资源描述：
《virus.win32.alman.a病毒分析》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。
1、Virus.Win32.Alman.a病毒分析～教育资源库 卡巴斯基发现Virus.an.a病毒，无法清除，只能删除感染的文件。因为该病毒感染.exe程序执行文件，所以好多.exe程序执行文件将被删除。建议大家将卡巴斯基的主动防御保护全部开启，特别是启用注册表防护和程序完整性保护。 此病毒每感染一个文件，病毒特征就会变一次，杀毒引擎想通过特征码查杀来修复被感染的文件，困难重重。因此，到目前为止，还没有发现有杀毒软件能够修复被virut感染的EXE，只能选择隔离。这样一来，中此病毒的系统将会很惨，可能不得不备份文档后重装系统。 提醒用户及早升级防范virut病毒，如果不幸中招，可根据受损程
2、度处理。如果系统EXE破坏严重，可以采用备份进行还原，没有备份的情况下，覆盖安装可以最大程度减少损失。实在不想麻烦，可以将机子停用个把星期的时间，然后升级病毒库，再查杀，或许一切迎刃而解。 这个病毒使用的加密引擎来自波兰，那个IRC服务器域名为proxim.ircgalaxy.pl，貌似也是波兰的域名。 该病毒的其它行为： 感染后缀为：EXE和SCR的可执行文件： 如果文件名以下面的开始，则不感染 .ircgalaxy.pl 频道: #virtu 接收远程指令。 有问题的文件包括： 1、32目录下,该文件是病毒的感染与传播部分,一旦该文件启动之后,就.会从网上下载apphe
3、lps.dll(有正常的apphelp.dl文件l,但不在该目录下)到d,驱动)。 2、32drivers下的riodrvs.sys,正常的是riodrv.sys,这个程序估计是感染部分exe文件(我的一些exe文件坏了,有些没坏,看不出规律),阻止反编译软件,令icess之类强力工具不能启.动用的,真是强,不过还没有分析这个文件。 是否有其它不正常的文件还有待进一步分析。 初步的解决方案: 下载xdelbox最新版,先删除hklmsystemcurrentcontrolsetservicesriodrv项,运行xdelbox后,选中抑制再生与驱动安全删除选项,删除以上提到的三文件,重
4、启删除即可,部分被破坏的程序好像不能用了,但至少大多数还好,目前只能等这个病毒流行之后,下个.专杀工具再来处理。 linkinfo病毒初步解决方案 1)首先在32driversetchosts文件中添加以下几行 127.0.0.1.imrrr32driversriodrvs.sys,(有些机器上还有dkis6.sys,若有也加入)systemcurrentcontrolsetservicesriodrvs项。 本人机器经过这样处理之后就没有再复发了,虽然运行感染了的程序之后,hklmsystemcurrentcontrolsetservicesriodrvs还可能出现,不过己经没有了感
5、染力,被破坏的程序如果舍不得删除的话就留下，等有专杀工具出来再还原。还有一点要说明就是,用xdelbox1.2,主要是由于其抑制再生的功能可以阻止该病毒再次感染，极力推荐这个工具。友情提醒：，特别！
