彻底清除trojan-downloader.win32.agent.bbb病毒
前些天上网下载一个软件,下载后发现是exe格式的,有点怀疑的病毒。但是由于要得很急,所以也没杀毒就直接运行了,结果发现果然是一个流氓软件包。这个流氓软件包首先在你电脑里安装一个木马病毒,然后会不断地下载安装各类流氓软件到你的电脑上。做这个软件包的人真是太缺德了,会生个小孩都搞不好会没屁眼。先不骂这些人了,说正事。
经过仔细检查发现,这个核心的木马就是trojan-downloader.win32.agent.bbb病毒。中了这个病毒后,我是这样清除的:
1、用超级兔子清理自动安装的流氓软件。再清理注册表。
2、用mcafee查毒,没发现病毒。改用奇虎的安全卫士360(我很不喜欢这个由周宏一这个老流氓投资开发的软件),但抱着死马当活马医的想法,还是试了一下。发现每次把由木马自动安装的流氓软件清理掉后,再起机又会重新安装,360对这个病毒也起不到什么作用。后来再改用卡巴斯基,发现可以删除大部分被木马程序安装的其他流氓软件和木马,就剩下trojan-downloader.win32.agent.bbb这个病毒删除不了。
3、经过分析,发现这个病毒是写入到explorer进程的,核心是一个名为kumiq.dll的组件(这个组件的名字不一定,也可能你电脑上是别的名字),这个组件是在windows/system32目录下。由于被explorer调用,所以无法删除,因为explorer是随系统启动就会运行的,因而进入安全模式也没用。
4、进到注册表(进入注册表方法:点“开始”=》“运行”=》键入“regedit“,点确定,然后按F3,把下面的这个键值名复制进去。在操作注册表的时候最好做一下备份,),把所有与这个名字(kumiq.dll)有关的项目全部删除,但经这么一番折腾后,发现起码不会再自动安装其他木马和流氓软件了(以前每次启动都会自动生成一个pvsec.dll的组件,并且进程里面有好几个木马的进程,这些全都被清理掉了)。
5、下载一个叫做unlocker的软件,安装好后把kumiq.dll的调用进程杀掉,再删除这个组件(用其他所谓的文件粉碎机之类的东西是删不掉这顽固的病毒组件的)。
6、重启后,再用卡巴斯基全面查一遍毒,防止残留。再用超级兔子清理一下注册表(因为清理掉了很多病毒组件,如果不清理注册表,开机会提示“***找不到组件”之类的,很烦人)。完工。
7、以上只是大概的过程,给大家一个思路,好让大家清除这个病毒的时候少走弯路,大家如果有什么不清楚的可以留言问我。
8、总结:病毒虽然清理掉了,但是由于在手工删除注册表字段的时候下手太狠,可能把一些与病毒无关的也干掉了,所以重启后,个人设置以及其他程序的默认设置全部丢失。虽然后来手工把一些丢失的字段加了进去,解决了一部分问题,但总是会发现新的问题,系统不是很稳定。并且为了手工清除这个病毒,花了很长的时间,这个时间足够重新安装一遍系统了。我是为了顺便研究一下这个病毒,才没有选择重新安装的。所以大家如果是遇到这个病毒,我建议还是把要紧的资料备份一下,再重新安装一遍系统来得更快。
============================
由于trojan-downloader.win32.agent.bbb病毒会修改系统配置,可能一些组件的调用会写入到IE的一些配置程序里,而不是写入到注册表中。建议重新安装IE试试。
to:qiujiu
可能是你对unlocker的使用不太熟悉,简要介绍一下unlocker的使用方法:
1、安装unlocker
2、找到你要删除的文件,点右键,在右键菜单中选择unlocker选项。然后会弹出一个unlocker程序的界面。
3、如果你要删除的文件被进程调用,那么在界面中会看到调用的进程,选中这些进程,然后点unlocker键(在右下方的键中,好象是这个名字)。点击后,你会看到进程被杀掉了(即窗口中进程框中没有进程了)。
4、然后点击左下方的下拉选择框,选中delete选项,再点击unlocker键,文件就会被删除。
我在这里提供一些手工杀毒的方法吧。不知道管用不管用啊。^_^。先在任务管理器中把病毒进程结束掉,然后进入注册表。进入注册表的方法就是依次点击开始,运行,输入regedit,然后把所有software——Microsoft——Windows——CurrentVersion目录下的Run键值统统删掉。
用360安全卫士扫描木马
找到带毒文件****.ini
下载unlocker将windows\system32下****.ini及windows\system32\drivers下*****.sys解锁删除(两文件同名,只是后缀不同)
再进入注册表编辑删除掉所有包含****的键值