369678病毒的处理

局域网有人说网页打开慢，而且一打开网页杀毒软件就报由病毒，可是杀掉了再开还有。过去看了一下，发现打开每个网页都会连接一个aaa.369678.cn/ppp.htm的地址，查看源代码发现每个网页都被插入了一个iframe。查看系统进程和启动项并未发现异常。看了局域网的其它的一些机器有几台也是有问题。难道病毒隐藏的这么深，而且还能通过局域网传播。用Ethereal抓包，发现有一台机器频繁发送广播包，意识到可能是arp欺骗，到有问题的机器arp -a查看，网关的mac地址果然有问题就是频繁发送广播的那台机器。把那台机器断网，查看其它机器已经没有问题了。剩下的就是杀毒了，这个病毒还是比较麻烦，有进程保护，安全模式都删不掉，最后用autoruns+文件粉碎机搞定。