昨天写了个帖子（http://forum.ikaka.com/topic.asp?board=28&artid=8317275），扼要介绍了断网状态下感染worm agent.ug样本后的手工杀毒对策。
但是，连网状态感染这个蠕虫后，还会从网上下载一堆其它病毒。这时，手工杀毒能否轻易搞掂？
为了回答这个问题，关闭TINY的windows security以及瑞星的所有监控，彻底关闭SSM。然后运行worm agent.ug样本。
待TINY的activty monitor不再显示任何网络访问及文件下载、运行时，重启系统。
重启系统后，奇异现象出现了（图1）。表明worm agent.ug的部分IFEO劫持失败了（TINY和SSM可以正常运行），只有可怜的瑞星被此蠕虫劫持掉了。

图1

此时，SSM可以将用户发现的病毒程序归入“阻止运行”组（图2）。

图2

此后，worm agent.ug下载的病毒可以找到并删除（图3）。

图3

worm agent.ug的主体文件也能删除（图4）。

图4

可以用改名的SRENG删除病毒启动项及WINSOCK劫持项（图5）。

图5

病毒添加的下列IFEO劫持项也能一一删除：

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options           

+ 360rpt.exe            c:\windows\system32\wocfiba.exe

+ 360Safe.exe            c:\windows\system32\wocfiba.exe

+ 360tray.exe            c:\windows\system32\wocfiba.exe

+ adam.exe            c:\windows\system32\wocfiba.exe

+ AgentSvr.exe            c:\windows\system32\wocfiba.exe

+ AppSvc32.exe            c:\windows\system32\wocfiba.exe

+ autoruns.exe            c:\windows\system32\wocfiba.exe

+ avconsol.exe            c:\windows\system32\wocfiba.exe

+ avgrssvc.exe            c:\windows\system32\wocfiba.exe

+ AvMonitor.exe            c:\windows\system32\wocfiba.exe

+ avp.com            c:\windows\system32\wocfiba.exe

+ avp.exe            c:\windows\system32\wocfiba.exe

+ CCenter.exe            c:\windows\system32\wocfiba.exe

+ ccSvcHst.exe            c:\windows\system32\wocfiba.exe

+ EGHOST.exe            c:\windows\system32\wocfiba.exe

+ FileDsty.exe            c:\windows\system32\wocfiba.exe

+ FTCleanerShell.exe            c:\windows\system32\wocfiba.exe

+ FYFireWall.exe            c:\windows\system32\wocfiba.exe

+ HijackThis.exe            c:\windows\system32\wocfiba.exe

+ IceSword.exe            c:\windows\system32\wocfiba.exe

+ iparmo.exe            c:\windows\system32\wocfiba.exe

+ Iparmor.exe            c:\windows\system32\wocfiba.exe

+ isPwdSvc.exe            c:\windows\system32\wocfiba.exe

+ kabaload.exe            c:\windows\system32\wocfiba.exe

+ KaScrScn.SCR            c:\windows\system32\wocfiba.exe

+ KASMain.exe            c:\windows\system32\wocfiba.exe

+ KASTask.exe            c:\windows\system32\wocfiba.exe

+ KAV32.exe            c:\windows\system32\wocfiba.exe

+ KAVDX.exe            c:\windows\system32\wocfiba.exe

+ KAVPF.exe            c:\windows\system32\wocfiba.exe

+ KAVPFW.exe            c:\windows\system32\wocfiba.exe

+ KAVSetup.exe            c:\windows\system32\wocfiba.exe

+ KAVStart.exe            c:\windows\system32\wocfiba.exe

+ KISLnchr.exe            c:\windows\system32\wocfiba.exe

+ KMailMon.exe            c:\windows\system32\wocfiba.exe

+ KMFilter.exe            c:\windows\system32\wocfiba.exe

+ KPFW32.exe            c:\windows\system32\wocfiba.exe

+ KPFW32X.exe            c:\windows\system32\wocfiba.exe

+ KPfwSvc.exe            c:\windows\system32\wocfiba.exe

+ KRegEx.exe            c:\windows\system32\wocfiba.exe

+ KRepair.com            c:\windows\system32\wocfiba.exe

+ KsLoader.exe            c:\windows\system32\wocfiba.exe

+ KVCenter.kxp            c:\windows\system32\wocfiba.exe

+ KvDetect.exe            c:\windows\system32\wocfiba.exe

+ KvfwMcl.exe            c:\windows\system32\wocfiba.exe

+ KVMonXP.kxp            c:\windows\system32\wocfiba.exe

+ KVMonXP_1.kxp            c:\windows\system32\wocfiba.exe

+ kvol.exe            c:\windows\system32\wocfiba.exe

+ kvolself.exe            c:\windows\system32\wocfiba.exe

+ KvReport.kxp            c:\windows\system32\wocfiba.exe

+ KVScan.kxp            c:\windows\system32\wocfiba.exe

+ KVSrvXP.exe            c:\windows\system32\wocfiba.exe

+ KVStub.kxp            c:\windows\system32\wocfiba.exe

+ kvupload.exe            c:\windows\system32\wocfiba.exe

+ kvwsc.exe            c:\windows\system32\wocfiba.exe

+ KvXP.kxp            c:\windows\system32\wocfiba.exe

+ KvXP_1.kxp            c:\windows\system32\wocfiba.exe

+ KWatch.exe            c:\windows\system32\wocfiba.exe

+ KWatch9x.exe            c:\windows\system32\wocfiba.exe

+ KWatchX.exe            c:\windows\system32\wocfiba.exe

+ loaddll.exe            c:\windows\system32\wocfiba.exe

+ MagicSet.exe            c:\windows\system32\wocfiba.exe

+ mcconsol.exe            c:\windows\system32\wocfiba.exe

+ mmqczj.exe            c:\windows\system32\wocfiba.exe

+ mmsk.exe            c:\windows\system32\wocfiba.exe

+ Navapsvc.exe            c:\windows\system32\wocfiba.exe

+ Navapw32.exe            c:\windows\system32\wocfiba.exe

+ nod32.exe            c:\windows\system32\wocfiba.exe

+ nod32krn.exe            c:\windows\system32\wocfiba.exe

+ nod32kui.exe            c:\windows\system32\wocfiba.exe

+ NPFMntor.exe            c:\windows\system32\wocfiba.exe

+ PFW.exe            c:\windows\system32\wocfiba.exe

+ PFWLiveUpdate.exe            c:\windows\system32\wocfiba.exe

+ QHSET.exe            c:\windows\system32\wocfiba.exe

+ QQDoctor.exe            c:\windows\system32\wocfiba.exe

+ QQKav.exe            c:\windows\system32\wocfiba.exe

+ Ras.exe            c:\windows\system32\wocfiba.exe

+ Rav.exe            c:\windows\system32\wocfiba.exe

+ RavMon.exe            c:\windows\system32\wocfiba.exe

+ RavMonD.exe            c:\windows\system32\wocfiba.exe

+ RavStub.exe            c:\windows\system32\wocfiba.exe

+ RavTask.exe            c:\windows\system32\wocfiba.exe

+ RegClean.exe            c:\windows\system32\wocfiba.exe

+ rfwcfg.exe            c:\windows\system32\wocfiba.exe

+ rfwmain.exe            c:\windows\system32\wocfiba.exe

+ rfwsrv.exe            c:\windows\system32\wocfiba.exe

+ RsAgent.exe            c:\windows\system32\wocfiba.exe

+ Rsaupd.exe            c:\windows\system32\wocfiba.exe

+ runiep.exe            c:\windows\system32\wocfiba.exe

+ safelive.exe            c:\windows\system32\wocfiba.exe

+ scan32.exe            c:\windows\system32\wocfiba.exe

+ shcfg32.exe            c:\windows\system32\wocfiba.exe

+ SmartUp.exe            c:\windows\system32\wocfiba.exe

+ SREng.EXE            c:\windows\system32\wocfiba.exe

+ symlcsvc.exe            c:\windows\system32\wocfiba.exe

+ SysSafe.exe            c:\windows\system32\wocfiba.exe

+ TrojanDetector.exe            c:\windows\system32\wocfiba.exe

+ Trojanwall.exe            c:\windows\system32\wocfiba.exe

+ TrojDie.kxp            c:\windows\system32\wocfiba.exe

+ UIHost.exe            c:\windows\system32\wocfiba.exe

+ UmxAgent.exe            c:\windows\system32\wocfiba.exe

+ UmxAttachment.exe            c:\windows\system32\wocfiba.exe

+ UmxCfg.exe            c:\windows\system32\wocfiba.exe

+ UmxFwHlp.exe            c:\windows\system32\wocfiba.exe

+ UmxPol.exe            c:\windows\system32\wocfiba.exe

+ upiea.exe            c:\windows\system32\wocfiba.exe

+ UpLive.exe            c:\windows\system32\wocfiba.exe

+ vsstat.exe            c:\windows\system32\wocfiba.exe

+ webscanx.exe            c:\windows\system32\wocfiba.exe

+ WoptiClean.exe            c:\windows\system32\wocfiba.exe

以上操作完成后，重启系统。系统回复正常（图6）。

图6

呵呵！！！！

学习了``

现在病毒实在太疯狂了```

【回复“baohe”的帖子】
学习，不知道猫叔测试了那个8位数的随机病毒没有，连tiny都被它强行关闭了，真疯狂。