映像劫持是什么?病毒利用映像劫持怎么办?
映像劫持(Image Hijack)是为一些在默认系统环境中运行时可能引发错误的程序执行体提供特殊的环境设定,在针对杀毒软件方面,OSO病毒还采用了一种新技术就是映像劫持,通过这种技术就可以将杀毒软件置于死地。
最近有用户的电脑感染了病毒,开机时就会弹出若干个窗口,也无法关机,只能待内存耗尽,最后导致死机,其实他只是格式化了c分区,重装系统之后开机,还是会出现中病毒的现象。
从上述现象至少得到2个信息:1、病毒会通过自动播放传播;2、病毒可能利用映像劫持。
故障现象
检查故障机,重启时,很自然的想到启动到带命令行的安全模式。运行regedit,结果失败。msconfig一样失败。改regedit.exe为regedit.com,同样失败,没有继续尝试改别的名字。重启电脑进普通模式,想看一下具体中毒的现象。
登录到桌面后,发现一个类似记事本的程序不停打开一个小对话框,速度很快,根本来不及关闭,任务管理器也调不出来。立即拿出我的杀毒U盘,其中常备ProcessExplorer、冰刃、Sreng。发现杀毒U盘没有正常的启动成功。双击冰刃/Sreng都宣告失败。
解决步骤
分别对将icesword和Sreng主程序改名后运行,此时,那个象记事本的病毒程序已经打开近百个对话框,系统变得很慢。在WINXP的任务栏选中这一组窗口,关闭掉,先抢占一些系统资源再说。
然后,双击U盘上的ProcessExplorer,一眼看到有记事本图标的三个进程,尝试结束其中一个,发现结束后,程序会立即重新启动。看来,直接KILL进程是不行的。结束不行,就用下冻结进程,分别选中这三个进程,单击右键,在进程属性中选择Suspend(暂停)进程,病毒就不再弹出新的对话框,杀它就容易了。(参考下图的示例:)
切换到冰刃,简单地通过进程管理,根据病毒进程的程序位置和文件名,轻松使用冰刃内置的文件管理器浏览到这几个文件,复制一个备份到桌面,再单击右键,选择强制删除。
(下图演示冰刃的强制删除):
接下来,再切换到冰刃窗口中的注册表编辑器,浏览到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options,逐个查看子注册表键中对应的程序名,找到另一个病毒程序。(这里要说明一下,有网友认为只需要保留Your Image File Name Here without a path子键,其它都可以删除。觉得这样做还是有风险的,谨慎的做法还是一个子键一个子键的检查,如果发现键值为病毒程序的路径时,再删除这个子键)。
同样,需要使用冰刃的文件管理器将病毒程序强制删除。这个病毒太恶劣了,我发现几乎所有的杀毒软件、防火墙、系统自带的管理工具(regedit,msconfig,cmd,任务管理器)、第三方的系统辅助工具(Sreng、autoruns、冰刃)全部被劫持。
修复注册表后,双击杀毒U盘中的毒霸,新版杀毒U盘增加了监视功能,在我点击桌面备份的那几个病毒程序时,杀毒U盘的监控立即干掉了病毒。然后打开资源管理器,浏览到其它分区根目录,杀毒U盘又把另几个分区根目录下隐藏的病毒干掉。
另类解决方案
在你没有冰刃、Process Explorer时,可以用其人之道,还治其人之身。编辑一个修改注册表的批处理脚本,把病毒程序也给加到映像劫持的清单中,如下示例:
@echo offecho Windows Registry Editor Version 5.00>ssm.regecho [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\syssafe.EXE] >>ssm.regecho "Debugger"="syssafe.EXE" >>ssm.reg (如果发现多个病毒程序,就编辑多行)rem regedit /s ssm.reg &del /q ssm.reg (如果发现多个病毒程序,就编辑多行)
重启电脑后,病毒程序也启动不了,比较毒吧,然后把注册表编辑器的程序名regedit.exe为其它的什么名字,双击后对注册表的HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options项进行修改。再升级杀毒软件杀毒。
总结
对普通用户来说,遇到这类对抗杀毒软件很强的病毒,实在很棘手。使用杀毒软件轻松修复的可能性很小,手工修复对普通用户来说,很有难度。
建议
1.使用组策略编辑器,关闭所有驱动器的自动播放功能(自动播放功能传播了太多的病毒)。
2.及时升级杀毒软件,防止被这类病毒袭击,中招后再去处理,需要花更多功夫。
3.一旦中毒,应立即联系专业反病毒工程师协助,重装系统不是好方法。
以上就是驱动管家为大家介绍的如何手动清除那些利用了映像劫持技术的病毒的教程,想了解更多精彩教程,请继续关注驱动管家!
压缩和删除sql server事务日志有哪些方法?各个步骤又是什么?
这个问题很多人受到了困扰,日志动辄十几个g问:SQLServer中的事务日志应该怎样压缩和删除?答:具体方法有3种。方法一:第一步:backup log database_name with no_log或者 backup log database_name wit
详情2018-01-14 21:18:51责编:llp 来源:驱动管家upx脱壳的方法 破解upx程序的过程
入门级的破解,用ollydbg我用UPX将NOTEPAD EXE加壳,选择OllyDbg 1 09d来脱壳。首先加载被加壳的程序,程序直接定位到01014110 $60 PUSHAD处,选择CTRL F 输入查找内容 "POPAD ",OD定位到0101425E> 61 POPA
详情2018-01-18 16:05:36责编:llp 来源:驱动管家预防电脑中毒的方法介绍,让你的电脑不再中毒
电脑一定要安装杀毒软件使用才安全么?下面小编就教你如何让你的电脑不安装任何杀毒软件也可以非常的安全使用。1 少用搜索去搜索软件,因为放木马的人都是去下载网站买一些广告位,然后做些下载按钮,你点击下载
详情2018-01-05 10:32:05责编:llp 来源:驱动管家面向目标ip发起ddos攻击的木马工具
DDoS攻击通过大量合法的请求占用大量网络资源,以达到瘫痪网络的目的,词文章主要是针对那些对一种被大量肉鸡使用,面向目标IP发起DDoS攻击的木马工具。本篇文章是对一种被大量肉鸡使用,面向目标IP发起DDoS攻击
详情2018-01-04 11:13:04责编:llp 来源:驱动管家反arp攻击:局域网怎么隔离感染arp病毒的电脑?
局域网如何隔离感染ARP病毒的电脑呢?以下就是具体的实现方法。方法 步骤局域网电脑是否存在ARP攻击的查看方法:点击“开始”-“程序”-“附件”-“运行”项来打开“运行“窗口,或者按”Windows+R“来打开,输入
详情2018-01-23 10:24:04责编:llp 来源:驱动管家如何防止网站成为黑网站呢?要做这些事
1 设置严密权限上传目录只给写入、读取权限绝对不能给执行权限每个网站WebSite使用独立用户名和密码权限设置为Guest命令: net localgroup users myweb del设置MSSQL、Apache、MySQL以Guest权限运行:在运
详情2018-01-19 11:29:50责编:llp 来源:驱动管家有哪些措施可以防范网络攻击打造网络防火墙?
我们遇到的入侵方式大概包括了以下几种:(1) 被他人盗取密码;(2) 系统被木马攻击;(3) 浏览网页时被恶意的java scrpit程序攻击;(4) QQ被攻击或泄漏信息;(5) 病毒感染;(6) 系统存在漏洞使他人攻击自己
详情2018-01-21 11:48:14责编:llp 来源:驱动管家怎么抵挡ddos攻击?对付ddos攻击的三大方法
一、拒绝服务攻击的发展:从拒绝服务攻击诞生到现在已经有了很多的发展,从最初的简单Dos到现在的DdoS。那么什么是Dos和DdoS呢?DoS是一种利用单台计算机的攻击 方式。而DdoS(Distributed Denial of Service,
详情2018-01-15 16:04:28责编:llp 来源:驱动管家dsa是什么?dsa算法应用哪些参数?
DSA是基于整数有限域离散对数难题的,其安全性与RSA相比差不多。DSA的一个重要特点是两个素数公开,这样,当使用别人的p和q时,即使不知道私钥,你也能确认它们是否是随机产生的,还是作了手脚。RSA算法却作不到
详情2018-01-17 17:08:02责编:llp 来源:驱动管家什么是unicode?字节和字符的区别是什么?
介绍Unicode之前,首先要讲解一些基础知识。虽然跟Unicode没有直接的关系,但想弄明白Unicode,没这些还真不行。字节和字符的区别咦,字节和字符能有什么区别啊?不都是一样的吗?完全正确,但只是在古老的DOS时
详情2018-01-20 12:09:39责编:llp 来源:驱动管家
- 电脑在哪儿设置无线网络?电脑无线网络如何设置?
- 支付宝钱包怎么用声波付款?支付宝声波付功能操作
- 爱普生打印机发生故障的时候怎么判断它是堵头还是断线
- 便携式wifi热点好用吗?便携式wifi热点的使用方法
- win7电脑想要关闭usb存储设备应该怎么做
- 用自带工具如何整理磁盘碎片?这些诀窍你一定要知道
- iphone5 sim卡的安装教程 遵循下面步骤
- 用手机连接电脑上网有哪些方法?
- 局域网设置固定ip为什么不能上网?局域网上网怎么设置?
- 清除dns缓存的方法是什么?电脑怎么清理dns缓存?
- openssh存在三大安全漏洞 这些漏洞怎么修复?
- .net开发人员容易犯哪些安全错误?
- 打印机怎么在局域网内共享?局域网打印机共享设置怎么做?
- 暴风影音播放器的播放记录功能为什么不见了?
- 小度wifi怎么样?关于小度wifi的一些介绍
- rca接口和av接口之间有哪些区别?rca接口有哪些优缺点
- 文件夹如何加密?win7可以用这些方法给文件夹加密
- 我的文档图标不见了有什么解决的办法
- 如何阻止iphone5游戏内购?iphone5游戏内购屏蔽方法
- iphone8和iphonex的区别 买手机选择iphone8和iphonex中的哪一个?