Board logo

标题: 教你干掉最近猖獗的“HBKernel”病毒~~~ [打印本页]

作者: 主要争取    时间: 2009-7-15 15:38     标题: 教你干掉最近猖獗的“HBKernel”病毒~~~

为了实验,我们选取了曾经非常流行的HBKernel病毒,其清除难度非常大,众多反病毒软件厂商无奈之下只得靠编写专杀来处理。当然样本KIS2009早就能杀了,但为了体验,我们这里暂停KIS2009的保护,然后呢,运行样本文件。直接运行?对,这才能体现出咱的信心不是?双击样本文件,一小会儿后,样本文件消失了,应该已经充分运行了。我们来用KIS2009创建系统报告,看看怎么把它清除掉。打开KIS2009的主窗口,点击左下角的“支持链接->支持工具”,
  点击“创建系统状态报告”这时KIS2009就会收集系统信息,生成报告。
  生成报告后点击右边的“查看”按钮,就可以打开报告所在的文件夹。这时我们看到报告已经被打成了sysinfo.zip压缩包。
  我们来将里面的报告解压出来。由于报告所在的目录受到KIS2009的保护,无法写入,我们得先将它复制到别的文件夹下比如“桌面”,然后再解压缩。解压缩后我们得到两个文件:avz_sysinfo.htm和avz_sysinfo.xml,我们打开sysinfo.html。打开后IE浏览器会提示是否允许运行被阻止的内容,选择“允许”。
  这时我们就看到报告了,可是报告里的文字是乱码啊,呵呵,还有些俄语字母呢,大家不要误以为这报告是俄语的,这可绝对是中文的,只是因为IE浏览器没能够正确选择文件的文字编码而造成的。在IE浏览器的菜单里依次点击“查看->编码->简体中文(GB2312)”,怎么样,这时中文就出来了吧。
  我们来好好看下报告吧。报告里列出来了系统中正在运行的进程、内核模块、服务、驱动、自动运行、BHO等等,绝对的应有尽有。而且可以信任的系统程序都用绿色标记了出来,不认识的程序则用黄色来标记。好了,我们来揪出隐藏在系统中的病毒,把它咔嚓掉吧。
  在“进程列表”里我们发现了一个可疑的explore.exe进程,这家伙起个名跟系统进程似的,可是“描述”信息和“版权信息”里啥都没有,基本可以断定是恶意程序。我们来将它删除。文件名下面有个脚本行,用户可以选择对这个文件执行什么脚本命令。我们先点击“终止”,让执行脚本事先结束这个进程,然后点击“删除”,尝试删除这个文件,怕删不掉,我们再点击“BC 删除”。什么是“BC 删除”呢,“BC”就是“Boot Cleaner”,是在重新启动进入系统前将病毒删除掉,对于那些已经加载进内存又赖着不出来,删除不掉的病毒就可以用“BC 删除”在重启后病毒还没进驻内存中时就将它干掉。我们也不知道这个病毒是不是很顽固,就用“删除”、“BC 删除”一起来吧。
  这时我们先不忙找其它的病毒文件,我们先转到报告的底部,在这里我们看到了一个“脚本命令”编辑框,
  我们看到里面有这样几行:
  begin
  TerminateProcessByName('c:\windows\system32\explore.exe');
  DeleteFile('c:\windows\system32\explore.exe');
  BC_DeleteFile('c:\windows\system32\explore.exe');
  end。
  这就是根据前面对“explore.exe”进程所进行的操作而生成的相应的脚本命令。最前面的begin和最后面的end表示脚本的开始与结束。TerminateProcessByName就是“终止”对应的脚本命令,它根据文件名来结束进程,当进程列表中有进程的文件名是括号里文件名时,就结束掉这个进程,这里就会结束掉文件名为'c:\windows\system32\explore.exe'的进程。DeleteFile 就是删除文件对应的脚本命令,后面括号里就是要删除的文件名,BC_DeleteFile就是“BC 删除文件对应的脚本命令”,后面括号里也是要删除的文件名。大家明白了吧,我们每次进行某种操作,都会相应的生成脚本命令,最后我们将这个脚本交给KIS2009去执行,就能完美地清除病毒了。
  我们继续往下揪病毒吧。下面是“模块”里的,“删除”加“BC删除”
  与以上过程类似,我们再找出其它部分中的可疑程序,选择“删除”加“BC删除”。最后我们在下面的添加命令到脚本里再选择上“Boot Cleaner - 启动”(使用BC_XXXX这类的命令一定要在后面写上这条命令),“在删除文件后执行注册表清理”,“重启”最终生成了下面这样的脚本:
  Begin
TerminateProcessByName('c:\windows\system32\explore.exe'); DeleteFile('c:\windows\system32\explore.exe'); BC_DeleteFile('c:\windows\system32\explore.exe'); DeleteFile('C:\WINDOWS\system32\HBmhly.dll');
  BC_DeleteFile('C:\WINDOWS\system32\HBmhly.dll');
  DeleteFile('C:\WINDOWS\system32\Drivers\HBKernel.sys');
  BC_DeleteFile('C:\WINDOWS\system32\Drivers\HBKernel.sys');
  DeleteFile('C:\WINDOWS\system32\DRIVERS\HBKernel.sys');
  BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\HBKernel.sys');
  DeleteFile('HBmhly.dll');
  BC_DeleteFile('HBmhly.dll');
  DeleteFile('aaa.dll');
  BC_DeleteFile('aaa.dll');
  BC_Activate;
  ExecuteSysClean;
  RebootWindows(true);
  end。
  OK,我们再来到这里
  选择“执行AVZ脚本”,然后粘贴我们的脚本
  点击“执行”,然后就会执行脚本,然后显示向导成功完成,由于脚本中有“重启”功能,这时会自动重启。
  重启之后,再创建一次系统状态报告看看,哈哈,果然都清掉了。
  HBKernel病毒曾经非常猖獗,众多杀毒软件束手无策,只能额外编写专杀,而KIS2009的用户无需下载任何专杀,只需要对系统报告指指点点就能轻松干掉病毒,修复系统,真的是太强大了!实际上AVZ脚本就是一种小编程语言,可以自己手工编写,支持的命令(编程里叫“函数”)有170多个,涵盖了系统修复的方方面面。就靠它您就完全可以抛弃什么“XXXX系统清理专家”、“XXXX清理助手”,即使遇到了未知病毒,您也可以用自己编写的脚本清除了病毒,恢复了系统,那可绝对是有成就感的事。您还可以用自己写的脚本去帮助别人,帅哥们能因此吸引到mm也说不定哦。
作者: 信了吧    时间: 2009-7-15 22:27

真不明白现在的网络病毒怎么这么多啊。
作者: 可可人    时间: 2009-7-16 05:49

卡巴的确不错,可以把这么猖獗的病毒都干掉啊
作者: 行在前方    时间: 2009-7-16 06:08

用上一款好的杀软,还得会用才行啊
作者: 立华人    时间: 2009-7-16 15:41

现在的病毒只要你的电脑防护的不好,就会进入你的电脑,所以有个好杀软很重要
作者: 柳晴花明    时间: 2009-7-17 00:10

早就该干掉这些病毒了,每次都把我的电脑弄坏
作者: 花苞头    时间: 2009-7-17 14:42

楼主我用的就是2009版的卡巴,呵呵
作者: 追明人    时间: 2009-7-17 21:34

卡巴2009的默认设置就足够了,安全第一。
作者: 小现阶段    时间: 2009-7-18 08:32

我用卡巴不久,真得向楼主这样的学习一下经验啊
作者: 德人魂    时间: 2009-7-19 07:50

一直用卡巴的,安静省心。
作者: 信了你一次    时间: 2009-7-19 10:32

不错嘛,我也最怕病毒了,只要用上卡巴,设置好了,一切都解决了




欢迎光临 编程开发论坛 (http://bbs.lihuasoft.net/) Powered by Discuz! 6.0.0