病毒简介

病毒行为

清除方法(软件杀除方法 手动杀除方法)

病毒简介

病毒别名：Trojan.Reper[KV]

处理时间：

威胁级别：★★

中文名称：瑞普

病毒类型：木马

影响系统：Win9x / WinNT

病毒行为

该病毒伪装成记事本文件，一旦并运行之后会将自己复制到系统的多个目录中。该病毒运用了多种常用的方法获得运行权。并在每个可写的逻辑磁盘的根目录生成autorun.inf文件，每次用户打开逻辑磁盘的时候病毒就悄悄地自动运行了。病毒每隔2秒左右就将自己加载到注册表的启动项，以使每次开机都运行病毒；病毒还修改文本文件的关联程序指向自身，这样用户每次打开文本文件的时候病毒又悄悄地运行起来。病毒会关闭Windows 任务管理器，注册表编辑器，进程查看器，命令行窗口程序，进程名字中包含字符"进程"、"任务"、"毒"、"木"、"杀"、"task"、"proc"、"wom"、

"prcview.exe"、"doctor"、"kill"、等等的进程，这将关闭众多的反病毒软件，大大降低了中毒机器的安全性能，给其他病毒大开方便之门。病毒还激活guest帐户，添加一个管理员帐户，并且删除默认的管理员帐户"Administrator"，为黑客攻击打开后门。

1.病毒检查当前目录，如果是根目录，就创建Explorer进程，打开当前目录；如果不是根目录，就创建互斥体nothing，防止多个实例同时运行

。

2.将自身复制为以下文件（路径是硬编码的，如过不存在就释放不成功）：

%SystemRoot%\\svchost.exe

%System%\0TEPAD.EXE

C:\\Documents and Settings\\All Users\\「开始」菜单\\程序\\启动\\login.pif

C:\\Documents and Settings\\<当前用户名>\\「开始」菜单\\程序\\启动\\login.pif

修改文件C:\\autoexec.bat内容。

并在每个可写的逻辑磁盘的根目录生成以下隐藏文件

reper.exe （该文件是病毒的副本）

autorun.inf

autorun.inf文件的内容为：

[autorun]

open=reper.exe

当用户打开磁盘的时候病毒就自动运行了。

3.修改注册表。

添加启动项：

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

"Services"="%SystemRoot%\\svchost.exe"

修改文本文件关联程序为病毒文件：

HKCR\\txtfile\\shell\\open\\command\\

"默认"="%System%\0TEPAD.EXE %1"

4.创建两个线程，一个时钟。

1)一个线程用来关闭特定的进程：

regedit.exe

cmd.exe

ntvdm.exe

以及进程名中包含任意任意一下字符串的进程：

"task"

"proc"

"进程"

"prcview.exe"

"任务"

"毒"

"wom"

"木马"

"杀"

"doctor"

"kill"

2)另一个进程用来每2分钟运行一次C:\\autoexec.bat。该文件被修改以后运行，将激活guest帐户，添加一个管理员帐户，并且删除默认的管理员帐户"Administrator"。

3)设置时钟每隔1200毫秒进行一次复制文件和注册表修改。

清除方法

软件杀除方法

一般知名杀毒软件都可以查杀

手动杀除方法

1.进安全模式.

2.删除上面2中所升成的文件.

3.修复注册表成原状.

4.清理AUTOEXEC.BAT文件.

5.重新启动.OK

－－－－－－－－－－－－－－－－－－

将以下命令分别复制到“运行”，执行一次

attrib -h -r -s c:\\autorun.inf

del /q c:\\antorun.inf

注意，如果还有其他盘也有这个问题，如D盘等，请上面将红色的c改成D、E等重复做一次即可