中国DOS联盟

-- 联合DOS 推动DOS 发展DOS --

联盟域名：www.cn-dos.net  论坛域名：www.cn-dos.net/forum
DOS，代表着自由开放与发展，我们努力起来，学习FreeDOS和Linux的自由开放与GNU精神，共同创造和发展美好的自由与GNU GPL世界吧！

作者: 标题: 转贴：新欢乐时光病毒“VBS.KJ”的危害与清除 上一主题 | 下一主题 MYS 元老会员 积分 5170 发帖 1637 注册 2002-10-16 来自 广东佛山 状态 离线 『楼 主』:  转贴：新欢乐时光病毒“VBS.KJ”的危害与清除 新欢乐时光病毒“VBS.KJ”的危害与清除   作者：金山反病毒资讯网     病毒感染过程介绍     VBS.KJ是一个感染html/htm、jsp、vbs、php、asp的脚本类病毒。和欢乐时光“VBS.HappyTime”一样，该病毒采用VBScript语言编写，在互联网上通过电子邮件进行传播，也可以通过文件感染；感染后的机器系统资源被大量消耗，速度变慢；利用Windows系统的“资源管理器”进行寄生与感染。     然而，与欢乐时光相比，VBS.KJ 病毒显然经过改进。首先，每次感染都会进行一次变形，可以逃过普通的特征码匹配查找方法；其次，该病毒不会主动发送电子邮件！而是修改系统中 Microsoft Outlook Express、MicrosoftOutlook 2000/XP 的设置，采用html格式的信纸来撰写邮件，病毒感染全部信纸！当发送邮件时病毒会附在邮件中，隐蔽性更强！第三，会感染 html/htm、jsp、vbs、php、asp等格式的文件，不会删除系统文件。     病毒生成和修改的文件     1、在每个检查到的文件夹下生成desktop.ini和folder.htt文件(这两个文件控制了文件夹在资源管理器中的显示视力)。     2、在%Windows%\web和%Windows%System32中生成kjwall.gif。     3、在Windows 9X系统中，生成%Windows%\System\Kernel.dll文件；在Windows 2000/XP中生成%Windows%\System\Kernel32.dll 文件。     4、感染htt文件，将病毒附加在其中；感染html/htm、jsp、vbs、php、asp，用病毒替换其内容。     注册表的修改     1、在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\下增加 Kernel32 键值，使病毒随系统启动；     2、修改HKEY_CLASSES_ROOT\dllFile\，改变dll文件的打开方式；     3、修改HKEY_CURRENT_USER\Identities\"&UserID&"\Software\Microsoft\Outlook Express\" & OEVersion&"\Mail\Compose Use Stationery"为1，即采用信纸；修改 HKEY_CURRENT_USER\Identities\"&UserId&"\Software\Microsoft\OutlookExpress\"&OEVersion&"\Mail\Stationery Name"指向信纸文件；     4、修改HKEY_CURRENT_USER\Software\Microsoft\Office\9.0\Outlook\Options\Mail相关内容，使Outlook 2000采用信纸来撰写邮件；     5、修改HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Outlook\Options\Mail相关内容，使Outlook XP采用信纸撰写邮件；     病毒感染的标志     1、在注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\下存在Kernel32键值，并指向Kernel.dll或者Kernel32.dll文件；     2、系统中大量存在desktop.ini和folder.htt；     3、在system目录下存在kjwall.gif文件；     手工清除（难度较大，建议采用杀毒软件杀毒）     1、打开注册表，删除 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Kernel32键值；    参照其他机器，恢复HKEY_CLASSES_ROOT\dllFile\下键值；    参照其他机器，恢复HKEY_CURRENT_USER\Identities\"&UserID&"\Software\Microsoft\Outlook Express\"&OEVersion&"\Mail\下相关键值；    参照其他机器，恢复HKEY_CURRENT_USER\Software\Microsoft\Office\9.0\Outlook\Options\Mail\下相关键值；     参照其他机器，恢复HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Outlook\Options\Mail\下相关键值；       2、删除文件（建议在DOS状态下或者使用第三方文件管理系统，如WinCommander等）     参照其他机器，恢复%Windows%\web目录下folder.htt 文件；     删除Kernel32.dll或者Kernel.dll文件；删除kjwall.gif；     查找所有存在KJ_start字符串的文件，删除文件尾部的病毒代码； ----------------------以下是我自己写的---------------------      新欢乐时光病毒比较难搞，通过网页、软盘、局域网、邮件等均可传播。    按我的经验，预防它最好的工具是瑞星。金山毒霸2002升级后都不能发现它，不过它的专杀工具杀毒比瑞星要快。 我的网志 http://hzmys.blog.163.com/ 我的网盘 firststep.qjwm.com fsmys.ys168.com ssmys.ys168.com www.brsbox.com/fsmys www.brsbox.com/ssmys www.brsbox.com/ccdos 2002-11-1 00:00          (2664429)       iiijtgeee 初级用户 积分 106 发帖 3 注册 2003-1-17 状态 离线 『第 2 楼』:   是有 我们这的新欢乐时空病毒杀也杀不掉 整个网络都被新欢乐时空病毒占有 连内存都被占有了 很大的内存占了 很是烦人 2003-1-17 00:00 mys 元老会员 积分 5170 发帖 1637 注册 2002-10-16 来自 广东佛山 状态 离线 『第 3 楼』:   用瑞声可以完全杀灭并预防它，不过金山毒霸不行。江民KV倒未试过。 我的网志 http://hzmys.blog.163.com/ 我的网盘 firststep.qjwm.com fsmys.ys168.com ssmys.ys168.com www.brsbox.com/fsmys www.brsbox.com/ssmys www.brsbox.com/ccdos 2003-1-18 00:00          (2664429)       Wengier 系统支持 “新DOS时代”站长 积分 27734 发帖 10521 注册 2002-10-9 状态 离线 『第 4 楼』:   其实检查起来很容易呀，用DIR FOLDER.HTT /A /S命令查看是否存在FOLDER.HTT文件就可以了。 Wengier - 新DOS时代 欢迎大家来到我的“新DOS时代”网站，里面有各类DOS软件和资料，地址： http://wendos.mycool.net/ E-Mail & MSN: wengierwu AT hotmail.com （最近比较忙，有事请联系DOSroot和雨露，谢谢！） 2003-1-18 00:00          (29206679)

可打印版本 | 推荐给朋友 | 订阅主题 | 收藏主题

论坛跳转: 站务区  > 站务公告 & 版主讨论  > 意见反馈 & 网友交流 DOS讨论区  > DOS学习入门 & 精彩文章 （教学室）  > DOS疑难解答 & 问题讨论 （解答室）  > DOS启动盘 & LOGO技术 （启动盘室）  > DOS批处理 & 脚本技术（批处理室）  > DOS媒体世界 & 网络技术 （多媒体室）  > DOS汉化世界 & 中文系统 （中文化室）  > DOS开发编程 & 发展交流 （开发室）  > DOS软件下载 & 游戏分享 （下载室） 其它讨论区  > GRUB4DOS、SYSLINUX及其它启动管理软件讨论专区  > 其它操作系统综合讨论区  > WinPE、PowerShell及其它命令行系统专区  > 贴图灌水、文学娱乐专区 服务区  > 网络日志（Blog）  > 论坛回收站      > 链接失效，待修正