Infostealer.Gampass病毒的专杀及分析报告---------- 红客中国安全网-红客网络改变世界,创造网络安全新纪元

HKC安全网软件公告

红客中国自主开发的红客网警系列软件将在10月隆重上市，敬请关注。（红客中国反入侵精灵将暂时停止下载）



	漏洞公告
	病毒公告
	安全聚焦
	技术文章

首页 > 安全资讯 > 技术文章

Infostealer.Gampass病毒的专杀及分析报告

发布日期：2007-10-09 00:57:42 共阅732次

病毒行为：

1、由于这个种木马生成伪装系统文件，给手动删除造成迷惑，故需小心判认。

2、此木马会通过系统保护项重复生成感染。

3、此木马也可能会在C:Documents and Settings系统用户名Local SettingsTemp生成1.exe、2.exe等可执行文件进行破坏exe关联。

4、中毒后，病毒修改了系统执行关联，控制不能执行.exe的命令，重启电脑系统后会导致病毒防火墙等都不能启动。此时IE执行的命令文件是病毒文件：Program FilesInternet Exploreriexplore.com，故上网时不能直接使用IE执行，如果存在Windowsexplorer.com要先删除。

解决步骤：

1、关闭系统还原。开机启动时按F8，选择带网络的安全模式进入，打开我的电脑，从工具——文件夹选项，在查看中，勾选[显示系统文件夹的内容]，去掉勾选 [隐藏受保护的操作系统文件]的勾。选择[显示所有文件]，去掉隐藏已知的后缀名。然后到以上描述的文件夹里，把相应的病毒文件删除。

如果不能正确判断文件是否系统文件还是伪系统文件，可以下载最新的木马分析专家扫描分析，会列出这些文件名，然后用他的病毒文件定位，把它们一一删除。

2、在资源管理器的地址栏上直接输入：

C:Documents and Settings系统用户名Local SettingsTemporary Internet FilesContent.IE5

C:Documents and Settings系统用户名Local SettingsTemporary Internet Files C:Documents and Settings系统用户名Local SettingsTemp

这三个临时文件夹中的文件全部直接删除。

3、删除自动运行的引用:

访问 HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun 。如果找到值HKEY_CURRENT_USERsoftwaremicrosoftwindowscurrentversionrun backup

HKEY_LOCAL_MACHINEsoftwaremicrosoftwindowscurrentversionrun winrarshell，立即删除并重启机器。

4、清除注册表:

使用注册表编辑器清除以下注册项（如果存在）：

HKEY_LOCAL_MACHINEsoftwaremicrosoftwindowscurrentversionrun winrarshell

HKEY_CURRENT_USERsoftwarebgm

HKEY_CURRENT_USERsoftwaremicrosoftwindowscurrentversionrun backup

5、删除文件:

使用资源管理器删除以下文件（如果存在）：

w32bumaf-c.exe

%system%winrarshell32.exe

%windows%backup.exe

6、连接上网络，在资源管理器的地址栏上直接输入：http://cn.zs.yahoo.com/

然后在IE修复的高级修复中，通过扫描出来后，把所有未知的勾上，然后点立即修复，完成后，到IE修复的保护IE，启动保护中，把保护系统启动项勾选，把启动项保护起来。

7、在雅虎助手的IE修复的编辑Hosts表，发现有IP，后面的网址的话，把前面的IP改为127.0.0.1 ,然后点击立即保存，重新启动计算机。

8、重启系统后，用杀病毒软件（保持最新的病毒特征库）进行完全查杀病毒。