infostealer.gampass专杀及分析

 病毒行为：

1、由于这个种木马生成伪装系统文件，给手动删除造成迷惑，故需小心判认。

2、此木马会通过系统保护项重复生成感染。

3、此木马也可能会在C:/Documents and Settings/系统用户名/Local Settings/Temp/生成1.exe、2.exe等可执行文件进行破坏exe关联。

4、中毒后，病毒修改了系统执行关联，控制不能执行.exe的命令，重启电脑系统后会导致病毒防火墙等都不能启动。此时IE执行的命令文件是病毒文件：Program Files/Internet Explorer/iexplore.com，故上网时不能直接使用IE执行，如果存在Windows/explorer.com要先删除。

解决步骤：

1、关闭系统还原。开机启动时按F8，选择带网络的安全模式进入，打开我的电脑，从工具——文件夹选项，在查看中，勾选[显示系统文件夹的内容]，去掉勾选 [隐藏受保护的操作系统文件]的勾。选择[显示所有文件]，去掉隐藏已知的后缀名。然后到以上描述的文件夹里，把相应的病毒文件删除。

如果不能正确判断文件是否系统文件还是伪系统文件，可以下载最新的木马分析专家扫描分析，会列出这些文件名，然后用他的病毒文件定位，把它们一一删除。

2、在资源管理器的地址栏上直接输入：

C:/Documents and Settings/系统用户名/Local Settings/Temporary Internet Files/Content.IE5/

C:/Documents and Settings/系统用户名/Local Settings/Temporary Internet Files/ C:/Documents and Settings/系统用户名/Local Settings/Temp/

这三个临时文件夹中的文件全部直接删除。



3、删除自动运行的引用:

访问 HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run 。如果找到值HKEY_CURRENT_USER/software/microsoft/windows/currentversion/run backup

HKEY_LOCAL_MACHINE/software/microsoft/windows/currentversion/run winrarshell，立即删除并重启机器。



4、清除注册表:

使用注册表编辑器清除以下注册项（如果存在）：

HKEY_LOCAL_MACHINE/software/microsoft/windows/currentversion/run winrarshell

HKEY_CURRENT_USER/software/bgm

HKEY_CURRENT_USER/software/microsoft/windows/currentversion/run backup



5、删除文件:

使用资源管理器删除以下文件（如果存在）：

w32bumaf-c.exe

%system%/winrarshell32.exe

%windows%/backup.exe



6、 连接上网络，在资源管理器的地址栏上直接输入：http://cn.zs.yahoo.com/

然后在IE修复的高级修复中，通过扫描出来后，把所有未知的勾上，然后点立即修复，完成后，到IE修复的保护IE，启动保护中，把保护系统启动项勾选，把启动项保护起来。



7、在雅虎助手的IE修复的编辑Hosts表，发现有IP，后面的网址的话，把前面的IP改为127.0.0.1 ,然后点击立即保存，重新启动计算机。



8、重启系统后，用杀病毒软件（保持最新的病毒特征库）进行完全查杀病毒。