病毒Virus.Win32.Alman.b是病毒Virus.Win32.Alman.a 的变种。此病毒每感染一个文件，病毒特征就会变一次，杀毒引擎想通过特征码查杀来修复被感染的文件，困难重重。因此，到目前为止，还没有发现哪个杀毒软件能够修复被virut感染的EXE，只能选择隔离。

前注

行为

摘录

解决方法

前注

卡巴发现 Virus.Win32.Alman.a 病毒，目前卡巴可以清除病毒，保留文件。建议大家将卡巴斯基的主动防御保护全部开启，特别是启用注册表防护和程序完整性保护。

中此病毒的系统，将会很惨，可能不得不备份文档后重装系统。

提醒用户及早升级防范virut病毒，如果不幸中招，可根据受损程度处理。如果系统EXE破坏严重，可以采用备份进行还原，没有备份的情况下，覆盖安装可以最大程度减少损失。实在不想麻烦，可以将机子停用个把星期的时间，然后升级病毒库，再查杀，说不定一切迎刃而解了。

这个病毒使用的加密引擎来自波兰，那个IRC服务器域名为 proxim.ircgalaxy.pl，貌似也是波兰的域名。

行为

该病毒的其它行为：

感染后缀为：EXE和SCR的可执行文件：

如果文件名以下面的开始，则不感染

WINC

WCUN

WC32

PSTO

连接IRC服务器:

proxim.ircgalaxy.pl

加入频道:

#virtu

接收远程指令。

摘录

1 windows 目录下的linkinfo.dll(33792 字节),正常的linkinfo.dll(19968 字节)在windows\\system32目录下,该文件是病毒的感染与传播部分,一旦该文件启动之后,就会从网上下载apphelps.dll(有正常的apphelp.dl文件l,但不在该目录下) 到windows\\apppatch目录,并注入explorer.exe,以及多种常见的网游客启端,并利用自带字典猜解局域网内所有机器的共享密码 (sb,估计是从熊猫那学来的,基本上不会成功),若成功则将病毒文件复制过去,并启动守感染程序(ins.exe,只从代码中看出,不过我没有发现这个程序)和守护服务riodrvs.sys(tmd,驱动),那像还会注入一些程序,没仔细看.

2 windows\\system32\\drivers下的riodrvs.sys,正常的是riodrv.sys,这个程序估计是感染部分exe文件(我的一些exe文件坏了,有些没坏,看不出规律),阻止反编译软件,令icesword,sms之类强力工具不能启动用的,真是强,不过还没有分析这个文件.

还有没有不正常的文件还有待进一步分析.

症状

中毒后压缩文件全部被感染,图标变得肥肿,点击系统盘(简称C盘)以外的盘有时会出现蓝屏,进到系统后,杀毒软件打不开,重装了系统还是不行,再点击C盘以外的盘,又被感染!

解决方法

下载 xdelbox 最新版,先删除hklm\\system\\currentcontrolset\\services\\riodrv项,运行 xdelbox 后,选中"抑制再生"与"驱动安全删除"选项,删除以上提到的三文件,重启删除即可,部分被破坏的程序好像不能用了,但至少大多数还好,等等吧,等这个病毒流行之后,下个专杀工具再来处理 linkinfo 病毒初步解决方案先讲初步的解决方案:

1)首先在windows\\system32\\drivers\\etc\\hosts文件中添加以下几行127.0.0.1 target=_blank>www.imrw0rldwide.com127.0.0.1pic ... tj.imrw0rldwide.com

2)(系统盘是ntfs格式者勿用,xdelbox据说对ntfs格式有问题)下载xdelbox1.2,给一地址,仅供参考http://www.i170.com/attach/51fd704f-c0bd-41e7-b0e9-60673a888fd6运行xdelbox,将windows\\system32\\drivers\\riodrvs.sys,(有些机器上还有dkis6.sys,若有也加入)windows\\apppatch\\apphelps.dll,windows\\linkinfo.dll(这个一定要删)加入到删除列表,选中"抑制再生"与"驱动安全删除"选项,重启删除.

3)删除注册表中的删除hklm\\system\\currentcontrolset\\services\\riodrvs项我的机器经过这样处理之后就没有再复发了,虽然运行感染了的程序之后,hklm\\system\\currentcontrolset\\services\\riodrvs还可能出现,不过已经没有感染力了,被破坏的程序如果舍不得删除的话就留下等有专杀工具出来吧.还有一点说明就是,用xdelbox1.2,主要是由于其抑制再生的功能可以阻止该病毒再次感染,很不错.