瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 【推荐】piaoxue.com 处理方法(10月28日更新)

1   1  /  1  页   跳转

【推荐】piaoxue.com 处理方法(10月28日更新)

【推荐】piaoxue.com 处理方法(10月28日更新)

提供俩个工具清理与一个手工清理..
================================================================
Windows清理助手
一款用户拥有完全控制权的软件清理工具:
1、独有的清理技术,可以彻底清理有驱动保护的恶意软件;
2、引擎和脚本分离,立场中立,清理操作对用户完全透明;
3、自定义查杀规则,控制权完全由用户掌握;
4、开放的用户接口,可以满足您的个性化清理需求,用户自定义脚本文件,实现对一些特殊软件的清理,并可将其共享给所有用户使用!
5、即时更新脚本库,使您拥有更强劲的清理能力!
纯绿色软件,不需安装,解压即可运行!
下载地址:
http://www.arswp.com/
http://mopery.hits.io/arswp.zip


=================================================================
360官方推出的飘雪(piaoxue.com)专杀工具,解决2000/xp下用户首页被改为www.piaoxue.com,www.feixue.com等问题。

专杀工具下载地址:http://dl.360safe.com/pxzs.exe

因飘雪屏蔽360安全卫士官方网站而不能用域名方式官方网站的用户,可用ip方式下载此修复工具:http://220.181.34.241/pxzs.exe
=================================================================

手工清理:
主页被更改为piaoxue.com或feixue.net的处理

这几天,不少用户在论坛上发帖询问Win32.Hack.LockFile.me.7552病毒无法删除或IE主页被更改为piaoxue.com或feixue.net的情况,经查证,这是一个流氓网站恶意更改用户IE主页的程序。由于该流氓使用了驱动保护,导致目前几乎所有的杀软都无法成功清除该病毒,因此发了这篇手工清除的帖子。由于该病毒目前仍在不断更新,如果发现按照帖子里的办法无法查杀的话请与我联系

1、确定驱动
运行autoruns.exe,在option菜单中分别勾选verify code signatures、hide signed Microsoft Entries后,点击Drivers选项卡,按F5刷新。这时会出现未经数字签名认证的非微软的驱动,如图一。由于该病毒的驱动文件名为随机生成,因此你看到的驱动名与图里的一般是不一样的。这时,注意找一个驱动名为8位随机字母组合,Publisher为(Not verified)Microsoft Corporation,路径在%system%\driver目录下的驱动,记下这个驱动的文件名




2、close handle
运行procexp,按下CTR+H显示handle面板,在find菜单中点击find handle,如图二,




然后输入刚才记下的驱动名,点search按钮,如图三。




在搜索到的结果中点一下鼠标,会看到procexp的handle主窗口中已经定位了。在handle窗口中定位处,右键,选择close handle,如图四。




3、删除驱动及文件
重新回到autoruns,在该驱动上点右键,选择delete,如图五。并在%system%\driver目录下删除该文件




4、重启电脑后,打开IE,更改一下IE主页即可。

下载procexp:http://www.cisrt.org/antivirus/rescue/tools/procexp.exe

下载autoruns:http://www.cisrt.org/antivirus/rescue/tools/autoruns.exe
最后编辑2006-10-30 19:22:05
分享到:
gototop
 

大家看看能否清除..

这个只是依照别人帖子简单化..

能清除就pm告诉我下..
gototop
 

【回复“終生學習”的帖子】

这软件是刚出不久的玩意.. 我暂时也不知道具体怎么用..
gototop
 

引用:
【RockSnake的贴子】用楼主的方法搜不到那个服务,但偶地主页的确被篡改成了www.piaoxue.com
………………



好象不是搜..他一扫就能看见了.
gototop
 

piaoxue是通过随机生成一个驱动,安装驱动到(%system%\system32\drivers目录下。文件名是随机的8位字母.sys,可能不止一个。
驱动加载后,通过生成两个线程附加到system这个系统核心进程上.

是网上一个分析的帖子..到处都是..

其他话不多说 干活..
gototop
 
1   1  /  1  页   跳转
页面顶部
Powered by Discuz!NT