SiS001! Board - [第一会所关闭注册]

标题: [求助] 如何清除Net-Worm.Win32.Kido.ih病毒啊!!!??? [打印本页]

作者: haer0 时间: 2009-1-24 17:20 标题: 如何清除Net-Worm.Win32.Kido.ih病毒啊!!!???

各位大虾新年好,昨天小弟不在考A片的时侯,在移动硬盘上不小心中了一个很厉害的病毒,卡巴斯基显示如下:"已检测: 病毒 Net-Worm.Win32.Kido.ih 文件: H:\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx//PE_Patch.UPX//UPX",很厉害,是只读文件,不能清除也不能删除,移动硬盘的三个区全都有,恼火!!!,请教各位大虾帮忙,谢谢了!

作者: dwjt 时间: 2009-1-24 17:26

试试 360顽固木马专杀大全自己在网上找一有了

作者: wenli822 时间: 2009-1-24 18:01

1.建议使用XDelBox删除以下文件：(XDelBox1.6)
使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入，导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

"d:\windows\spoolst.exe" ado
d:\program files\winrar\rarext.dll

2.删除重启后使用SREng修复下面各项：

启动项目－－服务－－ Win32服务应用程序之如下项禁用：
[iissllyds / iissllyds] <"D:\WINDOWS\spoolst.exe" ado>其他的在分析

另外，建议装一个KIS 2009，现在估计卡巴斯基实验室已经把数据库更新出来了

作者: haer0 时间: 2009-1-25 00:23

非常感谢楼上的指教哈,照一楼大哥的方法,首先用360顽固木马专杀大全,可喜的是清除了移动硬盘三个区上的三个自动批处理文件,可是仍然不能清除病毒 Net-Worm.Win32.Kido.ih,我用的版本是v3.0.0.2版的.
二楼的方法小弟有点儿不懂,我的电脑只是移动硬盘上有这个病毒,本机上卡巴还没有查出来,如果要"卸载所有可移动存储介质",我又如何杀移动硬盘上的毒呢?

敬请楼上及热心的大虾赐教.

   我用的卡巴是单位上买的工作站版的,病毒数据库是2009年1月22日的.
   中了这个病毒后还有一个特征就是移动盘上每个区都自动生成一个"Recycler"和一个"System Volume Information"隐藏文件夹,打不开也删不掉. 我在网页上基本搜不到清除这个病毒的方法.
   还是sis中的弓虽大大们见多识广,帮帮忙救救火啊,实在不行就只有格式化我硬盘分区这一条绝路了,呵呵

作者: DTVTV 时间: 2009-1-25 00:29

没错的是病毒！360先使用下！不行的话下一个冰刃强制删除软件。

作者: xiaofenggege1 时间: 2009-1-25 01:26

你试试这个http://www.namipan.com/d/%E7%B3% ... e6e7262bc336ad31600

作者: biostar 时间: 2009-1-25 06:39

360有一款的杀木马的软件叫作super killer这个非常的好使！但前提必须在安全模式下去查杀。希望你可以处理掉这个问题。

作者: wangdong4216 时间: 2009-1-25 11:57

试试 360顽固木马专杀大全自己在网上找一有了

作者: wenli822 时间: 2009-1-25 12:33

引用:

原帖由 haer0 于 2009-1-25 00:23 发表
非常感谢楼上的指教哈,照一楼大哥的方法,首先用360顽固木马专杀大全,可喜的是清除了移动硬盘三个区上的三个自动批处理文件,可是仍然不能清除病毒 Net-Worm.Win32.Kido.ih,我用的版本是v3.0.0.2版的.
二楼的方 ...

这个是个蠕虫病毒，如果合适，建议你把你的移动硬盘上的重要信息备份，然后格式化硬盘就可以了。
这个病毒很厉害的
技术细节
      这种蠕虫的传播通过本地网络和移动存储介质。这是一个PE DLL文件。蠕虫的大小介于155KB和165K。通过UPX压缩。

安装

      该蠕虫复制文件到到Windows系统目录如下：
      ％system％ \ <rnd>的.dll
      <rnd>是一个随机的字符串

      该蠕虫会创建一个服务，以确保感染的机器在每一次开机后都会运行。在注册表项中新建：
      [HKLM\SYSTEM\CurrentControlSet\Services\netsvcs]

      该蠕虫病毒还修改以下注册表键值：
      [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost]
      "netsvcs" = "<original value> %System%\<rnd>.dll"

网络传播

      当感染一台计算机后该蠕虫通过一个HTTP服务器上的随机TCP端口运行。
      该蠕虫获得与受害者机器在局域网中的IP并通过一个缓冲区溢出漏洞攻击他们（更多信息有关此漏洞可在微软网站： www.microsoft.com ）。
      该蠕虫病毒发送特制的RPC请求到远程机器，造成缓冲区溢出，wcscpy_s时调用函数的netapi32.dll ，运行代码下载蠕虫文件，运行和安装在新的受害机器

因此建议你在备份前把系统的相关补丁打上，然后把把各项安全设置调到最高。再对移动硬盘进行备份和格式化。

作者: 36231821 时间: 2009-1-25 16:19

如果杀毒软件不行的话将盘格式化掉看看行不行?

作者: haer0 时间: 2009-1-25 17:21

除了格式化移动硬盘,上面的方法我都试过了,看来只有格式化移动硬盘这一条路可行了,不过也奇怪,我从移动硬盘往电脑内考东西,倒也没有感染这几个盘哈,"Net-Worm.Win32.Kido.ih"病毒,太厉害了,你是我的神,不知哪位大侠可以降伏你哟

欢迎光临 SiS001! Board - [第一会所关闭注册] (http://162.252.9.18/bbs/)