以Safedrvse.exe为例进行蠕虫病毒行为研究及清除.docVIP

以Safedrvse.exe为例进行蠕虫病毒行为研究及清除【摘 要】蠕虫病毒是目前所有计算机病毒中数量最多、传播最快、危害最大的一种病毒类型。如何有效的进行蠕虫病毒的防范与清除，是目前在计算机信息安全领域面临的一个严峻问题。只有清楚掌握蠕虫病毒在计算机中的运行情况，了解其行为，才能有效的对其进行防范和清除。本文以典型的蠕虫病毒Safedrvse.exe病毒为例说明蠕虫病毒的分析与清除方法。 【关键词】蠕虫病毒；行为分析；病毒防治 1.Safedrvse.exe病毒行为分析 1.1 Safedrvse.exe病毒简介 Safedrvse.exe病毒目前大范围感染高校内的计算机，使得计算机无法正常的使用。Safedrvse.exe病毒还会自动有哪些信誉好的足球投注网站和关闭杀毒软件，被长时间深度感染的计算机中的应用程序往往都会被破坏掉，使得计算机几乎无法正常使用。 1.2病毒行为分析 在虚拟机系统中，通过filemon监控工具、HA_ProcessExplorer进程分析工具和icesword病毒分析工具对病毒行为进行分析。 开启filemon后运行病毒程序，filemon会记录病毒的运行情况。 （1）找到病毒副本 Safedrvse.exe病毒在系统中的C：＼Program Files＼Common Files目录下创建了病毒文件的副本如图1所示。打开相应的文件夹可以验证病毒副本的存在如图2所示。并且病毒还会在系统中所有盘符的根目录中生成病毒副本。 图1 病毒在系统中创建副本 图2在系统中的病毒副本 （2）找到病毒进程 进程的判定对于病毒的分析非常重要。由于Safedrvse.exe病毒将自己在系统中的进程注入到svchost.exe 进程中，使得病毒本身具有较强的隐蔽性和迷惑性。在filemon的记录中可以看到svchost.exe 进程与病毒文件之间的关系，从而可以初步断定编号为2504的进程是病毒进程。 图3 病毒进程读写病毒文件 在HA_ProcessExplorer工具中可以看到，其中进程号为2504的svchost.exe进程与系统中其它svchost.exe进程不同，它是explorer.exe的子进程，说明它是用户进程而不是系统进程。 图4编号为2504的svchost.exe进程是explorer.exe的子进程 打开资源管理器同样可以看到只有一个svchost.exe进程是用户进程如图5所示。 图5 svchost.exe进程是用户进程 （3）找到病毒启动项 蠕虫病毒通常会加载到注册表的自启动项中。通过查找可以发现在注册表HKLM＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer＼Run＼Safedrvse.exe中存在病毒启动项。 2. Safedrvse.exe病毒手工清除 在掌握Safedrvse.exe病毒的关键行为之后可以对其进行手工清除。 （1）找到并关闭病毒进程svchost.exe。 （2）删除C：＼Program Files＼Common Files下的病毒文件副本。 （3）删除各个盘符根目录下的病毒副本文件。 （4）删除注册表中的病毒启动项。 （5）在C：＼Program Files＼Common Files＼创建免疫文件夹Safedrvse.exe，阻断病毒的运行和繁殖述。 （6）重新启动系统检查病毒是否清除干净。 3. Safedrvse.exe病毒程序清除 除了手工清除病毒的方法外，还以编写批处理程序来完成病毒的清除。主要内容如下： @echo off taskkill /f /fi “username eq Administrator” /im svchost.exe /t c： attrib Safedrvse.exe -a -h -s del /s /q /f Safedrvse.exe attrib autorun.inf -a -h -s del /s /q /f autorun.inf attrib C：＼Program Files＼Common Files＼Safedrvse.exe -a -h -s del /s /q /f Safedrvse.exe reg delete HKLM＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Run /V sxs.exe /f reg delete HKLM＼Software＼Microsoft＼windows＼CurrentVersion＼explorer＼Advanced ＼Folder＼Hidden＼SHOWALL /V CheckedValue /f reg add HKLM＼SOFTWARE＼Microsoft＼Windows＼Curr