手工清理病毒原來可以如此簡單

第一步：知己知彼，百戰百勝

要戰勝AV終結者，我們先要了解自己的處境和它的特性還有弱點。首先我們來了解下AV終結者的執行以後的特徵：

1.在多個資料夾內生成隨機檔名的檔案

舊版本的AV終結者在工作管理員裡可以檢視2個隨機名的程序，新的變種檔名格式發生變化，目前我遇到過2種。
一種是隨機8個字母+數字.exe和隨機8個字母+數字.dll；另一種是6個隨機字母組成的exe檔案和inf檔案。不管變種多少它們儲存的路徑大概都是如下幾個：
C:\windows
C:\windows\help
C:\Windows\Temp
C:\windows\system32
C:\Windows\System32\drivers

C:\Program Files\
C:\Program Files\Common Files\microsoft shared\
C:\Program Files\Common Files\microsoft shared\MSInfo
C:\Program Files\Internet Explorer
以及IE快取等

這個是我個人總結出來的，隨著病毒的變種。獲取還有其他的。我這裡只提供參考。

2.感染磁碟及U盤

當你的系統中了AV終結者，你會發現你的磁碟右鍵開啟時將出現一個”Auto”也就是自動執行的意思，此時你的電腦已經中毒了，而且如果你這個時候企圖插入行動硬碟、U盤，或者燒錄光碟以儲存重要資料，都將被感染。這也就為什麼許多使用者重灌完系統甚至格式化磁碟以後病毒依然的原因。

當你重灌完系統，必定會有雙擊開啟硬碟尋找軟體或者驅動的時候，這個時候寄生在你磁碟根目錄內的Autorun.inf檔案就起到讓病毒起死回生的功能了。這絕對不是聳人聽聞哦！

3.破壞登錄檔導致無法顯示隱藏檔案

我們一起來看看磁盤裡的Autorun.inf，因為此時你的系統已經無法顯示隱藏檔案了。這個也是AV終結者的一個特徵，所以我們這裡用到幾條簡單的dos命令。

開始選單-執行-輸入“cmd”來到cmd介面，輸入“D:” 跳轉到D盤根目錄，因為AV是不感染C盤根目錄的，再輸入“dir /a”顯示D盤根目錄內的所有檔案及資料夾。“/a”這個引數就是顯示所有檔案，包含隱藏檔案。如圖：

我們看到D盤內多出了Autorun.inf以及隨機生成的病毒檔案017a4901.exe。我們一起看看Autorun.inf的內容，輸入”type autorun.inf”，Autorun.inf裡的程式碼的意思就是當你雙擊開啟、右鍵開啟、資源管理器開啟。都會自動執行目錄裡的 017A4901.exe這個檔案。所以對於普通使用者來說，即使你聽過別人勸告，通過右鍵開啟企圖避免執行病毒也是徒勞的。因為“上有政策下有對策”，病毒也是在不斷的變種升級的！當然它並不是無敵的，下文中我們就會講述如何清理它。

4. 在登錄檔中寫入啟動項，已達到自動啟動

HKEY_CLASSES_ROOT\CLSID\"隨機CLSID"\\InprocServer32 "病毒檔案全路徑"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\"隨機CLSID" "病毒檔案全路徑"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks "生成的隨機CLSID" ""
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "隨機字串" "病毒檔案全路徑"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc Start
其他病毒及變種寫入登錄檔的位置不同，下文的實戰部分我們將詳細說明

5.映像劫持技術

通過修改登錄檔
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options的內容達到劫持幾乎所有主流防毒軟體，甚至360安全衛士這樣的工具的目的，被劫持後的現象是，防毒軟體無法自動執行，實時監控也無法啟動，雙擊執行閃出一個黑色dos視窗後立刻消失。其實這個時候就是利用劫持技術轉向運行了病毒本身。這個時候防毒軟體就徹底倒下了。關鍵時刻我們果然還是要靠自己手工清理啊！

6.修改以下服務的啟動型別來禁止Windows的自更新和系統自帶的防火牆

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess Start
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv Start

7.刪除以下注冊表項，使使用者無法進入安全模式

HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
HKEY_CURRENT_USER\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}

8.連線網路下載更多的遊戲木馬、廣告軟體以為病毒作何謀取經濟利益。

9.強制關閉包含和病毒或者清理病毒或者防毒軟體有關的資訊的頁面。

10.注入Explorer.exe和TIMPlatform.exe反彈連線，以逃過防火牆的內牆的稽核。

11.新的變種中加入雙程序保護，當你結束一個程序，另一個程序自動重新啟動它並關閉你的工作管理員

第二步：實戰清理病毒

通過上面的內容相信你已經基本瞭解病毒的運作方式，現在防毒軟體已經“下崗”了，那麼現在我們就靠自己的雙手將它驅逐出去，還您一片藍色的天空吧！

首先介紹今天的主角：WinPe 老毛桃修改版

這是一個類似windows98的作業系統。它體積很小隻有幾十M，現在很多系統安裝版裡都集成了這個軟體，或者你也可以上網下載一個iso檔案。用虛擬光碟機執行，會有安裝到系統的功能，所以沒有燒錄機的朋友一樣可以使用它，當然它還有U盤版。我今天使用的是光碟版，或許你會問“為什麼要用這個作業系統？他和xp有什麼區別呢？難道用他就不會開機執行病毒了？”

是的！說的沒錯！因為WinPe是光碟或本地安裝出來的一個虛擬磁碟的作業系統，他和系統本身是沒有掛鉤的，所以不會啟動windows登錄檔裡的啟動項。這個的帶來的優勢就是我們可以在病毒啟動之前就把他刪除掉！設想，一個病毒雖然在登錄檔裡配置的啟動項，但是他的原始病毒檔案已經不存在了。和談啟動執行？這就是我們今天的重點思路！在病毒啟動以前將病毒檔案全部刪除，讓他有心無力！

下面是winpe下操作的截圖：

是不是和98或者2003很像？Winpe的另一個好處就是，我們前面提到的磁碟感染Autorun.inf對它也是無效的。右鍵是沒有”Auto”這個選項的，所以我們在winpe下可以放心的雙擊碟符而不會執行病毒！

我們首先來清理掉最容易找到的病毒檔案——磁碟根目錄下的感染檔案

除了C盤以外的每個盤根目錄下都有，一定要記得全部刪除！

刪除的檔案包括Autorun.inf和那個隱藏的exe檔案，有的病毒隱藏檔案是.pif或cmd或別的什麼，因為c盤根目錄沒這些感染檔案。所以我可以告訴大家一個訣竅：

刪除除C盤以外，所以盤目錄下的隱藏檔案（不包括資料夾）就可以了。

好接下來看看我們前面提到的其他資料夾：

C:\windows
C:\windows\help
C:\Windows\Temp
C:\windows\system32
C:\Windows\System32\drivers
C:\Program Files\
C:\Program Files\Common Files\microsoft shared\
C:\Program Files\Common Files\microsoft shared\MSInfo
C:\Program Files\Internet Explorer
在windows資料夾下我們發現了017A4901.hlp和我們上面說的一樣

> >

所以我們利用winpe的檔案搜尋功能搜尋” 017A4901”將其他病毒檔案都挖出來

當我們把上面找到的這些檔案全部清理完畢以後再搜尋看看。是不是已經沒有了？

那麼現在AV終結者也“下崗”了。登錄檔裡的所謂映像劫持、自動啟動、雙程序保護都已經形同虛設了！
這個時候你會發現你可以上防毒軟體的網站了

現在我們來徹底將病毒的啟動請出我們的電腦吧（注意：這個時候建議先不要執行防毒軟體，避免還有殘留的我們沒發現的病毒殘留檔案通過映像劫持再度重生！）

開始選單-執行-輸入“regedit”開啟登錄檔

使用模糊查詢搜尋我們剛才的病毒檔案。不要包括副檔名，因為有的地方是以名字做登錄檔項的，我們同時勾選項、值、以及資料。確保不放過一個敵人！

我們找到一個CLSID 為{A490017A-017A-4901-7A49-17A9017A4901}的項裡面儲存著病毒名稱和路徑：

我們刪除這個項，然後按下F3繼續搜尋下一個，找到就把它刪除。這裡要注意一個問題。如果你搜索出來的登錄檔項裡面有很多個值，千萬不要盲目刪除項。只要刪除包含病毒檔名稱和路徑的部分就可以了！避免系統崩潰！接下來刪除映像劫持部分的登錄檔內容搜尋Image File Execution Options既可來到

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options這個位置。你會發現裡面幾乎包含了所有你知道的防毒軟體的程序名，病毒就是通過識別這些程序名來進行劫持的。所以有的時候你可以通過修改程式的名稱。比如把360safe改為xxx.exx就可以運行了。當然不是絕對。例如對AV終結者就是無效的，因為他識別的是窗體標題。所以你可以發現的防毒軟體他們推出的專殺工具一般都是的副檔名，而且執行時候是沒有標題的。這個就是為了防止被感染或者被強制關閉。

第三步：收拾戰場，修復系統

首先我們重新啟動重新上崗就業的防毒軟體。這裡我使用360安全衛士，因為針對非感染exe型別的病毒，360足夠應付了，而且速度快很多。

選擇查殺流行木馬。好的，檢測結果。已經沒有木馬病毒了。下一步我們重啟啟動被病毒關閉的防火牆以及系統自動更新的服務，我的電腦-右鍵-管理-服務和應用程式-服務，找到windows firewall開頭的服務右鍵屬性，啟動型別改為自動，再找到Automatic Updates這個服務，同樣將啟動型別改為自動

下面修復安全模式：將如下程式碼儲存為1.reg 然後執行匯入既可

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}]
@="DiskDrive"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}]
@="DiskDrive"

將如下程式碼儲存為2.reg執行匯入後文件夾選項裡重新出現“隱藏受系統保護的作業系統檔案，以及“隱藏檔案和資料夾”選項，選擇顯示後即可和一樣一樣，正常情況下不需要去設定，隱藏的病毒檔案已經被我們刪除了，需要的人可以自行選擇

    Windows Registry Editor Version 5.00
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN]
    "RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
    "Text"="@shell32.dll,-30501"
    "Type"="radio"
    "CheckedValue"=;
    "ValueName"="Hidden"
    "DefaultValue"=;
    "HKeyRoot"=;
    "HelpID"="shell.hlp#51104"

    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
    "RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
    "Text"="@shell32.dll,-30500"
    "Type"="radio"
    "CheckedValue"=;
    "ValueName"="Hidden"
    "DefaultValue"=;
    "HKeyRoot"=;
    "HelpID"="shell.hlp#51105"

    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden]
    "Type"="checkbox"
    "Text"="@shell32.dll,-30508"
    "WarningIfNotDefault"="@shell32.dll,-28964"
    "HKeyRoot"=;
    "RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
    "ValueName"="ShowSuperHidden"
    "CheckedValue"=;
    "UncheckedValue"=;
    "DefaultValue"=;
    "HelpID"="shell.hlp#51103"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""

重新啟動後。您的電腦又是一片藍色的天空。

自此，菜鳥們再也不用為中毒煩惱了，重灌系統和格式化，不再是噩夢！建議重啟後用防毒軟體徹底查殺整個硬碟避免存在感染exe型病毒哦！偷懶的人跳過前面的介紹直接看操作實戰，是不是覺得非常容易？以後你也可以輕易的告訴MM電腦中毒？找我就行！重灌既浪費時間，又不能徹底解決問題哦！希望大家看完我的文章能夠學會舉一反三，輕鬆應對各種各樣病毒哦！