神秘“鬼影”病毒袭击Winxp系统，重装也无法消灭

ioage2009

      以前，常听用户说，中毒了没啥，大不了重装。但现在，这句话将成为历史。金山安全实验室捕获一种被命名为“鬼影”的病毒，该病毒寄生在磁盘主引导记录（MBR），即使格式化重装系统，也无法将病毒清除出去。当系统再次重启时，病毒会早于操作系统内核加载。而当病毒成功运行后，在进程中、系统启动加载项里找不到任何母体程序的特征，病毒就象“鬼影”一样在中毒电脑上阴魂不散。
病毒特征：
1.“鬼影”病毒母体运行后，会释放两个驱动到用户电脑中，并加载。和母体病毒捆绑在一起其它流氓软件会修改桌面快捷方式，尝试修改IE属性。
（分析：病毒传播者这样做的目的可能是为了转移安全厂商的目标，便于病毒的真正母体隐藏得更好）
2.a驱动会修改系统的主引导记录（mbr)，并将b驱动写入磁盘，保证病毒是优先于系统启动，且病毒文件保存在系统之外。这样进入系统后，病毒加载入内存，但找不到任何启动项、找不到病毒文件、在进程中找不到任何进程模块。
（“鬼影”病毒是近年来极为罕见的技术型病毒，病毒作者具有高超的编程技巧。因WinXP系统的限制，一般手法改写MBR会被系统判定为非法，这也是引导区病毒接近消亡的重要因素。这种绕过Winxp的安全限制，直接改写MBR的技术一般称之为MBR-rootkit，主要在国外技术论坛传播，在 “鬼影”病毒之前，这一技术少有被黑客利用的案例。）
3.病毒母体自删除。
4.重启系统后，主引导记录（MBR）中的恶意代码会对windows系统的整个启动过程进行监控，发现系统加载ntldr文件时，插入恶意代码，使其加载b驱动。
5.b驱动加载起来后，会监视系统中的所有进程模块，若存在安全软件的进程，直接结束。
6.b驱动会下载av终结者到电脑中，并运行。
7.下载的av终结者病毒会修改系统文件，对安全软件进程添加大量的映像劫持，下载大量的盗号木马。进一步盗取用户的虚拟财产。
8.该病毒只针对Winxp系统，尚不能破坏Vista和Win7系统。
“鬼影”病毒影响力分析
据金山安全实验室研究人员透露，在目前国内安全厂商和民间反病毒高手中，能够完整分析“鬼影”病毒的人屈指可数。
因病毒寄生于硬盘的主引导记录（MBR），病毒释放的驱动程序能够破坏大多数安全工具和系统辅助工具，在已经中毒的情况下，很难使用现有工具完成病毒清除，金山安全实验室正在编写针对“鬼影”病毒的专杀工具。
发现该病毒的艰难历程
1.金山安全实验室接到用户报告杀毒软件被破坏，远程协助用户使用多种修复工具、删除相关的可疑文件，均无法解决，远程检查用户电脑，未能成功采集病毒样本。
2.类似案例持续增加，无一例外均未采集到母体病毒样本，其中让部分用户备份数据后，格式化所有分区重装，但该用户重新系统后，报告中毒现象依旧。
3.尝试让用户回忆最近的上网记录，发现可疑浏览线索
4.金山安全实验室的工程师访问这些可疑网站，下载可疑程序，重现了中毒现象，确认了最初的感染来源。
“鬼影”病毒传播的广度分析
金山云安全系统分析该恶意软件的下载频率，结合传播病毒的网站流量分析，评估该病毒的日下载量大约为2-3万之间。

“鬼影”病毒的未来
该病毒开创了中国恶意软件编写的先河，预计该病毒的源文件将会成为黑色产业链中的抢手货，未来可能会有更多恶意软件利用“鬼影”病毒的MBR-rootkit技术长期驻留用户电脑。每一个划时代的病毒，都会令安全厂商头疼不已。

趁还没有感染，尽早重新备份，还原请选择还原MBR。

无心快语

好怕怕啊 看来硬盘又该涨价了 一中毒直接换硬盘

aikon

学习中~
分析中~~

Yangzai

改了MBR，WIN7自然就启动失败了

w523w78

这么厉害的病毒，还什么系统能避开这病毒？

feiyl

无忧启动，什么病毒都不可怕！

lvyanan

能获得病毒样板就好了，非常值得研究！

fujianabc

从光盘启动重写一下mbr就完事了，很容易解决的。

真正强的病毒应该是写入硬盘固件区（也就是硬盘负磁道），那就基本清不掉了。不过目前尚未听说过这种病毒

lforl

好像在多个论坛都看到这个消息，多数提到金山杀毒，不知是否广告，就当作一个提醒，趁早用diskgen备份好硬盘分区表。

七仙花

有广告的嫌疑。。。。。。。。。。

3884751

是不是真的？谁中的话，请举手说一声

jzyjjp

启动进dos，然后用fdisk/mbr或者spfdisk/mbr命令来修复mbr，看它还能不能启动

wanghh

☆۩۞۩☆【谢谢提供！】 ☆۩۞۩☆

xinhepc

1111111111111收藏,看看吧

yichya

搞来样本直接反汇编，修改修改，自此什么PE找不到外置程序的问题绝对完美解决。

估计跟那个什么，以前出现过的一个什么破解XP密码的东西一样，都是通过ROOTKIT。这样的程序貌似都特小，只要几个扇区，不到10K的空间。

xxftapv

我用win7不怕种毒

xxftapv

我用win7不怕种毒

bgwhw

得备份一下分区表，勤快点没坏处。。。

大少爷

win7为何对此“鬼影”有免役

明辩是非

切，某安全软件厂商夸大其词了，MBR病毒有这么厉害不？

77723036

想发上来，但怕承担传播病毒的嫌疑。

该程序修改MBR偏移地址1B5、1B6、1B7的数字为00、00、00（原来是2C、44、63）。

监视的应用程序
  鬼影
已监视的应用程序路径
  2006-7-14 下午 07:04:32
已监视的应用程序路径
  "C:\Documents and Settings\Administrator\桌面\鬼影.exe"
安装前快照名称
  2006-7-14 下午 07:03:29
安装快照名称
  2006-7-14 下午 07:04:30
比较配置文件
  默认

检测更改
  文件系统
    创建的文件夹:     2
    删除的文件夹:     0
    创建的文件:    38
    删除的文件:     1
    修改的文件:     7
    文件大小: 1.03 MB
  注册表
    创建的注册表键:   136
    删除的注册表键:     0
    创建的注册表值:   183
    删除的注册表值:     0
    修改的注册表值:     1
    文件大小: 9.32 KB
日志文件名
  C:\Documents and Settings\Administrator\Local Settings\Application Data\Martau\Total Uninstall 4\MonitoredApps\鬼影.tun

文件系统详细信息 [查看: 全部详细信息] (全部)
--------------------------
    (+)(文件夹) C:\000D3E83
       (+)(文件) C_754.nls = 2006-7-14 下午 07:04, 759 字节, A
    (文件夹) C:\Documents and Settings\Administrator\Application Data\Tencent\QQ\Misc\com.tencent.advertisement
       (+)(文件) huashuo_140240_richbt_0322.swf = 2006-7-14 下午 07:03, 31148 字节, A
       (+)(文件) huashuo_14040_richbt_0322.jpg = 2006-7-14 下午 07:03, 5037 字节, A
       (+)(文件) rich_361_zhengkai140x40.gif = 2006-7-14 下午 07:04, 8039 字节, A
    (文件夹) C:\Documents and Settings\Administrator\Application Data\Tencent\Users\77723036\QQ\WinTemp
       (+)(文件) 1952697950.idx = 2006-7-14 下午 07:04, 18 字节, A
       (+)(文件) 2309372372.idx = 2006-7-14 下午 07:04, 0 字节, A
       (+)(文件) 3330573499.idx = 2006-7-14 下午 07:04, 18 字节, A
       (*)(文件) 3526289898.idx
        2006-7-14 下午 07:01, 18 字节, A ==> 2006-7-14 下午 07:03, 18 字节, A
       (*)(文件) 3532606315.idx
        2006-7-14 下午 07:01, 0 字节, A ==> 2006-7-14 下午 07:04, 18 字节, A
       (+)(文件) 366875558.idx = 2006-7-14 下午 07:03, 18 字节, A
       (*)(文件) 3796103867.idx
        2006-7-14 下午 07:01, 18 字节, A ==> 2006-7-14 下午 07:03, 18 字节, A
       (+)(文件) 47395f425108fea2e15869369b1d7529.tpt = 2006-7-14 下午 07:04, 71 字节, A
       (+)(文件) 968f82a772bd335c2331cf95050b067f.tpt = 2006-7-14 下午 07:03, 71 字节, A
       (+)(文件) b9533c8dd753d4add006aed348de9ea5.tpt = 2006-7-14 下午 07:03, 71 字节, A
       (+)(文件) c96779c042f15b04b8f3b38e1705d4e4.tpt = 2006-7-14 下午 07:04, 71 字节, A
    (文件夹) C:\Documents and Settings\Administrator\Application Data\Tencent\Users\77723036\QQ\WinTemp\com.tencent.advertisement
       (+)(文件) 3)0}FY3CK4EJ@01RTRQY~QV.tmp = 2006-7-14 下午 07:03, 31148 字节, A
       (+)(文件) DDE3OS%N$IW)8$}YNDYHA~7.tmp.tdl = 2006-7-14 下午 07:04, 32768 字节, A
       (+)(文件) JDJ1(U~Z1TZCH134}F_1A}6.tmp = 2006-7-14 下午 07:04, 8039 字节, A
       (+)(文件) U[0C%%D}T0G0I@3E89OY4@7.tmp = 2006-7-14 下午 07:03, 5037 字节, A
    (文件夹) C:\Documents and Settings\Administrator\桌面
       (-)(文件) 鬼影.exe = 2006-7-14 下午 06:32, 51631 字节, A
    (+)(文件夹) C:\Program Files\MSDN
       (+)(文件) 000000000 = 2006-7-14 下午 07:04, 29700 字节, A
       (+)(文件) atixi.inf = 2006-7-14 下午 07:04, 2529 字节, A
       (+)(文件) atixi.sys = 2006-7-14 下午 07:04, 14208 字节, A
       (+)(文件) atixx.sys = 2006-7-14 下午 07:04, 15392 字节, A
    (文件夹) C:\WINDOWS
       (*)(文件) setupapi.log
        2006-7-14 下午 06:46, 516834 字节, A ==> 2006-7-14 下午 07:04, 520946 字节, A
    (文件夹) C:\WINDOWS\inf
       (+)(文件) oem13.inf = 2006-7-14 下午 07:04, 2529 字节, A
       (+)(文件) oem13.PNF = 2006-7-14 下午 07:04, 9452 字节, A
       (+)(文件) oem14.inf = 2006-7-14 下午 07:04, 2529 字节, A
       (+)(文件) oem14.PNF = 2006-7-14 下午 07:04, 9452 字节, A
    (文件夹) C:\WINDOWS\LastGood\INF
       (+)(文件) oem13.inf = 2006-7-14 下午 07:04, 0 字节, HA
       (+)(文件) oem13.PNF = 2006-7-14 下午 07:04, 0 字节, HA
       (+)(文件) oem14.inf = 2006-7-14 下午 07:04, 0 字节, HA
       (+)(文件) oem14.PNF = 2006-7-14 下午 07:04, 0 字节, HA
    (文件夹) C:\WINDOWS\system32
       (+)(文件) A7B5D26.dll = 2006-7-14 下午 07:04, 72252 字节, A
       (+)(文件) C5A2C30.exe = 2006-7-14 下午 07:04, 3948 字节, A
       (*)(文件) rpcss.dll
        2006-7-14 上午 11:52, 399360 字节, A ==> 2006-7-14 上午 11:52, 626692 字节, A
       (+)(文件) t320068.dll = 2006-7-14 下午 07:04, 88064 字节, A
       (+)(文件) t320068.ini = 2006-7-14 下午 07:04, 2616 字节, A
       (+)(文件) t329153.dll = 2006-7-14 下午 07:04, 81920 字节, A
       (+)(文件) t329153.ini = 2006-7-14 下午 07:04, 2616 字节, A
       (+)(文件) t3rpcss.dll = 2006-7-14 上午 11:52, 399360 字节, A
    (文件夹) C:\WINDOWS\system32\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}
       (*)(文件) TimeStamp
        2006-7-14 下午 06:46, 8 字节, A ==> 2006-7-14 下午 07:04, 8 字节, A
    (文件夹) C:\WINDOWS\system32\dllcache
       (+)(文件) acpiec.sys = 2006-7-14 下午 07:04, 11648 字节, AC
    (文件夹) C:\WINDOWS\system32\drivers
       (*)(文件) acpiec.sys
        2006-7-14 上午 11:52, 11648 字节, A ==> 2006-7-14 下午 07:04, 11648 字节, A
       (+)(文件) atixi.sys = 2006-7-14 下午 07:04, 14208 字节, A
       (+)(文件) atixx.sys = 2006-7-14 下午 07:04, 15392 字节, A

注册表详细信息 [查看: 全部详细信息] (全部)
-------------------------
    (REG 键) HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
       (+)(REG 值) B7D6E64 = REG_SZ, "C:\WINDOWS\system32\C5A2C30.exe"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\adam.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AgentSvr.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AppSvc32.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\autoruns.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avconsol.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgrssvc.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AvMonitor.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.com
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\CCenter.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccSvcHst.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\EGHOST.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FileDsty.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\filemon.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FTCleanerShell.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FYFireWall.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\HijackThis.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IceSword.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\iparmo.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Iparmor.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\isPwdSvc.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kabaload.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KaScrScn.SCR
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KASMain.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KASTask.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAV32.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVDX.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVPF.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVPFW.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVSetup.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVStart.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KISLnchr.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KMailMon.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KMFilter.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFW32.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFW32X.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPfwSvc.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KRegEx.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KRepair.com
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KsLoader.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVCenter.kxp
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvDetect.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvfwMcl.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP.kxp
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP_1.kxp
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvol.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvolself.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvReport.kxp
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVScan.kxp
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVSrvXP.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVStub.kxp
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvupload.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvwsc.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvXP.kxp
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvXP_1.kxp
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatch.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatch9x.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatchX.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MagicSet.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcconsol.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmqczj.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmsk.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Navapsvc.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Navapw32.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32krn.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32kui.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\NPFMntor.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\OllyDBG.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\OllyICE.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFW.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFWLiveUpdate.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\procexp.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QHSET.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQDoctor.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQKav.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ras.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavStub.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RawCopy.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegClean.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regmon.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegTool.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwcfg.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwmain.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwProxy.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwsrv.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwstub.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RsAgent.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rsaupd.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rsnetsvr.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rstray.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\runiep.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safeboxtray.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safelive.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\scan32.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\shcfg32.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SmartUp.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SREng.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\symlcsvc.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SysSafe.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojanDetector.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Trojanwall.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojDie.kxp
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UIHost.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxAgent.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxAttachment.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxCfg.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxFwHlp.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxPol.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UpLive.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\vsstat.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\webscanx.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WoptiClean.exe
       (+)(REG 值) debugger = REG_SZ, "ntsd -d"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{02EB6841-28D2-44C2-8303-584F54E6D913}
       (+)(REG 值) (默认) = REG_SZ, "Class for atixx devices"
       (+)(REG 值) Class = REG_SZ, "atixx"
       (+)(REG 值) Icon = REG_SZ, "-18"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{02EB6841-28D2-44C2-8303-584F54E6D913}\0000
       (+)(REG 值) DriverDate = REG_SZ, "1-2-2010"
       (+)(REG 值) DriverDateData = REG_BINARY, ....>...
       (+)(REG 值) DriverDesc = REG_SZ, "atixx Device"
       (+)(REG 值) DriverVersion = REG_SZ, "1.0.0.0"
       (+)(REG 值) InfPath = REG_SZ, "oem13.inf"
       (+)(REG 值) InfSection = REG_SZ, "atixx_DDI"
       (+)(REG 值) InfSectionExt = REG_SZ, ".NT"
       (+)(REG 值) MatchingDeviceId = REG_SZ, "atixxdevice"
       (+)(REG 值) ProviderName = REG_SZ, "ATI"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{02EB6841-28D2-44C2-8303-584F54E6D913}\0001
       (+)(REG 值) DriverDate = REG_SZ, "1-2-2010"
       (+)(REG 值) DriverDateData = REG_BINARY, ....>...
       (+)(REG 值) DriverDesc = REG_SZ, "atixi Device"
       (+)(REG 值) DriverVersion = REG_SZ, "1.0.0.0"
       (+)(REG 值) InfPath = REG_SZ, "oem14.inf"
       (+)(REG 值) InfSection = REG_SZ, "atixi_DDI"
       (+)(REG 值) InfSectionExt = REG_SZ, ".NT"
       (+)(REG 值) MatchingDeviceId = REG_SZ, "atixidevice"
       (+)(REG 值) ProviderName = REG_SZ, "ATI"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{02EB6841-28D2-44C2-8303-584F54E6D913}\Properties
       (+)(REG 值) DeviceCharacteristics = REG_DWORD, 256
       (+)(REG 值) Security = REG_BINARY, ......................H............................................................. ... ...
    (REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\GroupOrderList
       (*)(REG 值) Extended Base
        REG_BINARY, ............................................................ ==> REG_BINARY, ....................................................................
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Deleted Device IDs
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXI
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXI\0000
       (+)(REG 值) Capabilities = REG_DWORD, 0
       (+)(REG 值) Class = REG_SZ, "atixx"
       (+)(REG 值) ClassGUID = REG_SZ, "{02EB6841-28D2-44C2-8303-584F54E6D913}"
       (+)(REG 值) ConfigFlags = REG_DWORD, 0
       (+)(REG 值) DeviceDesc = REG_SZ, "atixi Device"
       (+)(REG 值) Driver = REG_SZ, "{02EB6841-28D2-44C2-8303-584F54E6D913}\0001"
       (+)(REG 值) HardwareID = REG_MULTI_SZ, "atixiDevice "
       (+)(REG 值) Mfg = REG_SZ, "ATI"
       (+)(REG 值) Service = REG_SZ, "atixi"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXI\0000\Control
       (+)(REG 值) ActiveService = REG_SZ, "atixi"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXI\0000\LogConf
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXX
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXX\0000
       (+)(REG 值) Capabilities = REG_DWORD, 0
       (+)(REG 值) Class = REG_SZ, "atixx"
       (+)(REG 值) ClassGUID = REG_SZ, "{02EB6841-28D2-44C2-8303-584F54E6D913}"
       (+)(REG 值) ConfigFlags = REG_DWORD, 0
       (+)(REG 值) DeviceDesc = REG_SZ, "atixx Device"
       (+)(REG 值) Driver = REG_SZ, "{02EB6841-28D2-44C2-8303-584F54E6D913}\0000"
       (+)(REG 值) HardwareID = REG_MULTI_SZ, "atixxDevice "
       (+)(REG 值) Mfg = REG_SZ, "ATI"
       (+)(REG 值) Service = REG_SZ, "atixx"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXX\0000\Control
       (+)(REG 值) ActiveService = REG_SZ, "atixx"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\ATIXX\0000\LogConf
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_ATICVVX
       (+)(REG 值) NextInstance = REG_DWORD, 1
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_ATICVVX\0000
       (+)(REG 值) Class = REG_SZ, "LegacyDriver"
       (+)(REG 值) ClassGUID = REG_SZ, "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
       (+)(REG 值) ConfigFlags = REG_DWORD, 0
       (+)(REG 值) DeviceDesc = REG_SZ, "ATICVVX"
       (+)(REG 值) Legacy = REG_DWORD, 1
       (+)(REG 值) Service = REG_SZ, "ATICVVX"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_ATICVVX\0000\Control
       (+)(REG 值) *NewlyCreated* = REG_DWORD, 0
       (+)(REG 值) ActiveService = REG_SZ, "ATICVVX"
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ATICVVX
       (+)(REG 值) DisplayName = REG_SZ, "ATICVVX"
       (+)(REG 值) ErrorControl = REG_DWORD, 1
       (+)(REG 值) ImagePath = REG_EXPAND_SZ, "\??\C:\WINDOWS\system32\Drivers\acpiec.sys"
       (+)(REG 值) Start = REG_DWORD, 3
       (+)(REG 值) Type = REG_DWORD, 1
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ATICVVX\Enum
       (+)(REG 值) 0 = REG_SZ, "Root\LEGACY_ATICVVX\0000"
       (+)(REG 值) Count = REG_DWORD, 1
       (+)(REG 值) NextInstance = REG_DWORD, 1
    (+)(REG 键) HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ATICVVX\Security
       (+)(REG 值) Security = REG_BINARY, ................0.................................`......................................... ... ....................................... ...#...........................
    (REG 键) HKEY_LOCAL_MACHINE\SYSTEM\LastKnownGoodRecovery\LastGood
       (+)(REG 值) INF/oem13.inf = REG_DWORD, 1
       (+)(REG 值) INF/oem13.PNF = REG_DWORD, 1
       (+)(REG 值) INF/oem14.inf = REG_DWORD, 1
       (+)(REG 值) INF/oem14.PNF = REG_DWORD, 1

77723036

当时我开着QQ

[ 本帖最后由 77723036 于 2010-3-26 21:40 编辑 ]

77723036

这个病毒主要常驻内存的在那二个文件夹里：
c:\000D3E83\目录：000D5A58.exe，000D7C83.exe，C_754.nls。
C:\Program Files\MSDN\目录：atixi.inf、atixi.sys、atixx.sys。

000D5A58.exe，000D7C83.exe两程序驻内存，atixi.sys、atixx.sys这两文件通过explorer驻内存。

对了，这个病毒，在打开运行后，不是直接修改MBR的，而是通过常驻内存的程序，在关机时修改。

我还是把病毒传上来。密码：gui。

病毒的过程还真像楼主说的那么回事，主体部分。

[ 本帖最后由 77723036 于 2010-3-26 21:43 编辑 ]

encle

不知道以后的系统会不会发展到不需要MBR就可以启动呢？可以的话那这种病毒就没有用武之地了。

kim_haneul

哪位兄弟有这个病毒啊，共享出来大家一起玩玩啊！

Hack38

24楼的兄弟不是已经给出来了么。。。

你能不把所有的回复看完了，再发表你的这句话。。

liunffx

这病毒好厉害呀，有什么好的解决办法吗？

我爱winpe

这个病毒只可以绕过Xp，尚不可绕过Vista/7

shuodan

酒后无聊 刚才下了24楼的样本用实机试了下
系统是sp3   ESET加风云

样本解压后，ESET不报警。ESET手动扫描报警但不能用ESET删除 。

双击执行鬼影.exe，机器卡了有1分钟，后来ESET好像被干掉了、消失。机子也不卡了。
点重新启动，就在保存设置那卡死了。
按RESET重启，啥也没发生，机器正常。

又双击执行鬼影.exe，还是卡了一会，ESET消失，点关机-----又死在保存设置那了。
这回再按RESET重启，ESET正常启动。但发现新硬件（可能是加载假驱动）

删除硬件后重启，再没发现atixi。不放心，又重写了遍MBR，系统无恙。
看来这鬼影有点狼来了滴意思     哈哈

[ 本帖最后由 shuodan 于 2010-4-4 23:43 编辑 ]

hzxst

我用的微软的杀毒，解压后想打开文件夹时直接毒，还被命名为Trojan:Win32/Ghodow.a病毒