热点科技

标题: [公告] [转帖]大家小心最新的病毒sxs.exe！！！ [打印本页]

作者: haoyou 时间: 2006-8-27 01:20
标题: [公告] [转帖]大家小心最新的病毒sxs.exe！！！
[转帖]大家小心最新的病毒sxs.exe！！！
我刚才中了还不知道，因为NOD 32没有反应！！！
只是因为我刚才想查看一下某个隐藏文件夹，发现在文件夹选项里面点了“显示所有文件和文件夹”居然没有任何效果，又回到了“不要显示隐藏文件和文件夹”上面。我很纳闷，就进入注册表查看，居然发现关于这个选项的注册表键值有一项“checkedvalue”居然变成了字符串值。我是个很敏感的人，意识到可能中了毒。这才发现QQ也自动关闭了！！！经过上网查资料，找到了手动查杀该病毒的方法，现在给大家看看。

这是一个盗取QQ帐号密码的木马病毒，特点是可以通过可移动磁盘传播。该病毒的主要危害是盗取QQ帐户和密码；该病毒还会结束大量反病毒软件，降低系统的安全等级。

1，生成文件
%system%\SVOHOST.exe
%system%\winscok.dll

2，添加启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"SoundMam" = "%system%\SVOHOST.exe"

3，盗取方式
键盘记录，包括软件盘；将盗取的号码和密码通过邮件发送到指定邮箱。

4，传播方式
检测系统是否有可移动磁盘，是则拷贝病毒到可移动磁盘根目录。
sxs.exe
autorun.inf

5，autorun.inf添加下列内容，达到自运行的目的。
[AutoRun]
open=sxs.exe
shellexecute=sxs.exe

6，关闭窗口名为下列的应用程序
QQKav
雅虎助手
防火墙
网镖
杀毒
病毒
木马
恶意
QQAV
噬菌体

7，结束下列进程
sc.exe
net.exe
sc1.exe
net1.exe
PFW.exe
Kav.exe
KVOL.exe
KVFW.exe
TBMon.exe
kav32.exe
kvwsc.exe
CCAPP.exe
EGHOST.exe
KRegEx.exe
kavsvc.exe
VPTray.exe
RAVMON.exe
KavPFW.exe
SHSTAT.exe
RavTask.exe
TrojDie.kxp
Iparmor.exe
MAILMON.exe
MCAGENT.exe
KAVPLUS.exe
RavMonD.exe
Rtvscan.exe
Nvsvc32.exe
KVMonXP.exe
Kvsrvxp.exe
CCenter.exe
KpopMon.exe
RfwMain.exe
KWATCHUI.exe
MCVSESCN.exe
MSKAGENT.exe
kvolself.exe
KVCenter.kxp
kavstart.exe
RAVTIMER.exe
RRfwMain.exe
FireTray.exe
UpdaterUI.exe
KVSrvXp_1.exe
RavService.exe

8，删启动项
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
RavTask
KvMonXP
YLive.exe
yassistse
KAVPersonal50
NTdhcp
WinHoxt

查杀方法：

首先，要显示隐藏文件

在这个：HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\

Advanced\Folder\Hidden\SHOWALL，将CheckedValue键值修改为1

还是没有用，隐藏文件还是没有显示，仔细观察发现病毒它有更狠的招数：它在修改注册表达到隐藏文件目的之后，为了稳妥起见，把本来有效的DWORD值CheckedValue删除掉，新建了一个无效的字符串值CheckedValue，并且把键值改为0（如图）！这样你以为把0改为1就会万事大吉，可是故障依旧如此！也就难怪出现以上的现象了。

正确的方法是：先检查CheckedValue的类型是否为REG_DWORD，如果不是则删掉“李鬼”CheckedValue（例如在本“案例”中，应该把类型为REG_SZ的CheckedValue删除）。然后单击右键“新建”--〉“Dword值”，并命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”。

经过刚才一番操作，我的电脑里的隐藏文件可以看到了，假如上述方法无效，那么可能是 HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden的数据丢失或损坏，遇到这种情况，请在Windows XP安装光盘中找到Hidden.reg，双击它，然后单击“确定”按钮，将该完整的注册表数据添加到当前系统的注册表中即可。（备注：可是我手头上的XP安装光盘找来找去都没有这个东西，假如你不幸遇到这种情况，可以尝试使用这种方法：找一部没有问题的电脑，把

HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden这个分支导出（假如命名为1.reg）；然后备份有问题的电脑的该注册表分支；最后把1.reg导入看能否解决问题。我没试过所以不知道会不会出现什么意外，祝各位好运！假如某人能够在XP安装光盘里找到这个东西，请把文件里面的内容复制到评论里面，并且注明该XP安装光盘有没有打过SP1或者是SP2，谢谢！）

我看到在我的D：E：F：这些盘中（除了c盘）都出现了autorun.inf和sxs.exe两个文件，删除又再生.而且U盘插进去也出现这两个文件。此时杀毒软件一直是无法启动，我把金山的换成江民的，还是没用，看来是病毒限制了杀毒软件的运行，所以首先要把病毒的自动运行关掉，我也找了网上的资料，不过我试了，没有用，找不到rous.exe,我提供给你们，自己去试一下看看！

你这是修改过的ROSE病毒

可以结束SXS的进程删除，记住，用鼠标右键进入硬盘

同时按下Ctrl+Shift+Esc三个键打开windows任务管理器

选择里面的“进程”标签

在“映像名称”下查找“sxs.exe” 但击它再选择“结束进程”

一定要结束所有的“sxs.exe”进程

打开我的电脑单击工具菜单下的“文件夹选项”

单击“查看”标签把“高级设置”中的

“隐藏受保护的操作系统文件（推荐）”前面的勾取消

并选择下面的“显示所有文件和文件夹”选项

单击“确定”

用鼠标右键点C盘（不能双击！）选择 “打开”

删除C盘下的 “autorun.inf”文件和“sxs.exe”文件

用鼠标右键点D盘选择 “打开”

删除D盘下的 “autorun.inf”文件和“sxs.exe”文件（另外有个文件也是，是个.exe 同样删了它）

……

以此类推删除所有盘上的 AUTORUN.INF文件和“rose.exe”文件

单击开始选择“运行” 输入 "regedit"(没有引号) ，回车

依次展开注册表编辑器左边的我的电脑>HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run

删除Run项中的 ROSE （c:\windows\system32\SXS.exe)这个项目

关闭注册表编辑器

然后重新启动计算机

删除硬盘上是ROSE：

按下shift键不放插入U盘直到电脑提示“新硬件可以使用”

打开我的电脑

这时在U盘的图标上点鼠标右键选择“打开” （不要点自动播放或者是双击！）

删除 SXS.exe和autorun.inf文件病毒就没有了

上面我说了这个方法对我没有用！sxs.exe没有专杀,现在只能通过注册表杀毒

打开注册表“regedit”,找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

有些网友说删除Run项中的 ROSE （c:\windows\system32\SXS.exe)这个项目

我找了一下没找到这个Run项目，但是我看了一下在Run里面有两个"SoundMam"，而且后面给的数值不一样，一个给的是“C:\\WINDOWS\\system32\\SVOHOST.exe”另一个是“SOUNDMAN.EXE”我想大家也发现了，肯定有问题，我看了一下，只有后面一个是正确的，前一个是豪杰超级解霸的“自动播放伺服器”的程序，看来病毒是加到这个里面了，借助自动播放到处传播！（这是我认为的，不知道对不对）于是就删除了这个项，退出注册表，打开杀毒软件，可以使用了，只是在一般杀毒时，还是找不到sxs.exe的，我用的是江民的，他有未知病毒扫描，在那里里面可以发现的，他是一种“硬盘蠕虫病毒”，删掉就行了，本来我是想截屏给大家看看的，可惜我重启了，没复制下来，哪位朋友补充一下在下面！感谢！

那还剩下autorun.inf，直接到各个硬盘删就可以了，再清空回收站就可以了，其他的都正常了，可能还有些网友系统可能出现些问题，如豪杰超级解霸的“自动播放伺服器”不能使用了，我的建议是：不要用了，就是他坏的事！要是你非要用就重新装吧！最后重新启动，可以了！

作者: YYR660 时间: 2006-8-27 01:22
谢谢楼主提醒！我小心一下了！

作者: hejiangjun 时间: 2006-8-27 02:00
分析很详尽啊，人才啊，专业人士啊。

但是是转贴的。

作者: liwei15 时间: 2006-8-27 06:35
楼主是高手呀.

作者: hero001 时间: 2006-9-8 10:42
昨天刚中完这个病毒。
手动删除了SVOHOST.exe及注册表中的相关启动项，大体解决问题。

作者: zwd753159 时间: 2006-9-8 12:31
了解..谢谢LZ的提醒!

作者: changyunfeng 时间: 2006-9-8 12:41
早中过了，删除相关文件，杀毒，解决。

作者: aaaabbbbcccc 时间: 2006-9-8 12:53
升级一下杀软就解决了

作者: q3384055 时间: 2006-9-17 17:49

原帖由 layer 于 2006-9-8 12:41 发表
早中过了，删除相关文件，杀毒，解决。

你的隐藏文件可以看到吗？
我刚才按照楼主的方法设置好了！谢谢楼主！

作者: zjgdw 时间: 2006-9-17 19:12
多谢楼主！我的电脑也中了这个病毒，根据楼主的指点已经解决了。

作者: laofan 时间: 2006-9-17 20:00
公司的电脑上星期中了
每个分区都有隐藏文件sxs.exe
所有文件夹选项确定后不能生效
NOD32 V2.5有反应但不能清除
于是用winPE 光启删除NOD32 所找到的病毒文件
看来还有手尾，明天回去按楼主的方法再删

作者: wmc 时间: 2006-9-17 20:20
中了之后有什么后遗症可以表现出来呢？

作者: xutao7726549 时间: 2006-9-17 20:27
支持楼主这东西实在是太吓人了
要小心防范啊

作者: clsend 时间: 2006-9-17 21:35
NOD32还是不行啊，虽然占用资源低，而且扫描快的多，但是效果实在是不敢恭维，还是KIS6.0好

作者: ashu002 时间: 2006-9-17 22:21
到现在咖啡还是不杀这个病毒的！！！

作者: yunwu110 时间: 2006-9-17 22:50
模范的例子，

这篇教程写得好～～

作者: wxszh119 时间: 2006-9-17 22:56
不久前也遇到这个病毒。开始走了一段弯路，后来的处理过程是这样的：结束相关可疑进程（我结束了两个可疑进程），然后删除其他分区的隐藏文件（Autorun.inf 和sxs.exe）(删除隐藏文件，有好多方法，我用winrar).,接下来清理相关注册表项。基本搞定了病毒，可是就是隐藏文件还是不能显示，这个时候可以联网了，到网上搜了下，才知道在此如何显示隐藏文件。……

[ 本帖最后由忆忆江南于 2006-9-17 22:57 编辑 ]

作者: yqliym 时间: 2006-9-21 23:56
我也中了,害我重装系统N遍,太可恶了!!!

作者: guohuizeng 时间: 2006-9-27 22:56
这个好像是木马，现在很杀软件也杀不掉木马的。

作者: caixinyu 时间: 2006-9-27 23:07
学习了，谢谢楼主。

作者: pconline1985 时间: 2006-9-27 23:12
支持楼主
先顶再看！！！！

作者: ccsk2006 时间: 2006-9-27 23:16
单位电脑中了，瑞星２００７杀之～～～～

作者: yunting221 时间: 2006-9-27 23:47
已经中过招了.不会再上当了.

作者: ehong 时间: 2006-9-28 02:05
今天我也领教过这个病毒的威力了
呵呵幸好我的咔吧报了
多谢分享技巧

作者: dewfnfm 时间: 2006-9-28 02:49
感谢提醒,会小心的

作者: 13433370754 时间: 2006-9-28 06:58
多谢分享，文章不错

作者: wqs518 时间: 2006-9-28 09:00
好像有人发了。不知道是谁先发的。

欢迎光临热点科技 (http://www.itheat.com/activity/)