手工清除Trojan-PSW.Win32.WOW.bv病毒的操作教程

病毒描述：

该病毒运行后，释放若干病毒副本到%Windows%与%System32%目录下，修改注册表项 HKEY_LOCAL_MACHINESOFTWAREClassesexefiles为winfiles，新建键值，把exe文件与病毒文件相关联，并添加启动项，以达到开机后运行病毒与打开任意程序即运行病毒的目的。该病毒会盗“征途”、“魔兽”等网络游戏的个人信息，发到指定网站。

行为分析：

1、释放下列副本与文件

%Program FilesCommon Files% iexplore.pif

%Windows%1.com

%Windows%ExERoute.com Trojan-PSW.Win32.WOW.bv

%Windows%explore.com 同上

%Windows%finder.com同上

%Windows%KB890859.log同上

%Windows%WINLOGON.EXE同上

%Windows%LastCoodINFoem5.inf

%Windows%LastCoodINFoem5.PNF

%System32%command 指向MS-Dos的快捷方式

%System32% dxdiag.com 同上

%System32% finder.com 同上

%System32% msconfig.com同上

%System32% regedit.com 同上

%System32% rundll32.com同上

D:autorun.inf

D:pagefile.pif

2、新建注册表键值：

在此键值下新建若干病毒释放文件相关键值

HKEY_CURRENT_USERSoftwareMicrosoftWindows

ShellNoRoamBags15Shell

HKEY_LOCAL_MACHINESOFTWAREClasseswinfiles

HKEY_LOCAL_MACHINESOFTWAREClasseswinfiles

ShellOpenCommand@

键值: 字符串: "C:WINDOWSExERoute.exe "%1" %*"

HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet

iexplore.pifshellopencommand@

键值: 字符串:""C:ProgramFilescommon~1iexplore.pif""

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows

CurrentVersionRunTorjan Program

键值: 字符串: "C:WINDOWSWINLOGON.EXE"

HKEY_LOCAL_MACHINESYSTEMLastKnownGoodRecovery

LastGood

HKEY_LOCAL_MACHINESYSTEMLastKnownGoodRecovery

LastGoodINF/oem5.inf

键值: DWORD: 1 (0x1)

3、病毒会检测下列进程，并关闭

ravmon.exe瑞星的实时监控组件

trojdie*江民监控程序

kpop*

ccenter*瑞星杀毒软件控制台相关程序

*assistse*

kpfw* 天网个人防火墙

agentsvr*

kv* 江民杀软进程

kreg*

iefind*

iparmor* 木马克星

svi.exe

uphc*

rulewize*

fygt*

rfwsrv*

rfwma*

4、通过修改WOW/realmlist.wtfr文件中地址，可转换服务器。

us.logon.worldofwarcraft.com 美服

eu.logon.worldofwarcraft.com 欧服

tw.logon.worldofwarcraft.com 台服

搜集信息包括;

companyname;filedescription;fileversion;internalname;legalcopyright;

originalfilename;productname;productversion;comments;legaltr

注： % System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C: WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。

清除方案：

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

WINLOGN.EXE

(2) 删除病毒文件

%Program FilesCommon Files%

%Windows%1.com

%Windows%ExERoute.com

%Windows%explore.com

%Windows%finder.com

%Windows%KB890859.log

%Windows%WINLOGON.EXE

%Windows%LastCoodINFoem5.inf

%Windows%LastCoodINFoem5.PNF

%System32%command 指向MS-Dos的快捷方式

%System32%dxdiag.com

%System32%finder.com

%System32%msconfig.com

%System32%regedit.com

%System32%rundll32.com

D:autorun.inf

D:pagefile.pif

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

修改HKEY_LOCAL_MACHINESOFTWAREClasseswinfiles//本文来自电脑软硬件应用网www.45it.com转载请注明

为HKEY_LOCAL_MACHINESOFTWAREClassesexefile

shellopencommand

"%1" %*

修改键值 HKEY_LOCAL_MACHINESOFTWAREClasseswinfiles

ShellOpenCommand@

键值: 字符串: "C:WINDOWSExERoute.exe "%1" %*"

为HKEY_LOCAL_MACHINESOFTWAREClassesexefile

shellopencommand

键值: 字符串: "%1" %*

删除注册表项:HKEY_CURRENT_USERSoftwareMicrosoftWindows

ShellNoRoamBags15Shell

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows

CurrentVersionRunTorjan Program

键值: 字符串: "C:WINDOWSWINLOGON.EXE"//本文来自电脑软硬件应用网www.45it.com转载请注明