瑞星卡卡安全论坛

我是一家公司网管
现在公司局域网内的机器都感染了Worm.Beann病毒

通过共享传播的蠕虫病毒。该病毒运行后除了会在系统目录中释放多个木马病毒，还会在除系统盘以外的其他所有磁盘根目录下释放木马病毒和自运行脚本，只要进入该磁盘，病毒就会运行。同时病毒还会修改大量的文件关联，使得用户每次打开这些文件的时候病毒就得到了运行。该蠕虫病毒是通过网络共享传播的，它会将自己拷贝到局域网内所有的共享目录和其所有子目录中，诱骗其他用户运行。

            1.将自己拷贝到C:\WINNT\rundl132.exe

            2.释放另一蠕虫病毒到C:\Program Files\svhost32.exe（也是worm.Beann）

            3.添加注册表启动项：

            蠕虫的：
            HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
            "load"="C:\WINNT\rundl132.exe"
            HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
            "load"="C:\PROGRA~1\svhost32.exe"

            木马的：
            HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
            "TProgram"="C:\WINNT\smss.exe"
            HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
            "ToP"="C:\WINNT\LSASS.exe"

            4.在当前目录下释放vDll.dll

            5.释放一传奇木马病毒C:\WINNT\System32\ztdll.dll（Win32.Troj.Lineage.zc）

            6..释放Win32.Troj.PSWWoW木马病毒的多个副本：
            C:\WINNT\1.com
            C:\WINNT\1SY.EXE
            C:\WINNT\smss.exe
            C:\WINNT\finders.com
            C:\WINNT\EXP10RER.com
            C:\WINNT\exerouter.exe
            C:\WINNT\System32\rund1132.com
            C:\WINNT\System32\command.pif
            C:\WINNT\System32\MSCONFIG.COM
            C:\WINNT\System32\dxdiag.com
            C:\WINNT\System32\regedit.com
            C:\WINNT\Debug\DebugProgram.exe
            C:\progra~1\intern~1\inexplore.com
            C:\progra~1\common~1\inexplore.pif

            7.释放Win32.Troj.PSWLmir.xi木马病毒的多个副本：
            C:\WINNT\2SY.EXE
            C:\WINNT\LSASS.exe
            C:\WINNT\EXERT.exe
            C:\WINNT\System32\MSCONFIG.COM
            C:\WINNT\System32\dxdiag.com
            C:\WINNT\System32\regedit.com
            C:\WINNT\Debug\DebugProgram.exe
            C:\progra~1\intern~1\INTEXPLORE.com
            C:\progra~1\common~1\INTEXPLORE.pif

            8.在其他盘根目录下释放Win32.Troj.PSWWoW病毒副本：
            （在此只写了D盘的）
            D:\command.com
            并生成一个D:\autorun.inf，其内容如下：
            [autorun]
            OPEN=D:\command.com

            此外还有一个.ini文件，该文件只纪录了当前的日期
            D:\_desktop.ini
            2006/5/26

            9.将蠕虫拷贝到局域网所有的共享目录和其所有子目录中

            10.修改大量文件关联：
            HKLM\SOFTWARE\Classes\htmlfile\shell\open\command
            (Default)=""C:\Program Files\Internet Explorer\inexplore.com" -nohome"
            HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
            (Default)=""C:\Program Files\Internet Explorer\inexplore.com""
            HKCR\ftp\shell\open\command
            (Default)=""C:\Program Files\Internet Explorer\inexplore.com" %1"
            HKCR\htmlfile\shell\open\command
            (Default)=""C:\Program Files\Internet Explorer\inexplore.com" -nohome"
            HKCR\htmlfile\shell\opennew\command
            (Default)=""C:\Program Files\common~1\inexplore.pif""
            HKCR\http\shell\open\command
            (Default)=""C:\Program Files\common~1\inexplore.pif" -nohome"
            HKLM\SOFTWARE\Classes\http\shell\open\command
            (Default)=""C:\Program Files\common~1\inexplore.pif" -nohome"
            HKCR\Drive\shell\find\command
            (Default)="%SystemRoot%\EXP10RER.com"
            HKLM\SOFTWARE\Classes\htmlfile\shell\open\comman
            (Default)=""C:\Program Files\Internet Explorer\inexplore.com" -nohome"
            HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
            (Default)=""C:\Program Files\Internet Explorer\inexplore.com""
            HKCR\ftp\shell\open\command
            (Default)=""C:\Program Files\Internet Explorer\inexplore.com" %1"
            HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
            Cookies="C:\Documents and Settings\jjwen1\Cookies"
            HKCR\htmlfile\shell\open\command
            (Default)=""C:\Program Files\Internet Explorer\inexplore.com" -nohome"
            HKCR\htmlfile\shell\opennew\command
            (Default)=""C:\Program Files\common~1\inexplore.pif""
            HKCR\http\shell\open\command
            (Default)=""C:\Program Files\common~1\inexplore.pif" -nohome"
            HKLM\SOFTWARE\Classes\http\shell\open\command
            (Default)=""C:\Program Files\common~1\inexplore.pif" -nohome"
            HKCR\WindowFiles\shell\open\command
            (Default)="C:\WINNT\EXERT.exe "%1" %*"
            HKCR\.exe
            (Default)="WindowFiles"




用正版瑞星杀毒只能查出源病毒释放出的变种病毒 而不能查杀源病毒本体  金山能查出病毒但只能删除病毒文件而不能杀除病毒  在服务器上，个人PC上有大量不可替代的文件不能删除格式化
请大家帮忙啊