Storm_Center

隐藏文件不能正常显示（即使设置了显示所有文件的选项），修改注册表也无法修复（重启后又恢复无法显示隐藏文件的状态），IE主页被篡改。360扫出两个：iexplor.bat,（报映像劫持）和svhddf.exe。

进程中出现wscript.exe进程，同时自动弹出博告网广告：http://www.bloggao.com/Ad.aspx?AdID=……。清除方法：1.删除以下文件：（参考怎样根据SREng日志的分析报告清除病毒）c:\windows\system32\upgrade.sqm

　　前文“recycle.exe”、“　.exe”、“　　.exe”、“　　　.exe”病毒中病毒文件使用文件夹图标来诱使文件双击运行，今天又在同事的电脑上看到一例，与前文类似，也是在system32下生成4个文件夹（隐藏属性），文件夹名称是5位字母或数字组合，当然与前文不一样，但其中一个中也是装着病毒释放的E语言库文件（另一个装E语言库文件的地方上临时文件夹temp中的E_N4文件夹），另一个则装着放到启动项中的文件（注册表与开始程序菜单的启动文件夹），用于防止删除病毒后还能在下次启动后再次生成。

　　关机时显示“你正在关闭一台远程计算机，有人正在使用这台机器.继续关闭会使用户丢失数据”，不论以下操作是否对应上述提示，至少下面的可疑项是真实存在的。

　　从同事U盘上发现的四个文件：“recycle.exe”、“　.EXE”、“　　.EXE”、“　　　.EXE”，没有看到autorun.inf，可能有但已被删除了，以上四个文件，全部都是文件夹样式的图标，如果不显示扩展名，可能会误认为是文件夹，诱使点击，特别是recycle.exe，很可能被认为是回收站，其余三个以空格为文件名的特殊exe文件可能会给直接删除造成困难，不过用winrar压缩中的“压缩后删除源文件”功能可以删除。另外，这几个文件每个都有1M多大小，体积一样。

现象：杀毒软件失效，安全模式进不了，字体出错等。清除修复方法如下：1.删除以下文件：（参考怎样根据SREng日志的分析报告清除病毒）c:\windows\fonts\bnitnojy.dll　c:\windows\fonts\xssuxtav.dll　c:\windows\fonts\rysqjhbs.dll　c:\docume~1\admini~1\locals~1\temp\msdfjsadfjd.dat……

　　同事的电脑一开机，就弹出一个“程序错误”的提示框：“ntsd.exe产生了错误，会被windows关闭。您需要重新启动程序。正在创建错误日志。”，点确定关闭后，很快又跳出几个来，同时电脑上安装的杀毒软件以及卡卡助手不能启动，任务管理器也打不开，很明显有映像劫持。不过在寻找备份文件过程中还发现了usp10.dll，只有7K多的大小（正常文件有300多K大），看来还有犇牛（也有叫猫癣）病毒，还发现输入法图标也不见了，更确定了这个输入法杀手。不管叫什么，usp10.dll不会单独存在，它是个下载器，会下载很多木马病毒到电脑上，果然很多。

　　访问8888se网站遭遇木马病毒，杀毒软件、任务管理器均打不开，屏幕定时闪一下。检查SREng扫描的日志，发现该木马使用映像劫持技术劫持大量杀毒软件与安全工具，被劫持项的debugger的值为ntsd -d，使被劫持项无法正常运行。同时在HOSTS文件中屏蔽大量安全网站，如360、卡巴斯基、江民、瑞星、金山、NOD32等官网。

　　病毒在局域网内传染，中毒电脑接入网络就导致整个局域网无法访问路由器，从而无法上网，怀疑是ARP欺骗型的病毒。具体检查SREng扫描的日志，发现该病毒利用映像劫持阻止大量的杀毒软件、安全工具运行。

　　打开浏览器时，总是默认打开“易朴上网导航”，即使浏览器的主页设置为“空白页”或“默认值”也不行。检查其用SREng扫描的日志，没有发现可疑的地方，通过网络搜索，发现这个导航页面是通过一个叫无忧隐藏的软件带到浏览器中的，日志确实反映有安装该软件。　　既然注册表、服务、插件等位置没有可疑修改，则很可能这个导航网页是加在浏览器的快捷方式属性中。