北京信息安全中心毒霸联合发布6.06热门病毒

北京信息安全中心毒霸联合发布6.06热门病毒

2004年06月09日17:06:48　金山毒霸安全资讯网　

　　北京信息安全测评中心、金山毒霸联合发布2004年06月06日热门病毒

　　据金山毒霸反病毒实验室介绍，今日提醒用户注意以下病毒：

　　IE分析机(Win32.Troj.AnalyzeIE）广告类木马病毒。修改IE首页等相关信息，使每次打开IE时指向病毒的网址。采用线程注入到IE进程中，使其不易发现，且极难手工清除，用工具修复IE后，会立即复发。

　　病毒信息：

　　病毒名称: Win32.Troj.AnalyzeIE
　　威胁级别: 2C
　　中文名称: IE分析机
　　病毒类型: 广告类木马
　　受影响系统: Win9x/WinMe/WinNT/Win2000/WinXP/Win2003

　　传染条件：

IE安全级别过低或未打上IE最新补丁，将会允许该病毒自动下载执行。

　　系统修改：（点击查看详情）

A、在系统安装目录下生成如下文件：
%SystemRoot%\e.exe
%SystemRoot%\dpe.dll

B、
1、在注册表主键：
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Run
下添加如下键值：
"addClass" = "%SystemRoot%\e.exe"
使用每次运行都自动注册dep.dll
2、HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
下添加如下键值：
"Host" = ""
3、在注册表主键：
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search
下添加如下键值：
"默认"="http://%68%6F%6D%65%70%61%67%65%2E%63%6F%6D%00@%77%77%77%2E
%65%2D%66%69%6E%64%65%72%2E%63%63/%73%65%61%72%63%68/"
"CustomizeSearch"="http://%68%6F%6D%65%70%61%67%65%2E%63%6F%6D%00@%
77%77%77%2E%65%2D%66%69%6E%64%65%72%2E%63%63/%73%65%61%72%63%68/"
"SearchAssistant"="http://%68%6F%6D%65%70%61%67%65%2E%63%6F%6D%00@%77
%77%77%2E%65%2D%66%69%6E%64%65%72%2E%63%63/%73%65%61%72%63%68/"
4、在注册表主键：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
下添加如下键值：
"Search Page" ="http://%68%6F%6D%65%70%61%67%65%2E%63%6F%6D%00@%77%77%77
%2E%65%2D%66%69%6E%64%65%72%2E%63%63/%73%65%61%72%63%68/"
"Default_Search_URL"="http://%68%6F%6D%65%70%61%67%65%2E%63%6F%6D%00@%77
%77%77%2E%65%2D%66%69%6E%64%65%72%2E%63%63/%73%65%61%72%63%68/"
"Search Bar"="http://%68%6F%6D%65%70%61%67%65%2E%63%6F%6D%00@%77%77%77%
2E%65%2D%66%69%6E%64%65%72%2E%63%63/%73%65%61%72%63%68/"
"Start Page="http://%68%6F%6D%65%70%61%67%65%2E%63%6F%6D%00@%77%77%77%2E
%65%2D%66%69%6E%64%65%72%2E%63%63/%73%65%61%72%63%68/"
5、在注册表主键：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchUrl
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchUrl
下添加如下键值：
"默认"="http://%68%6F%6D%65%70%61%67%65%2E%63%6F%6D%00@%77%77%77%2E%65%2D
%66%69%6E%64%65%72%2E%63%63/%73%65%61%72%63%68/"
使得用户搜索时，链接到指定网站
6、在注册表主键：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix
下添加如下键值：
"默认"="http://%65%68%74%74%70%2E%63%63/?"
7、在注册表主键：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\Prefixes
下添加如下键值：
"www"="http://%65%68%74%74%70%2E%63%63/?"
8、在注册表主键：
HKEY_CLASSES_ROOT\CLSID\
下添加如下创建子键
{834261E1-DD97-4177-853B-C907E5D5BD6E}
并这个子建立多个键值

　　解决方案:

　　· 请使用金山毒霸2004年06月08日的病毒库可完全处理该病毒；

　　· 手工解决方案：
　　
　　首先，如果系统为WinMe或WinXP，则请先关闭系统还原功能。
　　（毒霸论坛：反病毒可能需要用到的方法及操作 > 如何禁用Win Me/XP的“系统还原”功能）

　 对于系统是Win9x/WinMe：

　　步骤一，删除病毒主程序
　　请使用干净的系统软盘引导系统到纯DOS模式，然后转到系统目录（默认的系统目录为
　　C:\windows），分别输入以下命令，以便删除病毒程序：

　　C:\windows\>del e.exe
　　C:\windows\>del dpe.exe
　　完毕后，取出系统软盘，重新引导到Windows系统。
　　如果手中没有系统软件盘，可以在引导系统时按“F5”键也可进入纯DOS模式。

　　步骤二，清除病毒在注册表里添加的项
　　1、打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Run
　　找到并删除如下项目：
　　"addClass" = "%SystemRoot%\e.exe"

　　2、点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
　　找到并删除如下项目：
　　"Host" = ""

　　3、点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search
　　修改成如下键值：
　　"默认"=""
　　"CustomizeSearch"=""
　　"SearchAssistant"=""

　　4、点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
　　修改成如下键值：
　　"Search Page" ="http://"
　　"Default_Search_URL"="http://"
　　"Search Bar"="http://"
　　"Start Page="http://"

　　5、点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchUrl
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchUrl
　　修改成如下键值：
　　"默认"=""
　　使得用户搜索时，链接到指定网站

　　6、点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix
　　修改成如下键值：
　　"默认"=""

　　7、点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\Prefixes
　　修改成如下键值：
　　"www"="http://"

　　8、点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_CLASSES_ROOT\CLSID\
　　找到并删除如下子键：
　　{834261E1-DD97-4177-853B-C907E5D5BD6E}
　　关闭注册表编辑器。

　 对于系统是Windows NT,Windows2000,Windows XP,Windows 2003 sever：

　　步骤一，关闭所有的网页浏览器。

　　步骤二，查找并删除病毒程序
　　通过“我的电脑”或“资源管理器”进入windows目录，找到文件e.exe、dpe.exe，并将它们
　　删除；

　　步骤三，清除病毒在注册表里添加的项
　　1、打开注册表编辑器: 点击开始>运行, 输入REGEDIT, 按Enter；
　　在左边的面板中, 双击（按箭头顺序查找，找到后双击）：
　　HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Run
　　找到并删除如下项目：
　　"addClass" = "%SystemRoot%\e.exe"