近日中了传说中通过MSN传播的NEW PHOTO病毒。一个很顽固的病毒，杀起来特麻烦。此病毒禁用了注册表和任务管理器，就连开始菜单中关闭计算机按钮也没有了。百度主页可以上网，但百度知道却打不开。从网上找了很多种办法，用来恢复注册表和任务管理器，但都没成功。IXPUB技术博客9G3X%|1f:b s 中毒经历
oX+Zq1k4gV1Q0}%_[;Wu6b0 刚开始的时候，是接到一个关于电脑报价的压缩包，由于是认识的人发送，一时降低了警觉，结果打开后中招。IXPUB技术博客%tB2y,F"Y
Y
IXPUB技术博客X~6x(wa r)R
X 先是在MSN上聊天后发现电脑无法关机，提示被限制。如图所示：
A
CW*kRx0 m+_VzAY0 IXPUB技术博客R$C G uf,y
;[I9CU `K Bwmt b Pt0IXPUB技术博客Z:{ b2xxb ^dxb
IXPUB技术博客 i"^&O7G?/z#~,t
n 无法正常关机IXPUB技术博客
e tr*iU1zM$R
IXPUB技术博客!q;_
xx0S!cvp 强行关机重启后发现关机按钮消失，注册表编辑器、任务管理器打不开。
XkbS`7h)a}0IXPUB技术博客LQ+b9\[*q IXPUB技术博客 s} |GG z:Z(b(D
IXPUB技术博客Nn9jR1K b4ab'?~,DA(h00OV:f [R:jBm0 关机按钮消失IXPUB技术博客%_uGw8\W3W
E,g3W$@dwI @#[6k0
hW+A%qy0
IXPUB技术博客"R4@8@m4o"UIXPUB技术博客RF jhb$r$d!C'z:Y:`
IXPUB技术博客(dn!_g){D 注册表被禁用
7p h?m ` R/e-or0*zt,ig5T[L(nX"aG0
W ng V5pv&M0
IXPUB技术博客 Kw(K[+zI1M `RHIXPUB技术博客B2lx9s Rk S:t X8T
B
IXPUB技术博客-uK3l'a'y#zf 任务管理器被禁用
`{Gg9? W V Z xK _0.BL U8MPXA0 病毒简单分析IXPUB技术博客 {(V^$X.w
o c Yne U*K2lp \ l0 病毒监视可移动存储介质并向其写入Autorun文件，文件内容格式如下(不一定完全一致)：
'b*AP:q3Z(BwL(R0IXPUB技术博客(d],q lo;`{1pf*L!~ [autorun]
"p A.o NJ | _02{K
t QT|(I0 open=RECYCLERS-1-6-21-1257894210-1075856346-012573477-2315\folderopen.exeIXPUB技术博客7c9i.Xf @&~q(s
IXPUB技术博客 y
W.|q-A5H icon=%SystemRoot%\system32\SHELL32.dll,4IXPUB技术博客CO"V.x*i|
~;@
{N,W U A{(?S7lw0 action=Open folder to view filesIXPUB技术博客 jsxk/S3A
W:|:[@9k%V,s0 shell\open=Open
4T(}/Yk)t%Hk\0IXPUB技术博客u:a ? ?.o
Z E}y H shell\open\command=RECYCLERS-1-6-21-1257894210-1075856346-012573477-2315\folderopen.exeIXPUB技术博客^)z5pSC2l7Q1o.Z
'U4x*J+| k N"b0 shell\open\default=1
#Rj'd}6vx,M7O0IXPUB技术博客.I1U)u:xBQ t B U盘图标被Autorun.inf定义为文件夹样式：IXPUB技术博客JPif0r
(|%@vBjn0pq]0
\+oa/XR)DSz j)Ri t0
IXPUB技术博客W `[(q2F e9xtIXPUB技术博客,MW9S&V@ d
IXPUB技术博客&m)|C`|#w U盘图标变为文件夹样式IXPUB技术博客*V Qf"}4n[$w6r
'I*n:Lb X
y'e&Y0 创建启动项并以隐藏进程运行：
1^~B6d(o TAi0IXPUB技术博客1VHF&_(U4Y#s~ HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\NotifyIXPUB技术博客!d;A}1b T:E n!x&E
(i!n*dCu%k.C4j%s Xy0 cryptIXPUB技术博客/e$e EU/\5M H2y Iz
IXPUB技术博客T6ko6y"H${ crypts.dllIXPUB技术博客f/t@BH;w/mq(m
D L9n|Gn_VCr6?0 c:\windows\system32\crypts.dll
;P K[2jV\jN'?9I0;?3CT(uB!u6`#BG0 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
|@0l E}"W0-X9A]3BW"q,va w0 Symantec Control Client
Q V6|{k%f0IXPUB技术博客0mt
x d&a GM g k symclisvc.exeIXPUB技术博客,j'[;DD g
m4h
IXPUB技术博客-M9Q usD NEW PHOTO
9c^'@?)S
O0z+]6aB i0 (Not verified) Adobe PhotoShop CS3 Product
g W,n q"v.lx,j0IXPUB技术博客uR k IE ['K$MB 1.03.0023.0000IXPUB技术博客l.\/CbcJ,O-k8r YR9z
#z \ V-e+?0 c:\windows\system32\symclisvc.exeIXPUB技术博客!N?$?"l:@3L
IXPUB技术博客O_
]5Z Z.of7p Symantec Control ClientIXPUB技术博客 g5QV}0W{&po c
exRG]B$^-K%u ^0 symconfig.exe
2P6SB M&V \ kp8O0-VI ]3V&wW0 NEW PHOTOIXPUB技术博客.A+[4hQVX(X
IXPUB技术博客2T o x2_B n (Not verified) Adobe PhotoShop CS3 Product
"cAI W3{n0IXPUB技术博客 l%?U8r7u6a 1.03.0023.0000IXPUB技术博客6?.s3es(A
IXPUB技术博客x&J)p7Gu0b W7f c:\windows\system32\symconfig.exe
(|-K h y
x
t0L0IXPUB技术博客 k`W!j
w3T"T*p$W y 通过注册表限制用户关闭计算机：IXPUB技术博客 a,@;nH ~|_ SL&Y@
IXPUB技术博客D1AZ3Z,N ` IXPUB技术博客%s4L&K'}
|5P4K8`$U
IXPUB技术博客 KCQg VIXPUB技术博客
Kn,W}D{R-D,@c
IXPUB技术博客+m G[ pAQ'Ih@ 注册表关机键值被修改IXPUB技术博客
] @F;k!s
IXPUB技术博客\"l8_'P\!JV+j
病毒本体文件d0yg
I3O)}.C!G0 在虚拟环境下不运行，且劫持与安全相关的大量域名。IXPUB技术博客 Gx`1WL7}| `,[ns
?8A`h ~+?2z{Tr0 …………
"TU u3}I6u0IXPUB技术博客sQ4mR+?Dzi 127.0.0.1 www.dazhizhu.cn
^ ]-_qx0IXPUB技术博客_ P5a j1z 127.0.0.1 www.f-secure.com
5AG3V!p8~
}c-K0IXPUB技术博客 i4Z1{HYA 127.0.0.1 wwww.mcafee.comIXPUB技术博客7H,|J ](R&`
V V8hji+w0 127.0.0.1 www.avp.comIXPUB技术博客 J*p%m3[8|0Qu#jM
IXPUB技术博客 W4]4]u5X H3Z 127.0.0.1 liveupdate.symantecliveupdate.comIXPUB技术博客
T6}
W2XOf+x
1L0K B wU?W
si1n ZsF0 127.0.0.1 www.avast.com
6c2Sv&[^2QKTw j09sM3n!mbp0 127.0.0.1 www.duba.net
4N
qQpd y XS!~g0IXPUB技术博客4Wt\%e Zy9K/L Z …………IXPUB技术博客5~CvP'G&_
IXPUB技术博客Q:{z
uXf6k1~ 注：病毒插入了多个换行以误导用户认为hosts文件不存在域名劫持。IXPUB技术博客7Lo&j-q&S.[
1x \mC#O4t{"g0 实战斗病毒IXPUB技术博客q k8K G$~&K
IXPUB技术博客 jK/A&Z!iC r\{$^*l 用Sreng扫描，发现可疑文件：IXPUB技术博客zIy.Wc'ZHy_ I
IXPUB技术博客 ]AK
G T p}a C:\WINDOWS\system32\symclisvc.exeIXPUB技术博客 Dxfo&j&X;|
!QfULd&|0 C:\WINDOWS\system32\drivers\ADProt.sys
!ka ?v gn7w0IXPUB技术博客9Lr Lr#a!z:tNU C:\WINDOWS\system32\drivers\bfafgefi.sys
j@4t4Q%y9s ` ~X r?
f0z3LG7}J-O6S0 C:\WINDOWS\system32\drivers\heighdid.sys
)AV*g]]0F F(f3v-D ]0 D:\Program Files\Tencent\TM\TMDlls\npkcrypt.sys
k[%] X'?6y*Ne0iWte k&?S6S]"jP0 C:\WINDOWS\system32\mstscax.dllIXPUB技术博客P P+[1P]-^
X$?^-d^ht0 下载删除工具(无敌删除器DelayDelFile) (顽固文件删除工具DelayDelFile.rar)，解压并打开DelayDelFile，复制上面可疑文件列表(包含路径)——>粘贴进(Ctrl+V)第一个空白框中——>按“添加”——>点击“删除”按钮。IXPUB技术博客"C3R1_x h
IXPUB技术博客C]g$OF"^ 发现symclisvc.exe文件在计算机重新启动后还会出现，用Sreng进行简单修复，发现启动项开机运行中始终存在一个NEW PHOTO。IXPUB技术博客 g:? w4U] I9n o
IXPUB技术博客%D?:Yne8iIXPUB技术博客({,H(X%BnG
IXPUB技术博客'k nTy M*E\ Z 而且此时发现，网上给出的几种解决注册表被禁用的方法都无效(后来总结经验，感觉应该是由于当时疏忽，没在系统管理员权限下使用那些方法的缘故)。IXPUB技术博客;LS)? C
Es"I1S
r
2bk(r-zx NT Z0 一度考虑用WinPE盘来删除那个顽固文件，再回头收拾注册表。后来在网上下载了数个注册表解禁工具后，终于找到一个不错的，打开了注册表。
-Mls8e3tG#~] E8`0IXPUB技术博客0L`V,I8|~9| 工具下载：注册表清理器 regclear.exeIXPUB技术博客*Q:\d J.p&V\3S`
2ABh
p5Io*dMS)o0
<gRGR0
r0I,Y
}g8tC V6F0
H [!JN~ _b0q[ c!kC X K3S0 本人就是用此工具恢复中毒机器的注册表
lS9ZP?w0IXPUB技术博客q$o _2L"y+B0W5}0D)w 此时，回到C盘，发现顽固的symclisvc.exe文件已经消失，启动项开机运行中也没有了相应键值。(这个地方比较奇怪，估计有可能是注册表的恢复，触发了DelayDelFile没能继续完成的操作所致。)IXPUB技术博客
MO#c b {2D'x3u;N
y4@%l!C8i?;yY0 恢复了注册表，下来的事情就是恢复任务管理器了。通过注册表来恢复。打开记事本，把下面的内容保存成.reg文件，然后双击导入恢复。IXPUB技术博客/D1W {:k p z?
T(R5?k v0 REGEDIT4
fT]3Y X q$zj rd0 [HKEY_CURRENT_USER\Software\Microsoft\Windows\
CurrentVersion\Policies\System]
IXPUB技术博客 xprB&Z5f[b:C "DisableTaskmgr"=dword:00000000IXPUB技术博客*N*D|VE-i
|5_R ~F#]"Z#} d3`:`\0 (最后一行留一空行)
T \.Jsh N yr$a
J0hQ9B(z\-CIM K,g0 主要地方都恢复了，就剩下“关闭计算机”按钮了，这个就简单了。重新启动计算机，用管理员账户登录计算机。在组策略里设置好，重新启动。这次进自己的账户就可以了。进入桌面，打开“开始”菜单，“关闭计算机”按钮就出来了。IXPUB技术博客x n9]c.a
l G d
Gy b9lA0 IXPUB技术博客ai_[P1M6f U1s
F%||.f,xj;Q;@0
!r,KX4r/ED3u4L0IXPUB技术博客qr:Y4\d/M*S 提示：一定要在管理员账户进行操作IXPUB技术博客5u7M*Ni:OJ/P
IXPUB技术博客Q$zy M \3[:E5G 现在，任务管理器、注册表、关机选项都恢复了，病毒文件残留本体也被删除。IXPUB技术博客cO/ra1b\I
IXPUB技术博客\4E)Q2@L;z3K 总结IXPUB技术博客8]$u8z/aK
IXPUB技术博客G+k3j_:W{J4D 1、清理病毒的操作最好都在管理员权限下进行;IXPUB技术博客 L)r?8NJ)Y,Sz
F
rW9?*B:l8}"M1`0 2、注意病毒文件与注册表的关联性;IXPUB技术博客!O(k6R~/lT
C([A
.I7B jv%w1|0 3、注意异常现象的出现;
A:LOF|1[5E0IXPUB技术博客"? D[$G&R-Di/@ 4、最重要的，即便是熟悉者在MSN等即时聊天工具上发过来的链接、压缩包等下载文件，都要进行多次询问。确定无问题后，还要注意链接是否存在异常，比如用数字“1”代替字母“l”。IXPUB技术博客s%MM/[W){0I A
IXPUB技术博客jF#GP/A 经过艰苦奋斗，终于清除了病毒，看着自己的劳动成果——恢复正常的系统，继续工作!IXPUB技术博客:_vzT(q
