手动清除利用映像劫持技术的病毒

有些网友电脑感染病毒，杀毒软件打不开。开机就弹出若干个窗口，总也关不掉，直到系统内存耗尽死机，安全模式也是同样的现象。无奈只是格式化了C盘重装系统。开机后访问其它分区。再次出现重装前的中毒症状。 从上述现象至少发现2个现象：1、病毒会通过自动播放传播；2、病毒可能利用映像劫持。 

　　启动到带命令行的安全模式。运行regedit，结果失败。msconfig一样失败。改regedit.exe为regedit.com，同样失败。

      重启电脑进普通模式登录到桌面后，发现一个类似记事本的程序不停打开一个小对话框，速度很快，根本来不及关闭，任务管理器也调不出来。常备软件ProcessExplorer、冰刃、Sreng、U盘杀毒软件等没有正常的启动。双击冰刃/Sreng都宣告失败。

　　解决方法：（一）
　　分别对将icesword和Sreng主程序改名后运行，此时，那个象记事本的病毒程序已经打开近百个对话框，系统变得很慢。在WINXP的任务栏选中这一组窗口，关闭掉抢占一些系统资源。

　　然后，双击U盘上的ProcessExplorer，发现有记事本图标的三个进程，尝试结束其中一个，发现结束后，程序会立即重新启动。说明直接KILL进程是不行的。只好分别选中这三个进程，单击右键，在进程属性中选择Suspend（暂停）进程，病毒就不再弹出新的对话框，杀它就容易了。（参考下图的示例：）



　　切换到冰刃根据病毒进程的程序位置和文件名，利用冰刃内置的文件管理器浏览到这几个文件，复制一个备份到桌面，再单击右键，选择强制删除。 （下图演示冰刃的强制删除）：




　　接下来，再切换到冰刃窗口中的注册表编辑器，浏览到HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows NT \CurrentVersion \ Image File Execution Options，逐个查看子注册表键中对应的程序名，找到另一个病毒程序。（注意：某些网友认为只需要保留Your Image File Name Here without a path子键，其它都可以删除。这样操作还是有风险的，谨慎的做法还是一个子键一个子键的检查，如果发现键值为病毒程序的路径时，再删除这个子键）。



      使用冰刃的文件管理器将病毒程序强制删除。这个病毒使几乎所有的杀毒软件、防火墙、系统自带的管理工具（regedit，msconfig，cmd，任务管理器）、第三方的系统辅助工具(Sreng、autoruns、冰刃）全部被劫持。
　　修复注册表后，双击U盘杀毒软件，利用U盘杀毒软件监控立即删除病毒。然后打开资源管理器，浏览到其它分区根目录下隐藏的病毒删除掉。
　　

    解决方法（二 ）
　　在你没有冰刃、Process Explorer时，可以用其人之道，还治其人之身。编辑一个修改注册表的批处理脚本，把病毒程序也给加到映像劫持的清单中，如下示例：

　　@echo off
　　echo Windows Registry Editor Version 5.00>ssm.reg
　　echo [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File
　　Execution Options\syssafe.EXE] >>ssm.reg
　　echo "Debugger"="syssafe.EXE" >>ssm.reg(如果发现多个病毒程序，就编辑多行)
　　rem regedit /s ssm.reg &del /q ssm.reg(如果发现多个病毒程序，就编辑多行)
　　重启电脑后，病毒程序也启动不了了，然后把注册表编辑器的程序名regedit.exe为其它的什么名字，双击后对注册表的HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows NT \CurrentVersion \Image File Execution Options项进行修改。再升级杀毒软件杀毒。

建议 ：
　　1.使用组策略编辑器，关闭所有驱动器的自动播放功能。
　　2.及时升级杀毒软件，防止被这类病毒袭击。
　　3.一旦中毒，应立即联系专业人士协助，毕竟重装系统不是好方法。