近日中了传说中通过MSN传播的NEW PHOTO病毒。一个很顽固的病毒，杀起来特麻烦。此病毒禁用了注册表和任务管理器，就连开始菜单中关闭计算机按钮也没有了。百度主页可以上网，但百度知道却打不开。从网上找了很多种办法，用来恢复注册表和任务管理器，但都没成功。E d0U
r&f3u#J7590422 中毒经历IXPUB技术博客 c7JP&Uf^g
8J V9Hq4S!e H Z1y,Y7a7590422 刚开始的时候，是接到一个关于电脑报价的压缩包，由于是认识的人发送，一时降低了警觉，结果打开后中招。IXPUB技术博客8g!z*N%C:]f p7R6D0d
IXPUB技术博客M LnORl`| 先是在MSN上聊天后发现电脑无法关机，提示被限制。如图所示：IXPUB技术博客dVT|j;z _T8aT
gB7c3[ [rJt k&r7590422
W!V'@ Q X6w \5y/};J7590422
Rg cI#R h7590422
%@5?0q p~[
@7590422IXPUB技术博客zb$HizS3C,bl ] 无法正常关机IXPUB技术博客M^1M}E*y:HqF d
zjJ*LGUw ii7590422 强行关机重启后发现关机按钮消失，注册表编辑器、任务管理器打不开。
3jAy Xumk$uB*p7590422-eb9{8VaW7590422 IXPUB技术博客X(Q,bO%`
kM
)~8n-|)zp Orq/m7590422
h9g)` `8p75904225~/U"J2f
\q7590422 关机按钮消失IXPUB技术博客{S$n"sx zA;bR8b
D:~9i(k Q o U7590422
L1l&P_
TU X O7590422
IXPUB技术博客!FO ?Y2I1a:}IXPUB技术博客 t {*G(h8T
U y
W*w+m wF7590422 注册表被禁用
R
lo-e:sf$J7590422IXPUB技术博客(X$?!M,q.F6GL S IXPUB技术博客$X.Rw5yn
N2o,l
iR S5v[n
mW7590422
qGV#U M75904227V$ks'I~U{7590422 任务管理器被禁用
u-i!F-j
O0G7590422IXPUB技术博客!mXe"c(Q@ 病毒简单分析
U6[%U*\k)N7590422IXPUB技术博客E c+Tt*P ?$\/p 病毒监视可移动存储介质并向其写入Autorun文件，文件内容格式如下(不一定完全一致)：
6\!J[{:j&X_ Be7590422IXPUB技术博客?Z5J&n{R7E h:aB [autorun]
B-O.U%HiS
C7B7590422IXPUB技术博客6? M)n q Y
Gi g M
q o open=RECYCLERS-1-6-21-1257894210-1075856346-012573477-2315\folderopen.exeIXPUB技术博客*C4a UL4a5t,ou
)r'R5JL iD;}7590422 icon=%SystemRoot%\system32\SHELL32.dll,4
U VW
Teo?7590422IXPUB技术博客 S9_le7c(r action=Open folder to view files
JO J~9o*fR7590422IXPUB技术博客-J\$I'| F h7@ shell\open=Open
BkJ9pt:\6xw7590422IXPUB技术博客 oQ;c+vt$l(K2Y-W shell\open\command=RECYCLERS-1-6-21-1257894210-1075856346-012573477-2315\folderopen.exe
|I,_A0}0tK F7590422C#U(O5_%z'd7590422 shell\open\default=1
X9rkC u k7590422IXPUB技术博客,Qa0a-v i9s qI U盘图标被Autorun.inf定义为文件夹样式：
\)h;P:E,S8Z7590422IXPUB技术博客S n,c7J)[6k nA!Y u
iQ0i:unE1f"v ` P0Y7590422
Ma(^)oC6y7590422IXPUB技术博客k1bX8_ Y/K t
IXPUB技术博客 q`3\3O1pe U盘图标变为文件夹样式
\ZI2D j*H1_$E
V75904221dh0^#\2q*[N(G7590422 创建启动项并以隐藏进程运行：
Q"] w|@7590422,P v
bq0}W H(}[7590422 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\NotifyIXPUB技术博客tfw&@ n_*tDn
^"z:m o%DxI;n$Ne7590422 crypt
7@$x~.H6QG'Y7590422IXPUB技术博客!v0V K%hy crypts.dllIXPUB技术博客
J Q8Ya4Q-I
IXPUB技术博客E\L@%PyW]5B1tT c:\windows\system32\crypts.dll
2B` z?m$T(Z7590422IXPUB技术博客0W&s
^7eWHVC*H+F[ HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
BQ
Qey `
Xr @7590422IXPUB技术博客$k_%~Ex"\B0x,?h Symantec Control Client
a!{V ]
k-HC75904228L/}3^5wm ZZ7590422 symclisvc.exe
?2?K
|9Sto7590422IXPUB技术博客*?L A |.T7~6E/O NEW PHOTO
S:[y~&i5N}H h75904220S-qa W3`BS7590422 (Not verified) Adobe PhotoShop CS3 Product
7~
Z0C-j&F$W o3x7m;^7590422$a.?9~1Ov%e0V"w7590422 1.03.0023.0000
+HY9p q1V;{7590422IXPUB技术博客(] Y0}.u8u0@v+V+x [6r c:\windows\system32\symclisvc.exe
0wE
Y z6m7590422 [ rFs
b5p,B h$E7590422 Symantec Control Client
,|6sa)a kW ET4V
B7D7590422IXPUB技术博客jd k%Hg dcm symconfig.exe
:Q hU+K&W ^&q7590422IXPUB技术博客l#E/dM\ NEW PHOTOIXPUB技术博客7?*v8ln x
h6w
` t!v9oQ6TU*O7590422 (Not verified) Adobe PhotoShop CS3 ProductIXPUB技术博客!Gte"DRGjuA
IXPUB技术博客 O Fp.R M
e R,} 1.03.0023.0000IXPUB技术博客3X/T3C P&x6l$c:i
\/o N"d?]7590422 c:\windows\system32\symconfig.exeIXPUB技术博客$y a{qUq W8j
IXPUB技术博客%Y"Z K#J/U] 通过注册表限制用户关闭计算机：IXPUB技术博客-E R@ a3CZd+\ i [\
AQ]&T)z:N(Yu7590422
]5ete%A7590422
IXPUB技术博客6pQQ0S/@k1O+W C}/@ fp2ek8E dZSU7590422gb%ae1S [/a1N/{6B7590422 注册表关机键值被修改IXPUB技术博客 r"vX2g ge ]
DC.G n {$b;D;bY7590422 以图片形式通过MSN传播：IXPUB技术博客^
K4M Ye(l
6L
nv IX3y|7590422 IXPUB技术博客w J W6r'Jd,zp
病毒本体文件IXPUB技术博客7PJ:dUrR| 在虚拟环境下不运行，且劫持与安全相关的大量域名。
Z_zU uD"N E
u7590422F
I s+d(D w$`Z7590422 …………IXPUB技术博客D7GME.?l mN
IXPUB技术博客|y y&F-hw 127.0.0.1 www.dazhizhu.cnIXPUB技术博客-b3Tnh#L\ W9R
IXPUB技术博客0~T"ch_A\-I"x 127.0.0.1 www.f-secure.comIXPUB技术博客u Y,Iqb0^V;J
2V+z8s"eWhL
h7590422 127.0.0.1 wwww.mcafee.comIXPUB技术博客%O ~d"Q Qt`!S
f O'WW-ji!V7590422 127.0.0.1 www.avp.com
a$v+i4PjZ7590422IXPUB技术博客n ]!y C r.s{"}$IX 127.0.0.1 liveupdate.symantecliveupdate.com
)\ I|"X0N7590422c2X\6p
o;a5R1?E7590422 127.0.0.1 www.avast.comIXPUB技术博客W6M:_3R;M;ef
Ps
IXPUB技术博客qd,p5l2]I:Fo*] 127.0.0.1 www.duba.netIXPUB技术博客3^~(K3O%H FcP
IXPUB技术博客
`:I9`c
g j …………
@8ij]O|8jA{B75904221j:`5A"np@7590422 注：病毒插入了多个换行以误导用户认为hosts文件不存在域名劫持。IXPUB技术博客"W+g&M k.V
IXPUB技术博客%i4s+M(B@,b1}j
F2r!\ 实战斗病毒IXPUB技术博客,m$\@A4A/L'pBd
)b@ e;v2m-X"Z\7N7590422 用Sreng扫描，发现可疑文件：IXPUB技术博客bK2? N-C7B?/O/h)g
c*c
E1B"|D#A7590422 C:\WINDOWS\system32\symclisvc.exe
;pC.y,R`
CC \~7590422IXPUB技术博客r!B$hL9BJ6F7K C:\WINDOWS\system32\drivers\ADProt.sys
l)\1y9r4@7590422IXPUB技术博客$PO7N!y0{)d#| C:\WINDOWS\system32\drivers\bfafgefi.sys
+MV.By2]HP7590422IXPUB技术博客w
]3M[!?mFQ y*X C:\WINDOWS\system32\drivers\heighdid.sysIXPUB技术博客Ha#h1on8B$Vc
IXPUB技术博客 AH2L M)D.N D:\Program Files\Tencent\TM\TMDlls\npkcrypt.sys
RAy/r
PV O
fb#b4_7590422.SL)q)l6v8v4N)ke7590422 C:\WINDOWS\system32\mstscax.dll
rT&\
[[_ Z K7590422!W s
D {
E7590422 下载删除工具(无敌删除器DelayDelFile) (顽固文件删除工具DelayDelFile.rar)，解压并打开DelayDelFile，复制上面可疑文件列表(包含路径)——>粘贴进(Ctrl+V)第一个空白框中——>按“添加”——>点击“删除”按钮。IXPUB技术博客8e,w7t,l8f
IXPUB技术博客'N%F+?#|5R rzJ 发现symclisvc.exe文件在计算机重新启动后还会出现，用Sreng进行简单修复，发现启动项开机运行中始终存在一个NEW PHOTO。IXPUB技术博客 ]
\O%dR(l_O Z
IXPUB技术博客)k8JL&xP8by*X!hTE9{7590422 Y4d6Z(~7v'q([/a7590422 而且此时发现，网上给出的几种解决注册表被禁用的方法都无效(后来总结经验，感觉应该是由于当时疏忽，没在系统管理员权限下使用那些方法的缘故)。IXPUB技术博客J5N`v3Z]
-T&Cs-e"r y;Q7590422 一度考虑用WinPE盘来删除那个顽固文件，再回头收拾注册表。后来在网上下载了数个注册表解禁工具后，终于找到一个不错的，打开了注册表。IXPUB技术博客`"t$H1n(_&h$z,{ @
IXPUB技术博客.]+lnCTe@Z 工具下载：注册表清理器 regclear.exe
+PBN)} _x oop7590422IXPUB技术博客 ^,_BF O5S3h/GZTG IXPUB技术博客bN I T8m,y
Gs-qX
g2j!i.kN"N7590422IXPUB技术博客*?%g(U*mz
)I9J$]#{1n4E
r7590422 本人就是用此工具恢复中毒机器的注册表
OOy,]~;S(g7590422IXPUB技术博客`JeaS4YK8E'G 此时，回到C盘，发现顽固的symclisvc.exe文件已经消失，启动项开机运行中也没有了相应键值。(这个地方比较奇怪，估计有可能是注册表的恢复，触发了DelayDelFile没能继续完成的操作所致。)IXPUB技术博客;g,^O;mG&J
_ V1^[ R_@7590422 恢复了注册表，下来的事情就是恢复任务管理器了。通过注册表来恢复。打开记事本，把下面的内容保存成.reg文件，然后双击导入恢复。IXPUB技术博客3^%?:M `!Wr
IXPUB技术博客 D
N K qgk REGEDIT4IXPUB技术博客 Z3GdP;}
|9X"s a`7H
[HKEY_CURRENT_USER\Software\Microsoft\Windows\
CurrentVersion\Policies\System]
NCe0Z%ov7590422 "DisableTaskmgr"=dword:00000000IXPUB技术博客 D/_[4^^ L
U T@
IXPUB技术博客+LZ] {9?|!k (最后一行留一空行)IXPUB技术博客(B:F5~aD'[@
IXPUB技术博客 S
T%V[&{/f]7I 主要地方都恢复了，就剩下“关闭计算机”按钮了，这个就简单了。重新启动计算机，用管理员账户登录计算机。在组策略里设置好，重新启动。这次进自己的账户就可以了。进入桌面，打开“开始”菜单，“关闭计算机”按钮就出来了。IXPUB技术博客 @/p6^,g@-h
B9~,p J-s7590422 IXPUB技术博客/CCR [dP1t"X;U
IXPUB技术博客"N7\8n#U)K%m-fx({-o3e7590422IXPUB技术博客-^ AD
qS*a 提示：一定要在管理员账户进行操作IXPUB技术博客3a,] x-O)a E,t#S
IXPUB技术博客
K{ nP`d 现在，任务管理器、注册表、关机选项都恢复了，病毒文件残留本体也被删除。
.I CkS R%~7590422$D0Tc/~ B$SyQ7590422 总结
,i'M;Z}-^)GQ7590422IXPUB技术博客1h%tb0k"S 1、清理病毒的操作最好都在管理员权限下进行;IXPUB技术博客&T2dG5nN
IXPUB技术博客lsSK/m&K 2、注意病毒文件与注册表的关联性;
3iM m u-M(P!I,J,\ C vt7590422IXPUB技术博客 e4t9_'~`&c 3、注意异常现象的出现;
'Z O0`u]-Q6\7590422&C ?3S7p9Tj7590422 4、最重要的，即便是熟悉者在MSN等即时聊天工具上发过来的链接、压缩包等下载文件，都要进行多次询问。确定无问题后，还要注意链接是否存在异常，比如用数字“1”代替字母“l”。
cv^ G.k }&y J7590422IXPUB技术博客 n(T5y'g#Bm6R 经过艰苦奋斗，终于清除了病毒，看着自己的劳动成果——恢复正常的系统，继续工作!
!} M\B#Z3Pa yE2L.}7590422
