本文件名jvmlts.exe
双击运行后 有以下行为
生成文件
C:\WINDOWS\system32\jvmlts.exe
C:\WINDOWS\system32\jvmlts.dll
C:\WINDOWS\system32\QQhx.dat
修改HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue的键值为"0"
使得系统显示不了隐藏文件
结束以下杀毒软件的运行 并且关闭他们的服务
江民杀毒软件
瑞星杀毒软件
金山毒霸
看来是国人做的病毒 呵呵：）
并且试图结束 一些杀毒辅助工具的 进程
我测试时候 被结束的杀毒工具有以下几个
金山可疑文件扫描
费尔强力清除工具
木马辅助查找器
其它的 工具 我没试 可能还会结束一些 东西巴
下面是解决办法
1.下载Icesword 1.20和 sreng
地址http://www.crsky.com/soft/6947.html
http://www.kztechs.com/sreng/sreng2.zip
2.打开Icesword.exe-进程 找到jvmlts.exe 右键结束他 （图1）

3.点击Icesword左下角的文件 找到C:\WINDOWS\system32\jvmlts.exe
C:\WINDOWS\system32\QQhx.dat （图2）

右键删除掉他们
4.打开sreng 启动项目 注册表
找到shell这个 此时他应该是红色的（图3）

然后点击下面的编辑 把explorer.exe后面的东西删掉 （图4）

5. 把下面的 代码拷入记事本中然后另存为1.reg文件
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"

双击1.reg把这个注册表项导入
此时隐藏文件就可以显示了
6.重启计算机
7.双击我的电脑 工具 文件夹选项
查看 选中显示所有文件和文件夹 并且把隐藏受保护的操作系统文件的钩和隐藏文件的扩展名的钩挑下去 然后确定
右击打开C盘
找到C:\WINDOWS\system32\jvmlts.dll删除掉
然后右击打开其他磁盘分区删除 每个分区根目录下的 sxs.exe和autorun.inf文件
注意 一定不要双击打开 否则病毒又会被激活！
好了 大功告成
呵呵：）
原帖存在一个小的错误 已经修改
另：建议大家禁用 windows 的自动播放功能 方法是在“开始”菜单的“运行”框中运行“gpedit.msc”命令，在“组策略”找到“计算机配置”和“用户配置”下的“管理模板”功能，打开其中的“系统”菜单中的“关闭自动播放”的设置，在其属性里面选择“已启用”，接着选择“所有驱动器”，最后确定保存即可。

另外插入U盘等可移动存储设备后 一定不要双击 要用右键打开
有条件的话最好右键用最新的反病毒软件扫描一遍
这样可以最大限度的减少被类似U 盘病毒 感染的机会

时光的影子

来拜拜各位,名人