这些日子又对杀软感兴趣了,经常到长枫论坛下载单文件绿色版的杀毒软件。有卡巴、Avast、趋势
、小红伞、大蜘蛛、驱逐舰、熊猫卫士等等。都是免费的。因为长枫论坛对杀软做了破解处理,只杀毒
,不监控,不增加系统文件和注册表文件,随用随开,关闭后就退出系统。可以作为辅助杀软。这些杀
毒软件都是世界级水平的,杀毒能力不容置疑;在怀疑有病毒而电脑常驻杀软检测不出来时,可以用这
些绿色单文件杀软来辅助杀毒。病毒库每个周升级一次。
我下载这些杀软用在PE上,因为用PE启动系统后可以很容易对系统进行维护,包括格式化硬盘等等,
在PE下杀毒有巨大的优势:不动用硬盘数据,就不会激活病毒,就可以轻易清除一些感染型病毒和关联
型病毒,而且这些杀软杀毒能力非常强大,基本上不用再来第二遍。
这一次下了一个金山清理专家,下来后开始给系统打分:42分,提示系统文件userinit.exe异常。随 后到了该文件所在的路径:C:\Windows\system32\userinit.exe下查看,发现没有微软签字,再看看系 统启动项,提示该文件随系统启动,而且是不明文件。这样我就蒙了,以为中机器狗病毒了。
提示:在正常的Windows系统中,userinit.exe起着非常重要的作用——加载和管理启动项。在开机 后打开资源管理器,会发现userinit.exe进程存在,但很短时间后就消失了,因为启动项已经加载和运 行了。但被病毒攥改的userinit.exe进程不会消失。一旦该进程被攥改,可能出现两种后果:1,开机进 不了桌面;2虽然开机进了桌面,但病毒也随之运行。这两种后果是由两种不同的病毒导致的,第二种就 是机器狗。
然后就上网查资料,在金山毒霸论坛发现了解决方法:用正常的userinit.exe文件替换,并在注册表 上删除映像劫持选项(HKEY_LOCATE_MACHINE\software\Microsoft\WindowsNT\Current Version\ImageFileExecutionOption,删除userinit的数值或者连ImageFileExecutionOption都删除), 然后再在HKEY_LOCATE_MACHINE\software\Microsoft\WindowsNT\Current Version\winlogon中将 userinit选项值改为正确的路径(C:\Windows\system32\userinit.exe)。至于怎样替换就不管了,可 以从正常电脑拷贝,也可以用PE上或Windows安装光盘上提取。
得知了方法后,就把电脑重新启动到正常模式下(装了RVS虚拟影子),然后一步一步照做。不料做 完了之后再用金山检测,仍然是42分!
这一次下了一个金山清理专家,下来后开始给系统打分:42分,提示系统文件userinit.exe异常。随 后到了该文件所在的路径:C:\Windows\system32\userinit.exe下查看,发现没有微软签字,再看看系 统启动项,提示该文件随系统启动,而且是不明文件。这样我就蒙了,以为中机器狗病毒了。
提示:在正常的Windows系统中,userinit.exe起着非常重要的作用——加载和管理启动项。在开机 后打开资源管理器,会发现userinit.exe进程存在,但很短时间后就消失了,因为启动项已经加载和运 行了。但被病毒攥改的userinit.exe进程不会消失。一旦该进程被攥改,可能出现两种后果:1,开机进 不了桌面;2虽然开机进了桌面,但病毒也随之运行。这两种后果是由两种不同的病毒导致的,第二种就 是机器狗。
然后就上网查资料,在金山毒霸论坛发现了解决方法:用正常的userinit.exe文件替换,并在注册表 上删除映像劫持选项(HKEY_LOCATE_MACHINE\software\Microsoft\WindowsNT\Current Version\ImageFileExecutionOption,删除userinit的数值或者连ImageFileExecutionOption都删除), 然后再在HKEY_LOCATE_MACHINE\software\Microsoft\WindowsNT\Current Version\winlogon中将 userinit选项值改为正确的路径(C:\Windows\system32\userinit.exe)。至于怎样替换就不管了,可 以从正常电脑拷贝,也可以用PE上或Windows安装光盘上提取。
得知了方法后,就把电脑重新启动到正常模式下(装了RVS虚拟影子),然后一步一步照做。不料做 完了之后再用金山检测,仍然是42分!
正一筹莫展时,突然发现任务管理器上出现两个Explor.exe进程!天啊,又有病毒伪装成系统进程了
。于是又上网查Explor.exe,有位高手这样写:1,另一个Explor.exe进程路径也许不在C:\Windows下而在
C:\Windows\system32下,就是病毒;2,可以分辨出Explor.exe进程名字可能是0代替o,或1(一)代
替L,则这个进程是病毒。接下来是大篇的手工清除方法,最后这位老兄加了句:在使用Windows优化大
师时如果勾选“启动时为桌面和Explor创建独立进程”时,也会出现两个Explor.exe进程(这样菜单打
开速度较快,但耗内存)。天!自己就是这样啊,于是这个“病毒”解决了。
还回到第一个病毒上,我用了手头上所有的杀软扫描C盘,包括电脑常驻杀软nod32,都没有提示发现
机器狗病毒。再慢慢静下心来,想想是否是做了机器狗免疫,只能是RVS虚拟影子了。因为这类包括还原
精灵在内的还原软件也只有机器狗能穿过。于是取消RVS的免疫,再用金山扫描,哈,是100分。去
userinit.exe进程路径看看,微软的签字又回来了!RVS这个免疫可以有效地保护自己,却让我大大虚惊
了一场。
转载于:https://blog.51cto.com/1234567aaa/125396