经典好文专家解读APR病毒（四）

出处：江民科技病毒组作者：江民科技病毒组时间：2007-7-1 21:39:11

六、ARP病毒电脑的查杀方法

通过上述的方法，已经找到了ARP中毒电脑，那么接下来的操作就是如何杀毒了。有一点需要注意的是：当找到中毒电脑后，应该立即拔掉中毒电脑的网线，以免其继续发包干扰全网的运行。

对于ARP病毒电脑的查杀办法，首先可以利用杀毒软件杀毒，但是由于现在病毒变种极其繁多，有可能遇到杀毒软件查不出来的情况，这时候就需要借助手工杀毒的办法了，下面介绍一些经验。

根据一些经验，较老类型的ARP病毒运行特征比较隐蔽，电脑中毒时并无明显异常现象，这类病毒运行时自身无进程，通过注入到Explorer.exe进程来实现隐藏自身。其注册表中的启动项也很特殊，并非常规的Run键值加载，也不是服务加载，而是通过注册表的AppInit_DLLs 键值加载实现开机自启动的，这一点比较隐蔽，因为正常的系统AppInit_DLLs键值是空的。也正由于这个特点，利用Autoruns这个工具软件就可以快速扫描出病毒文件体，如图9。

图9 Autoruns工具检测出病毒文件主体

上图中红色框内的部分，就是ARP病毒文件主体，该文件虽然扩展名为log，看似很像是系统日志文件，但其实，它是一个不折不扣的病毒！除了Log形式的病毒文件，还有一些以Bmp作为扩展名的病毒文件，同样，这些病毒文件也不是图片文件，而是EXE格式的可执行文件，在同目录下还有同名的dll文件，这些都是病毒体。

%WinDir%\ KB*.log

或者

%WinDir%\ *.bmp

%WinDir%\同名.dll

如何区别正常的log日志文件，bmp图片文件和病毒文件呢？其实很简单，用记事本程序打开该文件，查看其文件头是否有“MZ”的标记即可，如图10就是一个名字为“KB896475.log”的病毒文件。