硬盘中毒了--RAVMONLOG，起初还不知道是中毒，就是总不能用左键正常打开硬盘....并且，用杀毒软件也查不出病毒，更别提杀毒了！！ 病毒名称：Worm.Win32.RJump.a（AVP）病毒别名：Trojan.Spy.IeSpy.q（瑞星）病毒大小：3,515,723 字节加壳方式：无样本MD5：3efdfddfffe5cf4ad40c5368c336a702发现时间：2006.5.19更新时间：2006.6.1关联病毒：传播方式：通过U盘、移动硬盘、MP3等中毒特征：生成RavMonE.exe、RavMoneE.exe.log、RavMonlog病毒简介：用PYTHON语言编写，py2exe打包变种特征：RavMon.exe、AdobeR.exe技术分析==========1. 运行后生成windows\RavMonE.exe（3,515,723 字节）——病毒本身msvcr71.dll（348,160字节）——库文件，支持病毒运行RavMoneE.exe.log（644字节）RavMonlog（5字节）Autorun.inf（103字节）2. 添加注册表[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]"RavAV" = "windows\RavMonE.exe"3. Autorun.inf内容：[AutoRun]open=RavMonE.exe eshellexecute=RavMonE.exe eshell\Auto\command=RavMonE.exe eshell=Auto用来启动RavMonE.exe4. RavMoneE.exe.log内容：Traceback (most recent call last):File "RavMonE.py", line 1, in ?File "zipextimporter.pyo", line 78, in load_moduleFile "twisted\internet\reactor.pyo", line 12, in ?File "twisted\internet\selectreactor.pyo", line 182, in installFile "twisted\internet\posixbase.pyo", line 168, in __init__File "twisted\internet\base.pyo", line 268, in __init__File "twisted\internet\base.pyo", line 568, in _initThreadsFile "twisted\internet\posixbase.pyo", line 265, in installWakerFile "twisted\internet\posixbase.pyo", line 77, in __init__File "", line 1, in listensocket.error: (10022, 'Invalid argument')5. RavMonlog内容：16704 17608 类似的数字＝＝＝清除方法：1. ctrl+alt+del，打开任务管理器，结束RavmonE.exe进程2. 在开始菜单>>>运行>>>输入regedit，删除注册表的键值[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]C:\WINDOWS\RavMonE.exe一切OK.3. 删除windows\RavMonE.exe、msvcr71.dll、RavMoneE.exe.log、RavMonlog4. 打开“文件夹选项”，在“查看”选项卡中，去掉“隐藏受保护的操作系统文件”前的勾，同时选中“显示所以文件和文件夹”5. 用右键打开U盘(不要双击打开)，删除包括RavmonE.exe、msvcr71.dll、RavMoneE.exe.log、RavMonlog、autorun.inf6.将你电脑上的 [移动硬盘H：] 重命名叫什么都行，先叫着将U盘安全拔出后 再把命名改回去文件选项也选回去，就可以了注：RavMon.exe和AdobeR.exe的清除方法类似。PS：msvcr71.dll是用来支持病毒本身运行的，删除的时候请注意文件生成时间是否与病毒生成的时间一致。参考资料：http://blog.sina.com.cn/myblog/article/article_print.php?blog_id=3d5fed16010004fv
已赞过已踩过< |
