Summer BLUE: Inter-----NET

威金Worm.Viking_和desktop.ini病毒查杀删除方法

Thu, 26 Oct 2006 03:12:10 GMT

“威金（Worm.Viking）”病毒特点-专杀及_desktop.ini删除

很麻烦的威金Worm.Viking病毒，今天发现电脑中出现了_desktop.ini的文件,才知道中了名为威金（Worm.Viking）的病毒,而安装的江民杀毒软件竟然杀不了,没办法了,只好上网查找解决方法,还真让我给找到了,问题解决了,方法不敢独享,介绍给机器出了同样问题的人.

一、该病毒特点:

处理时间：2006-06-01 威胁级别：★★
病毒类型：蠕虫影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
该病毒为Windows平台下集成可执行文件感染、网络感染、下载网络木马或其它病毒的复合型病毒，病毒运行后将自身伪装成系统正常文件，以迷惑用户，通过修改注册表项使病毒开机时可以自动运行，同时病毒通过线程注入技术绕过防火墙的监视，连接到病毒作者指定的网站下载特定的木马或其它病毒，同时病毒运行后枚举内网的所有可用共享，并尝试通过弱口令方式连接感染目标计算机。
运行过程过感染用户机器上的可执行文件，造成用户机器运行速度变慢，破坏用户机器的可执行文件，给用户安全性构成危害。
病毒主要通过共享目录、文件捆绑、运行被感染病毒的程序、可带病毒的邮件附件等方式进行传播。

1、病毒运行后将自身复制到Windows文件夹下,文件名为:
　　%SystemRoot%\rundl132.exe

2、运行被感染的文件后，病毒将病毒体复制到为以下文件:
%SystemRoot%\logo_1.exe

3、同时病毒会在病毒文件夹下生成:
病毒目录\vdll.dll

4、病毒从Z盘开始向前搜索所有可用分区中的exe文件，然后感染所有大小27kb-10mb的可执行文件，感染完毕在被感染的文件夹中生成:
_desktop.ini (文件属性:系统、隐藏。)

5、病毒会尝试修改%SysRoot%\system32\drivers\etc\hosts文件。

6、病毒通过添加如下注册表项实现病毒开机自动运行:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"load"="C:\\WINNT\\rundl132.exe"
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
"load"="C:\\WINNT\\rundl132.exe"

7、病毒运行时尝试查找窗体名为:"RavMonClass"的程序，查找到窗体后发送消息关闭该程序。

8、枚举以下杀毒软件进程名，查找到后终止其进程:
Ravmon.exe
Eghost.exe
Mailmon.exe
KAVPFW.EXE
IPARMOR.EXE
Ravmond.exe

9、同时病毒尝试利用以下命令终止相关杀病毒软件：
net stop "Kingsoft AntiVirus Service"

10、发送ICMP探测数据"Hello,World"，判断网络状态，网络可用时，
枚举内网所有共享主机，并尝试用弱口令连接\\IPC$、\admin$等共享目录，连接成功后进行网络感染。

11、感染用户机器上的exe文件，但不感染以下文件夹中的文件:
system
system32
windows
documents and settings
system Volume Information
Recycled
winnt
Program Files
Windows NT
WindowsUpdate
Windows Media Player
Outlook Express
Internet Explorer
ComPlus Applications
NetMeeting
Common Files
Messenger
Microsoft Office
InstallShield Installation Information
MSN
Microsoft Frontpage
Movie Maker
MSN Gaming Zone

12、枚举系统进程，尝试将病毒dll(vdll.dll)选择性注入以下进程名对应的进程:
Explorer
Iexplore
找到符合条件的进程后随机注入以上两个进程中的其中一个。

13、当外网可用时，被注入的dll文件尝试连接以下网站下载并运行相关程序:
http://www.17**.com/gua/zt.txt 保存为:c:\1.txt
http://www.17**.com/gua/wow.txt 保存为:c:\1.txt
http://www.17**.com/gua/mx.txt 保存为:c:\1.txt

http://www.17**.com/gua/zt.exe 保存为:%SystemRoot%Sy.exe
http://www.17**.com/gua/wow.exe 保存为:%SystemRoot%\1Sy.exe
http://www.17**.com/gua/mx.exe 保存为:%SystemRoot%\2Sy.exe
注：三个程序都为木马程序

14、病毒会将下载后的"1.txt"的内容添加到以下相关注册表项：

[HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW]
"auto"="1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows]
"ver_down0"="[boot loader]\\\\\\\\\\\\\\\\+++++++++++++++++++++++""ver_down1"="[boot loader]
timeout=30
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\\WINDOWS=\"Microsoft Windows XP Professional\" ////""ver_down2"="default=multi(0)disk(0)rdisk(0)partition(1)\\WINDOWS
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\\WINDOWS=\"Microsoft Windows XP Professional\" /////"

二、专杀工具

 http://it.rising.com.cn/service/technology/RavVikiing.htm

三、删除_desktop.ini

该病毒会在每个文件夹中生成一个名为_desktop.ini的文件，一个个去删除，显然太费劲，（我的机器的操作系统因安装在NTFS格式下，所以系统盘下的文件夹中没有这个文件，另外盘下的文件夹无一幸免），因此在这里介绍给大家一个批处理命令 del d:\_desktop.ini /f/s/q/a，该命令的作用是：
强制删除d盘下所有目录内（包括d盘本身）的_desktop.ini文件并且不提示是否删除

/f 强制删除只读文件

/q 指定静音状态。不提示您确认删除。

/s 从当前目录及其所有子目录中删除指定文件。显示正在被删除的文件名。

/a的意思是按照属性来删除了
这个命令的作用是在杀掉viking病毒之后清理系统内残留的_desktop.ini文件用的

使用方法是开始--所有程序--附件--命令提示符，键入上述命令（也可复制粘贴），首先删除D盘中的_desktop.ini，然后依此删除另外盘中的_desktop.ini。

至此，该病毒对机器造成的影响全部消除。

觉得有用的朋友们拿去试试吧

畅销儿童动画片~〈粉红猪小妹〉=_-P

Fri, 08 Sep 2006 01:54:23 GMT

真后悔我现在还是大人！

可惜回不去了~

想当年。。。

我们看《小蝌蚪找妈妈》，

也不错~~~~~

Becham我为你骄傲！

Wed, 05 Jul 2006 12:11:01 GMT

鲁尼恶意踩人被罚下场，重演小贝8年前法国世界杯上的一幕。

报盖尔森基兴1日电(特派记者王涛)为什么下半场开始不久就把小贝换下，以至于让贝帅哥坐在替补席上落泪？英格兰队主帅埃里克松在赛后新闻发布会上解释说:“他的膝盖受伤了，这影响了他的发挥。与其让他在场上坚持，还不如让他下来休息。”不过，得胜后的葡萄牙队主帅斯科拉里却不这么看:“我觉得埃里克松让贝克汉姆下场是一个冒险。”

全文照登：小贝辞去队长职务的发言稿

北京时间7月2日傍晚，就在英格兰队贝淘汰出四强14小时以后，从英格兰的集训营传出一个惊人的消息：万人迷贝克汉姆宣布辞去英格兰队队长的职务，交出自己佩戴了近6年的队长袖标。以下是小贝的发言。

我有一些简单的话要说，我把它读出来，如果你们能听我说的话，我将非常高兴。抱歉，昨晚我才把这份东西写好。

2000年11月15日，泰勒给了我职业生涯里最大的荣誉，他让我担任了英格兰国家队的队长一职，帮我完成了我儿时的梦想。现在，快过了六年时间了，在为国家队所效力的95场比赛里，有58场我担任场上队长一职。现在，英格兰国家队已经进入麦克拉伦时代，我觉得是时候把队长袖标传给别人了。

能带领我的国家出战对我来说是一种荣誉，也是一种特权。我想强调的是，我希望能继续为英格兰国家队效力，我也期望自己能尽最大努力去帮助麦克拉伦和下任队长。

一段时间以前我就有这个打算了，我原本希望在一次成功的世界杯后才宣布这个决定。令人伤心的是，我们没能成功。这是我职业生涯以来最难做出的一个决定，但在和我的家人还有那些和我最亲密的人商量过之后，我觉得现在是做这个决定的时候了。

在本届世界杯上，我们的表现还不够好，也未能再前进一步。我和其他所有球员都为此表示抱歉，我们受到的伤害和打击也远比你们认为的要深得多。

我对在我担任队长期间所有支持过我的队友表示感谢，还有泰勒、埃里克森和所有教练。我还想感谢媒体，当然还有所有的英格兰队的支持者。他们对我和我的队友们都很好。这对我来说是绝对的荣誉。

最后，我想要说的是，我已经实现了我的梦想。能戴上队长袖标成为英格兰国家队的队长，这让我极其自豪。对所有这一切，我都非常感激。

2006年07月03日 00:38 　腾讯体育

相继的，在卡福的号召下，卡洛斯也退出了国家队，这让我觉得欣慰了一些，毕竟大卫的决定不是孤独的，再加上德国的失利，习惯了一点点...还好是意大利的胜利，不然还会与们好几天...既然送走了我的卡恩.莱曼.巴拉克.克劳斯，那就给我一个端着胜利奖杯的皮埃罗吧！

本世纪要寻找的几件东西

Mon, 26 Jun 2006 09:25:30 GMT

no.1《爱丽丝梦游仙境》英文名称:American McGee's Alice角色扮演游戏

no.2《妙探史马特》又名《糊涂神探》英文名称:Get Amart 无理头的创始，美国电视连续剧，至今费尽体力在BT上面找到了仅有的几集，伴随童年的回忆

no.3《出生入死》英文名称:La Piovra意大利电视连续剧，一个爱与忠诚的喷泪节目。找到了，但是却不完整的缺少了几集

no.4 Kaci Brown<Instigator>的CD唱片一个偶然间发现的美女，应该是某片的主题曲演唱者，带着灵动的嗓音，真得很喜欢但是却找不到除此之外的任何信息...I'm not everybody's girl...还想听到这首激亢的歌曲

no.5 Aaron Cater<Sufining USA>MTV 曾经在MTV天籁村看过一次，印象很深的结尾有个胖女人躺在沙滩上，aa还去找她玩耍，那时aa还是很小，但是却没有人记得这部MTV很奇怪~

no.6 摇摆的椅子CD唱片英文名称不记得了，很美的长笛与钢琴混奏乐，让人像躺在夏日的沙滩上的椅子，享受阳光的快乐，小时候不懂事那个年代只能用录音带，tape，结果好玩就把爸爸珍惜的这个带子给当成录音工具抹掉了~现在想找到，任何的形势也可以，希望能给爸爸找回一些往昔的快乐的回忆

no.7 日本进口的手工包装及制作卡片的教程书当年一是心软，150元钱没有掏出手，等我在后悔的时候，书已经没有卖得了，进口的稍微有点破，里面教了我好多制作可爱卡片的方法，真的手工制作是一种乐趣，想要，但是却无缘在找到...

no.8 《摩登一族》或者《阿达一族》的电影DVD 英文名称不记得，年纪尚小，中文名称也不确定，但是却记得这个片子，和《僵尸新娘》一样的风格怪异，属于伯顿风格的。就是一群怪异的人，造型极其古怪，他们生活的故事。在游戏厅见过这个的弹珠台游戏，但是也是只有我记得，没有人有过类似的印象。

Welcome Home_Brian Littrell

Mon, 29 May 2006 14:33:51 GMT

Welcome Home

When I left home to be who I am
Some people said no way
But I laid it all down
Gave everything
In my head rang the words
That my father said

You're never far
I will be where you are
And when you come to me
I will open my arms

Welcome home you
I know you by name
How do you do
I shine because of you today
So come and sit down
Tell me how you are
I know son, it's good to just see your face

When i look at you
Holding my heart
I give to you all that i have
Son I know, there'll be times that
You'll feel all alone
I will share with you
The words my father said

You are never far
I will be where you are
And when you come to me
You can bet i will open my arms

Welcome home you
I know you by name
How do you do
I shine because of you today
So come and sit down
Tell me how you are
I know son, it's good just
To see your face

I've been waiting for that day
Just to feel your warm embrace
Your love has shown
That I will never be alone
For you will welcome me home

I'll forever be
For you will say to me
Welcome home

I know you by name
How do you do
I shine because of you today
So come and sit down
Tell me how you are
I know son, it's good just to see your face