无忧启动论坛

标题: 神秘“鬼影”病毒袭击Winxp系统，重装也无法消灭 [打印本页]

作者: ioage2009 时间: 2010-3-16 14:39
标题: 神秘“鬼影”病毒袭击Winxp系统，重装也无法消灭
以前，常听用户说，中毒了没啥，大不了重装。但现在，这句话将成为历史。金山安全实验室捕获一种被命名为“鬼影”的病毒，该病毒寄生在磁盘主引导记录（MBR），即使格式化重装系统，也无法将病毒清除出去。当系统再次重启时，病毒会早于操作系统内核加载。而当病毒成功运行后，在进程中、系统启动加载项里找不到任何母体程序的特征，病毒就象“鬼影”一样在中毒电脑上阴魂不散。
病毒特征：
1.“鬼影”病毒母体运行后，会释放两个驱动到用户电脑中，并加载。和母体病毒捆绑在一起其它流氓软件会修改桌面快捷方式，尝试修改IE属性。
（分析：病毒传播者这样做的目的可能是为了转移安全厂商的目标，便于病毒的真正母体隐藏得更好）
2.a驱动会修改系统的主引导记录（mbr)，并将b驱动写入磁盘，保证病毒是优先于系统启动，且病毒文件保存在系统之外。这样进入系统后，病毒加载入内存，但找不到任何启动项、找不到病毒文件、在进程中找不到任何进程模块。
（“鬼影”病毒是近年来极为罕见的技术型病毒，病毒作者具有高超的编程技巧。因WinXP系统的限制，一般手法改写MBR会被系统判定为非法，这也是引导区病毒接近消亡的重要因素。这种绕过Winxp的安全限制，直接改写MBR的技术一般称之为MBR-rootkit，主要在国外技术论坛传播，在 “鬼影”病毒之前，这一技术少有被黑客利用的案例。）
3.病毒母体自删除。
4.重启系统后，主引导记录（MBR）中的恶意代码会对windows系统的整个启动过程进行监控，发现系统加载ntldr文件时，插入恶意代码，使其加载b驱动。
5.b驱动加载起来后，会监视系统中的所有进程模块，若存在安全软件的进程，直接结束。
6.b驱动会下载av终结者到电脑中，并运行。
7.下载的av终结者病毒会修改系统文件，对安全软件进程添加大量的映像劫持，下载大量的盗号木马。进一步盗取用户的虚拟财产。
8.该病毒只针对Winxp系统，尚不能破坏Vista和Win7系统。
“鬼影”病毒影响力分析
据金山安全实验室研究人员透露，在目前国内安全厂商和民间反病毒高手中，能够完整分析“鬼影”病毒的人屈指可数。
因病毒寄生于硬盘的主引导记录（MBR），病毒释放的驱动程序能够破坏大多数安全工具和系统辅助工具，在已经中毒的情况下，很难使用现有工具完成病毒清除，金山安全实验室正在编写针对“鬼影”病毒的专杀工具。
发现该病毒的艰难历程
1.金山安全实验室接到用户报告杀毒软件被破坏，远程协助用户使用多种修复工具、删除相关的可疑文件，均无法解决，远程检查用户电脑，未能成功采集病毒样本。
2.类似案例持续增加，无一例外均未采集到母体病毒样本，其中让部分用户备份数据后，格式化所有分区重装，但该用户重新系统后，报告中毒现象依旧。
3.尝试让用户回忆最近的上网记录，发现可疑浏览线索
4.金山安全实验室的工程师访问这些可疑网站，下载可疑程序，重现了中毒现象，确认了最初的感染来源。
“鬼影”病毒传播的广度分析
金山云安全系统分析该恶意软件的下载频率，结合传播病毒的网站流量分析，评估该病毒的日下载量大约为2-3万之间。

“鬼影”病毒的未来
该病毒开创了中国恶意软件编写的先河，预计该病毒的源文件将会成为黑色产业链中的抢手货，未来可能会有更多恶意软件利用“鬼影”病毒的MBR-rootkit技术长期驻留用户电脑。每一个划时代的病毒，都会令安全厂商头疼不已。

趁还没有感染，尽早重新备份，还原请选择还原MBR。

作者: 无心快语 时间: 2010-3-16 18:18
好怕怕啊看来硬盘又该涨价了一中毒直接换硬盘

作者: aikon 时间: 2010-3-16 18:34
学习中~
分析中~~

作者: Yangzai 时间: 2010-3-16 18:42
改了MBR，WIN7自然就启动失败了

作者: w523w78 时间: 2010-3-16 22:49
这么厉害的病毒，还什么系统能避开这病毒？

作者: feiyl 时间: 2010-3-16 23:46
无忧启动，什么病毒都不可怕！

作者: lvyanan 时间: 2010-3-17 08:20
能获得病毒样板就好了，非常值得研究！

作者: fujianabc 时间: 2010-3-17 09:10
从光盘启动重写一下mbr就完事了，很容易解决的。

真正强的病毒应该是写入硬盘固件区（也就是硬盘负磁道），那就基本清不掉了。不过目前尚未听说过这种病毒

作者: lforl 时间: 2010-3-17 17:49
好像在多个论坛都看到这个消息，多数提到金山杀毒，不知是否广告，就当作一个提醒，趁早用diskgen备份好硬盘分区表。

作者: 七仙花 时间: 2010-3-17 20:12
有广告的嫌疑。。。。。。。。。。

作者: 3884751 时间: 2010-3-17 20:20
是不是真的？谁中的话，请举手说一声

作者: jzyjjp 时间: 2010-3-18 10:16
启动进dos，然后用fdisk/mbr或者spfdisk/mbr命令来修复mbr，看它还能不能启动

作者: wanghh 时间: 2010-3-18 15:11
☆۩۞۩☆【谢谢提供！】 ☆۩۞۩☆

作者: xinhepc 时间: 2010-3-23 11:30
1111111111111收藏,看看吧

作者: yichya 时间: 2010-3-23 12:39
搞来样本直接反汇编，修改修改，自此什么PE找不到外置程序的问题绝对完美解决。

估计跟那个什么，以前出现过的一个什么破解XP密码的东西一样，都是通过ROOTKIT。这样的程序貌似都特小，只要几个扇区，不到10K的空间。

作者: xxftapv 时间: 2010-3-24 16:33
我用win7不怕种毒

作者: xxftapv 时间: 2010-3-24 16:34
我用win7不怕种毒

作者: bgwhw 时间: 2010-3-25 21:46
得备份一下分区表，勤快点没坏处。。。

作者: 大少爷 时间: 2010-3-26 11:19
win7为何对此“鬼影”有免役

作者: 明辩是非 时间: 2010-3-26 14:53
切，某安全软件厂商夸大其词了，MBR病毒有这么厉害不？

作者: 77723036 时间: 2010-3-26 20:21
想发上来，但怕承担传播病毒的嫌疑。

该程序修改MBR偏移地址1B5、1B6、1B7的数字为00、00、00（原来是2C、44、63）。

监视的应用程序
  鬼影
已监视的应用程序路径
  2006-7-14 下午 07:04:32
已监视的应用程序路径
  "C:\Documents and Settings\Administrator\桌面\鬼影.exe"
安装前快照名称
  2006-7-14 下午 07:03:29
安装快照名称
  2006-7-14 下午 07:04:30
比较配置文件
  默认

检测更改
  文件系统
创建的文件夹:    2
删除的文件夹:    0
创建的文件: 38
删除的文件:    1
修改的文件:    7
文件大小: 1.03 MB
  注册表
创建的注册表键: 136
删除的注册表键:    0
创建的注册表值: 183
删除的注册表值:    0
修改的注册表值:    1
文件大小: 9.32 KB
日志文件名
  C:\Documents and Settings\Administrator\Local Settings\Application Data\Martau\Total Uninstall 4\MonitoredApps\鬼影.tun

文件系统详细信息 [查看: 全部详细信息] (全部)
--------------------------
(+)(文件夹) C:\000D3E83
   (+)(文件) C_754.nls = 2006-7-14 下午 07:04, 759 字节, A
(文件夹) C:\Documents and Settings\Administrator\Application Data\Tencent\QQ\Misc\com.tencent.advertisement
   (+)(文件) huashuo_140240_richbt_0322.swf = 2006-7-14 下午 07:03, 31148 字节, A
   (+)(文件) huashuo_14040_richbt_0322.jpg = 2006-7-14 下午 07:03, 5037 字节, A
   (+)(文件) rich_361_zhengkai140x40.gif = 2006-7-14 下午 07:04, 8039 字节, A
(文件夹) C:\Documents and Settings\Administrator\Application Data\Tencent\Users\77723036\QQ\WinTemp
   (+)(文件) 1952697950.idx = 2006-7-14 下午 07:04, 18 字节, A
   (+)(文件) 2309372372.idx = 2006-7-14 下午 07:04, 0 字节, A
   (+)(文件) 3330573499.idx = 2006-7-14 下午 07:04, 18 字节, A
   (*)(文件) 3526289898.idx
      2006-7-14 下午 07:01, 18 字节, A ==> 2006-7-14 下午 07:03, 18 字节, A
   (*)(文件) 3532606315.idx
      2006-7-14 下午 07:01, 0 字节, A ==> 2006-7-14 下午 07:04, 18 字节, A
   (+)(文件) 366875558.idx = 2006-7-14 下午 07:03, 18 字节, A
   (*)(文件) 3796103867.idx
      2006-7-14 下午 07:01, 18 字节, A ==> 2006-7-14 下午 07:03, 18 字节, A
   (+)(文件) 47395f425108fea2e15869369b1d7529.tpt = 2006-7-14 下午 07:04, 71 字节, A
   (+)(文件) 968f82a772bd335c2331cf95050b067f.tpt = 2006-7-14 下午 07:03, 71 字节, A
   (+)(文件) b9533c8dd753d4add006aed348de9ea5.tpt = 2006-7-14 下午 07:03, 71 字节, A
   (+)(文件) c96779c042f15b04b8f3b38e1705d4e4.tpt = 2006-7-14 下午 07:04, 71 字节, A
(文件夹) C:\Documents and Settings\Administrator\Application Data\Tencent\Users\77723036\QQ\WinTemp\com.tencent.advertisement
   (+)(文件) 3)0}FY3CK4EJ@01RTRQY~QV.tmp = 2006-7-14 下午 07:03, 31148 字节, A
   (+)(文件) DDE3OS%N$IW)8$}YNDYHA~7.tmp.tdl = 2006-7-14 下午 07:04, 32768 字节, A
   (+)(文件) JDJ1(U~Z1TZCH134}F_1A}6.tmp = 2006-7-14 下午 07:04, 8039 字节, A
   (+)(文件) U[0C%%D}T0G0I@3E89OY4@7.tmp = 2006-7-14 下午 07:03, 5037 字节, A
(文件夹) C:\Documents and Settings\Administrator\桌面
   (-)(文件) 鬼影.exe = 2006-7-14 下午 06:32, 51631 字节, A
(+)(文件夹) C:\Program Files\MSDN
   (+)(文件) 000000000 = 2006-7-14 下午 07:04, 29700 字节, A
   (+)(文件) atixi.inf = 2006-7-14 下午 07:04, 2529 字节, A
   (+)(文件) atixi.sys = 2006-7-14 下午 07:04, 14208 字节, A
   (+)(文件) atixx.sys = 2006-7-14 下午 07:04, 15392 字节, A
(文件夹) C:\WINDOWS
   (*)(文件) setupapi.log
      2006-7-14 下午 06:46, 516834 字节, A ==> 2006-7-14 下午 07:04, 520946 字节, A
(文件夹) C:\WINDOWS\inf
   (+)(文件) oem13.inf = 2006-7-14 下午 07:04, 2529 字节, A
   (+)(文件) oem13.PNF = 2006-7-14 下午 07:04, 9452 字节, A
   (+)(文件) oem14.inf = 2006-7-14 下午 07:04, 2529 字节, A
   (+)(文件) oem14.PNF = 2006-7-14 下午 07:04, 9452 字节, A
(文件夹) C:\WINDOWS\LastGood\INF
   (+)(文件) oem13.inf = 2006-7-14 下午 07:04, 0 字节, HA
   (+)(文件) oem13.PNF = 2006-7-14 下午 07:04, 0 字节, HA
   (+)(文件) oem14.inf = 2006-7-14 下午 07:04, 0 字节, HA
   (+)(文件) oem14.PNF = 2006-7-14 下午 07:04, 0 字节, HA
(文件夹) C:\WINDOWS\system32
   (+)(文件) A7B5D26.dll = 2006-7-14 下午 07:04, 72252 字节, A
   (+)(文件) C5A2C30.exe = 2006-7-14 下午 07:04, 3948 字节, A
   (*)(文件) rpcss.dll
      2006-7-14 上午 11:52, 399360 字节, A ==> 2006-7-14 上午 11:52, 626692 字节, A
   (+)(文件) t320068.dll = 2006-7-14 下午 07:04, 88064 字节, A
   (+)(文件) t320068.ini = 2006-7-14 下午 07:04, 2616 字节, A
   (+)(文件) t329153.dll = 2006-7-14 下午 07:04, 81920 字节, A
   (+)(文件) t329153.ini = 2006-7-14 下午 07:04, 2616 字节, A
   (+)(文件) t3rpcss.dll = 2006-7-14 上午 11:52, 399360 字节, A
(文件夹) C:\WINDOWS\system32\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}
   (*)(文件) TimeStamp
      2006-7-14 下午 06:46, 8 字节, A ==> 2006-7-14 下午 07:04, 8 字节, A
(文件夹) C:\WINDOWS\system32\dllcache
   (+)(文件) acpiec.sys = 2006-7-14 下午 07:04, 11648 字节, AC
(文件夹) C:\WINDOWS\system32\drivers
   (*)(文件) acpiec.sys
      2006-7-14 上午 11:52, 11648 字节, A ==> 2006-7-14 下午 07:04, 11648 字节, A
   (+)(文件) atixi.sys = 2006-7-14 下午 07:04, 14208 字节, A
   (+)(文件) atixx.sys = 2006-7-14 下午 07:04, 15392 字节, A

注册表详细信息 [查看: 全部详细信息] (全部)
-------------------------
(REG 键) HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
   (+)(REG 值) B7D6E64 = REG_SZ, "C:\WINDOWS\system32\C5A2C30.exe"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\adam.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AgentSvr.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AppSvc32.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\autoruns.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avconsol.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgrssvc.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AvMonitor.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.com
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\CCenter.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccSvcHst.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\EGHOST.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FileDsty.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\filemon.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FTCleanerShell.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FYFireWall.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\HijackThis.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IceSword.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\iparmo.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Iparmor.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\isPwdSvc.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kabaload.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KaScrScn.SCR
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KASMain.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KASTask.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAV32.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVDX.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVPF.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVPFW.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVSetup.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVStart.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KISLnchr.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KMailMon.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KMFilter.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFW32.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFW32X.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPfwSvc.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KRegEx.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KRepair.com
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KsLoader.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVCenter.kxp
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvDetect.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvfwMcl.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP.kxp
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP_1.kxp
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvol.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvolself.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvReport.kxp
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVScan.kxp
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVSrvXP.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVStub.kxp
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvupload.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvwsc.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvXP.kxp
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvXP_1.kxp
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatch.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatch9x.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatchX.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MagicSet.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcconsol.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmqczj.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmsk.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Navapsvc.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Navapw32.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32krn.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32kui.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\NPFMntor.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\OllyDBG.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\OllyICE.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFW.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFWLiveUpdate.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\procexp.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QHSET.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQDoctor.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQKav.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ras.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavStub.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RawCopy.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegClean.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regmon.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegTool.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwcfg.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwmain.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwProxy.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwsrv.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwstub.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RsAgent.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rsaupd.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rsnetsvr.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rstray.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\runiep.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safeboxtray.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safelive.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\scan32.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\shcfg32.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SmartUp.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SREng.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\symlcsvc.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SysSafe.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojanDetector.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Trojanwall.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojDie.kxp
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UIHost.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxAgent.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxAttachment.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxCfg.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxFwHlp.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxPol.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UpLive.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\vsstat.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\webscanx.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WoptiClean.exe
   (+)(REG 值) debugger = REG_SZ, "ntsd -d"
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{02EB6841-28D2-44C2-8303-584F54E6D913}
   (+)(REG 值) (默认) = REG_SZ, "Class for atixx devices"
   (+)(REG 值) Class = REG_SZ, "atixx"
   (+)(REG 值) Icon = REG_SZ, "-18"
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{02EB6841-28D2-44C2-8303-584F54E6D913}\0000
   (+)(REG 值) DriverDate = REG_SZ, "1-2-2010"
   (+)(REG 值) DriverDateData = REG_BINARY, ....>...
   (+)(REG 值) DriverDesc = REG_SZ, "atixx Device"
   (+)(REG 值) DriverVersion = REG_SZ, "1.0.0.0"
   (+)(REG 值) InfPath = REG_SZ, "oem13.inf"
   (+)(REG 值) InfSection = REG_SZ, "atixx_DDI"
   (+)(REG 值) InfSectionExt = REG_SZ, ".NT"
   (+)(REG 值) MatchingDeviceId = REG_SZ, "atixxdevice"
   (+)(REG 值) ProviderName = REG_SZ, "ATI"
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{02EB6841-28D2-44C2-8303-584F54E6D913}\0001
   (+)(REG 值) DriverDate = REG_SZ, "1-2-2010"
   (+)(REG 值) DriverDateData = REG_BINARY, ....>...
   (+)(REG 值) DriverDesc = REG_SZ, "atixi Device"
   (+)(REG 值) DriverVersion = REG_SZ, "1.0.0.0"
   (+)(REG 值) InfPath = REG_SZ, "oem14.inf"
   (+)(REG 值) InfSection = REG_SZ, "atixi_DDI"
   (+)(REG 值) InfSectionExt = REG_SZ, ".NT"
   (+)(REG 值) MatchingDeviceId = REG_SZ, "atixidevice"
   (+)(REG 值) ProviderName = REG_SZ, "ATI"
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{02EB6841-28D2-44C2-8303-584F54E6D913}\Properties
   (+)(REG 值) DeviceCharacteristics = REG_DWORD, 256
   (+)(REG 值) Security = REG_BINARY, ......................H............................................................. ... ...
(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\GroupOrderList
   (*)(REG 值) Extended Base
      REG_BINARY, ............................................................ ==> REG_BINARY, ....................................................................
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Deleted Device IDs
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXI
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXI\0000
   (+)(REG 值) Capabilities = REG_DWORD, 0
   (+)(REG 值) Class = REG_SZ, "atixx"
   (+)(REG 值) ClassGUID = REG_SZ, "{02EB6841-28D2-44C2-8303-584F54E6D913}"
   (+)(REG 值) ConfigFlags = REG_DWORD, 0
   (+)(REG 值) DeviceDesc = REG_SZ, "atixi Device"
   (+)(REG 值) Driver = REG_SZ, "{02EB6841-28D2-44C2-8303-584F54E6D913}\0001"
   (+)(REG 值) HardwareID = REG_MULTI_SZ, "atixiDevice "
   (+)(REG 值) Mfg = REG_SZ, "ATI"
   (+)(REG 值) Service = REG_SZ, "atixi"
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXI\0000\Control
   (+)(REG 值) ActiveService = REG_SZ, "atixi"
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXI\0000\LogConf
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXX
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXX\0000
   (+)(REG 值) Capabilities = REG_DWORD, 0
   (+)(REG 值) Class = REG_SZ, "atixx"
   (+)(REG 值) ClassGUID = REG_SZ, "{02EB6841-28D2-44C2-8303-584F54E6D913}"
   (+)(REG 值) ConfigFlags = REG_DWORD, 0
   (+)(REG 值) DeviceDesc = REG_SZ, "atixx Device"
   (+)(REG 值) Driver = REG_SZ, "{02EB6841-28D2-44C2-8303-584F54E6D913}\0000"
   (+)(REG 值) HardwareID = REG_MULTI_SZ, "atixxDevice "
   (+)(REG 值) Mfg = REG_SZ, "ATI"
   (+)(REG 值) Service = REG_SZ, "atixx"
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXX\0000\Control
   (+)(REG 值) ActiveService = REG_SZ, "atixx"
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXX\0000\LogConf
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_ATICVVX
   (+)(REG 值) NextInstance = REG_DWORD, 1
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_ATICVVX\0000
   (+)(REG 值) Class = REG_SZ, "LegacyDriver"
   (+)(REG 值) ClassGUID = REG_SZ, "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
   (+)(REG 值) ConfigFlags = REG_DWORD, 0
   (+)(REG 值) DeviceDesc = REG_SZ, "ATICVVX"
   (+)(REG 值) Legacy = REG_DWORD, 1
   (+)(REG 值) Service = REG_SZ, "ATICVVX"
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_ATICVVX\0000\Control
   (+)(REG 值) *NewlyCreated* = REG_DWORD, 0
   (+)(REG 值) ActiveService = REG_SZ, "ATICVVX"
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ATICVVX
   (+)(REG 值) DisplayName = REG_SZ, "ATICVVX"
   (+)(REG 值) ErrorControl = REG_DWORD, 1
   (+)(REG 值) ImagePath = REG_EXPAND_SZ, "\??\C:\WINDOWS\system32\Drivers\acpiec.sys"
   (+)(REG 值) Start = REG_DWORD, 3
   (+)(REG 值) Type = REG_DWORD, 1
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ATICVVX\Enum
   (+)(REG 值) 0 = REG_SZ, "Root\LEGACY_ATICVVX\0000"
   (+)(REG 值) Count = REG_DWORD, 1
   (+)(REG 值) NextInstance = REG_DWORD, 1
(+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ATICVVX\Security
   (+)(REG 值) Security = REG_BINARY, ................0.................................`......................................... ... ....................................... ...#...........................
(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\LastKnownGoodRecovery\LastGood
   (+)(REG 值) INF/oem13.inf = REG_DWORD, 1
   (+)(REG 值) INF/oem13.PNF = REG_DWORD, 1
   (+)(REG 值) INF/oem14.inf = REG_DWORD, 1
   (+)(REG 值) INF/oem14.PNF = REG_DWORD, 1

作者: 77723036 时间: 2010-3-26 20:23
当时我开着QQ

[ 本帖最后由 77723036 于 2010-3-26 21:40 编辑 ]

作者: 77723036 时间: 2010-3-26 20:46
这个病毒主要常驻内存的在那二个文件夹里：
c:\000D3E83\目录：000D5A58.exe，000D7C83.exe，C_754.nls。
C:\Program Files\MSDN\目录：atixi.inf、atixi.sys、atixx.sys。

000D5A58.exe，000D7C83.exe两程序驻内存，atixi.sys、atixx.sys这两文件通过explorer驻内存。

对了，这个病毒，在打开运行后，不是直接修改MBR的，而是通过常驻内存的程序，在关机时修改。

我还是把病毒传上来。密码：gui。

病毒的过程还真像楼主说的那么回事，主体部分。

[ 本帖最后由 77723036 于 2010-3-26 21:43 编辑 ]

鬼影.rar

38.69 KB, 下载次数: 194, 下载积分: 无忧币 -2

作者: encle 时间: 2010-3-29 08:56
不知道以后的系统会不会发展到不需要MBR就可以启动呢？可以的话那这种病毒就没有用武之地了。

作者: kim_haneul 时间: 2010-4-2 21:18
哪位兄弟有这个病毒啊，共享出来大家一起玩玩啊！

作者: Hack38 时间: 2010-4-3 01:17
标题: 回复 #26 kim_haneul 的帖子
24楼的兄弟不是已经给出来了么。。。

你能不把所有的回复看完了，再发表你的这句话。。

作者: liunffx 时间: 2010-4-3 10:29
这病毒好厉害呀，有什么好的解决办法吗？

作者: 我爱winpe 时间: 2010-4-3 22:11
这个病毒只可以绕过Xp，尚不可绕过Vista/7

作者: shuodan 时间: 2010-4-4 23:32
酒后无聊刚才下了24楼的样本用实机试了下
系统是sp3 ESET加风云

样本解压后，ESET不报警。ESET手动扫描报警但不能用ESET删除。

双击执行鬼影.exe，机器卡了有1分钟，后来ESET好像被干掉了、消失。机子也不卡了。
点重新启动，就在保存设置那卡死了。
按RESET重启，啥也没发生，机器正常。

又双击执行鬼影.exe，还是卡了一会，ESET消失，点关机-----又死在保存设置那了。
这回再按RESET重启，ESET正常启动。但发现新硬件（可能是加载假驱动）

删除硬件后重启，再没发现atixi。不放心，又重写了遍MBR，系统无恙。
看来这鬼影有点狼来了滴意思哈哈

[ 本帖最后由 shuodan 于 2010-4-4 23:43 编辑 ]

作者: hzxst 时间: 2010-4-5 00:23
我用的微软的杀毒，解压后想打开文件夹时直接毒，还被命名为Trojan:Win32/Ghodow.a病毒

作者: shuodan 时间: 2010-4-5 01:00
楼上同道啊拉拉手走一个 ----

ESET报 - Win32/Dalixi.A 特洛伊木马

作者: shuodan 时间: 2010-4-5 01:05
ESET不能清除看图

[ 本帖最后由 shuodan 于 2010-4-5 01:18 编辑 ]

Snap2.jpg (33.83 KB, 下载次数: 33)

作者: yjd 时间: 2010-4-10 11:33
汗竟然安装ati假驱动而且还光明正大而不是安装为隐藏设备-_-!!。

作者: netwinxp 时间: 2010-4-10 12:27
现在稍微不太差的病毒都是驱动级的，防毒软件休矣:)

作者: sjyhsyj 时间: 2010-4-11 15:53
太牛叉了……
真是道高一尺，魔高一丈啊！

作者: 497734601 时间: 2010-4-12 23:16
上网上看过了金山已经有专杀了，但是我先请教个问题就是u盘pe运行不会感染吧？

作者: ok`` 时间: 2010-4-13 22:43
下载了24楼的文件，解压后被金山干掉了。。
说是Win32.Troj.KillAV

作者: xiaoer2 时间: 2010-4-15 15:23
备份mbr没用了，现在病毒是感染分区表的了

作者: eyaya520 时间: 2010-4-15 21:11
据金山安全实验室研究人员透露，在目前国内安全厂商和民间反病毒高手中，能够完整分析“鬼影”病毒的人屈指可数。

这句话是重点

作者: nov25 时间: 2010-4-17 08:08
这个消息看到过多次了，提防一下

作者: dzx1982 时间: 2010-4-17 20:37
以前听过，但没有这么详细的介绍，学习了！！！

作者: ypy121 时间: 2010-4-18 12:35

原帖由 fujianabc 于 2010-3-17 09:10 发表
从光盘启动重写一下mbr就完事了，很容易解决的。

真正强的病毒应该是写入硬盘固件区（也就是硬盘负磁道），那就基本清不掉了。不过目前尚未听说过这种病毒

哈哈无语。。。

作者: tianqi0312 时间: 2010-4-21 12:48
趁早用diskgen备份好硬盘分区表

作者: zhongtian1552 时间: 2010-4-28 20:24
二楼很烧钱啊！口水啊！你的这种硬盘有多少我要多少！呵呵

作者: 行云浪 时间: 2010-5-2 21:12
重写MBR也就好了，不是什么大事

欢迎光临无忧启动论坛 (http://wuyou.net/)