小心被敲诈　警惕恶意QiaoZhaz.d木马_中国IT运维网www.cnitom.com

Trojan.Win32.QiaoZhaz.d属木马类，病毒运行后弹出对话框，内容为“发现您硬盘内曾使用过盗版了的我公司软件 , 所以将您部份文件移到锁定了的扇区 , 若要解锁将文件释放 , 请电邮 liugongs19670519@yahoo.com.cn 购买相应的软件”。在 2000 系统下点击确定后不自动注销。XP 系统下点击确定后系统会自动注销，由于病毒加载了启动项，所以开机病毒会自动运行，会继续弹出对话框，反复循环。病毒衍生文件到系统目录下，在启动文件夹内衍生病毒文件，并重命名为 svchost.exe 。创建服务，并以服务的方式达到随机启动的目的。去除“文件夹选项”，使用户无法选择“显示所有隐藏文件”和不能去掉“隐藏受保护的系统文件”“隐藏已知文件类型的扩展名”。去除开始菜单中的“搜索”、“运行”项和“关机”项，使用户不能使用搜索、 command 命令和关机、注销。修改 txt 文件关联，当用户试图运行 txt 文件时，则会激活病毒，同样的办法修改任务管理器关联，无论用户怎样打开任务管理器，都会激活病毒。病毒把屏保时间修改为60 秒，在 %system32% 文件夹下生成病毒屏保文件，当用户 60 秒不操作计算机时，系统会自动运行病毒。该病毒利用多种方法来保护自身。删除非系统盘外的所有文件，并在每个盘符下建立一个名为：警告 .h 的文件。该病毒的行为极其恶劣，不停的弹出对话框，对用户进行敲诈勒索。

清除方案：删除对应文件，恢复相关系统设置。

(1)首先关闭下列病毒进程：

win1ogon.exe < 路径 ： C:\Documents and Settings\All UsersApplication Data\Microsoft\win1ogon.exe> 
svchost.exe < 路径 ： C:\Documents and Settings\Administrator\ 
开始」菜单 \ 程序 \ 启动 \svchost.exe>

(2)删除病毒文件：

%Documents and Settings%\All Users\Application Data\Microsoft\win1ogon.exe 
%Documents and Settings%\All Users\ 「开始」菜单 \ 程序 \ 启动 \svchost.com 
%Documents and Settings%\All Users\ 桌面 \ 警告 .h 
%Documents and Settings%\commander\Local Settings\Temp\E_4\krnln.fnr 
%Documents and Settings%\commander\NTUSER.DAT.LOG
%WINDIR%\Debug\UserMode\userenv.log 
%WINDIR%\setupapi.log 
%system32%\CatRoot2\dberr.txt 
%system32%\config\default.LOG 
%system32%\config\software.LOG 
%system32%\config\system.LOG
%system32%\taskmgr.exe 
%system32%\wins.com 
%system32%\ 飞越星球 .scr

(3)将下列内容导入注册表里，

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\FolderHidden\SHOWALL]
"CheckedValue"=dword:00000001
"DefaultValue"=dword:00000002
"HelpID"="shell.hlp#51105"
"HKeyRoot"=dword:800000001
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"ValueName"="Hidden"

[HKEY_CURRENT_USER\Control Panel\Desktop]
"ScreenSaveTimeOut"="900"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
"HideFileExt"=dword:00000000

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000ff
[HKEY_CLASSES_ROOT\txtfile\shell\open\command]
@="C:\\WINDOWS\\notepad.exe %1"

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system]

[HKEY_CURRENT_USER\Control Panel\Desktop]
"SCRNSAVE.EXE"="nothing"

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"svchost.exe"="nothing"

[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WINS   ]

(4)在其他干净的系统拷贝一个taskmgr.exe文件，把它复制到C:\windows\system32目录下，覆盖原文件即可。

小心被敲诈 警惕恶意QiaoZhaz.d木马

小心被敲诈　警惕恶意QiaoZhaz.d木马