MSN防范手记 手动清除chcp.exe病毒

随着即时通讯工具的强大,木马病毒也加快了脚本,MSN早就成为了其通向第三方计算机感染跳越的平台 。在好友圈中,只要盗取一个MSN好友账号或感染一台用户计算机,病毒即会伸出罪恶之手,将会在用户MSN聊天时发送病毒信息 。
病毒分析
该病毒属于MSN蠕虫变种,被感染的计算机会自动向MSN联系人发送诱惑文字消息和带毒压缩包,当对方接收并打开带毒压缩包中的病毒文件时,系统即成为新的受害者,并因此尝试感染另一台计算机 。病毒大小为434,176 字节,通过MSN聊天工具进行传播 。
被感染的计算机,病毒首先会在系统目录 %Windows%下生成含带病毒源体的F0538_jpg.zip压缩包,随后病毒自身开始在计算机中的%Windows%目录下创建副本chcp.exe 执行文件,并在注册表
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
分支下建立"chcp.exe"="%Windows%chcp.exe"自启动项目,然后病毒开始修改注册分支
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon
下的"SFCDisable"=dword:ffffff9d 和"SFCScan"=dword:00000000值,进行关闭系统文件保护,并且更改
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControl
分支下的 "WaitToKillServiceTimeout"=的值为"7000",达到更改自动关闭进程等待时间的效果 。
完成上述后,病毒仍没有安静的等待,而是查找被感染的计算机中是否存在FTP目录,如果有则将原正常程序改名为backup.ftp、backup.tftp并复制到%System%microsoft目录下,随后在系统目录%System%下写入ftp.exe、tftp.exe、dllcachetftp.exe、dllcacheftp.exe可执行程序,做完一系列的手脚,病毒开始向MSN联系人发送诱惑型文字消息,并夹带毒包F0538_jpg.zip欺骗用户打开 。
清除方法
中了此毒的用户也不要紧张,在了解了生存原理后要想清除该病毒也非难事,只要按照以下几个步骤实施即可将病毒清除出界,让系统中的MSN正常运行 。
一、首先要进入注册表分支
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
下,将"chcp.exe"="%Windows%chcp.exe"自建的随机启动项删除,完成后重启计算机 。
二、进入%Windows%目录下将病毒源体文件chcp.exe及F0538_jpg.zip压缩包删除 。
三、将目录%System%下的FTP破坏代替程序ftp.exe、tftp.exe、dllcachetftp.exe、dllcacheftp.exe删除,并将%System%microsoft目录下的backup.ftp、backup.tftp改回到目录%System%下 。
四、删除注册表分支[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon]下的"SFCDisable"=dword:00000000键值,恢复系统文件保护 。
五、最后将注册表[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControl]分支下的"WaitToKillServiceTimeout"=改为"20000" 从而恢复系统自动关闭进程等待时间的默认配置 。
【MSN防范手记 手动清除chcp.exe病毒】笔者按:在MSN病毒中变体有很多种如:MSN机器人、MSN小丑、MSN性感相册等,其原理都是利用MSN作为平台在同聊友沟通的同时发送病毒信息,通过MSN好友关系欺骗用户点击,然后再次传播,从而形成强大的传播途径 。为了更好的处理此类病毒,这里建议用户加强计算机的先期保护如:开启杀软定时升库,安装安全类软件,不定期打入系统补丁等,并且多了解每日病毒动态,即时作好防范工作即可,一但用户被感染时应立即作出回应,利用手工删除或下载相应的专杀工具进行清理,以免让更多的用户成为受害者 。

    推荐阅读