科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道asgwmne.exe杀毒全过程

asgwmne.exe杀毒全过程

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

朋友的电脑中了asgwmne.exe病毒毒,他自己格C重装了也不行,杀毒软件都无法运行,相关的杀毒网站也打不开。然后叫我QQ远程协助帮他看看。

作者:论坛整理 来源:ZDNet网络安全 2008年3月20日

关键字: asgwmne.exe病毒 asgwmne.exe

  • 评论
  • 分享微博
  • 分享邮件

朋友的电脑中了asgwmne.exe病毒毒,他自己格C重装了也不行,杀毒软件都无法运行,相关的杀毒网站也打不开。然后叫我QQ远程协助帮他看看。

  1。所有杀毒软件被屏蔽,所有关于杀毒软件网页打开自动关闭。

  2。大部分程序打开之后自动关闭,包括VB VC等

  3。进入安全模式蓝屏

  4。文件选项查看不了隐藏文件(自动复位)

  5。很多修复系统或杀毒的辅助工具打不开。

  6。进程asgwmne.exe和 eleicnd.exe无法结束。

        连上后,看了一下系统进程,有两个不明进程eleicnd.exe和asgwmne.exe无法结束进程和进程树。凭着经验找到病毒文件存于C:\gram Files\Common Files\Microsoft Shared文件夹和system文件夹中,但只能看到一眼这个文件夹就自动关闭了(心想这毒历害)。因朋友刚重装C,还是有毒,这毒一定是在其他盘自动运行。

        于是打开我的电脑→工具→文件夹选项→查看→选中显示所有文件和文件夹,去掉“隐藏受保护的系统文件”的选中,让所有的文件都显示出来,结果居然隐藏文件也被篡改显示不出来。看来只能修改注册表了。运行REGEDIT,找到HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL 下删除CheckedValue项,再新建dword项,名称为CheckedValue,值为1 。

然后打开D:发现有名为auotrun.inf的隐藏文件,将其打开,open项指向一个名为ojx什么的(忘了文件名了不好意思)隐藏文件。打开其他盘,都发现有同样这两个文件,于是删除。但发现删除后又重新复制了。看来只能先想办法结束进程才有出路,所以检查了一下,得知这病毒并不是以服务方式启动,于是在注册表中将
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce... 中发现有和eleicnd.exe和asgwmne.exe相关键值删除,叫朋友重启了电脑。
接下来,发现没有这两个进程了,于是到各盘中将auotrun.inf和另一个ojx什么的文件删除。这回发现没有自动复制了。于是从网上下载了一个汉化版的autoruns来扫描一下系统劫持,发现运行不了,看来autoruns也被劫持了,不过可以将扩展名改为.com后辍的文件,那样就可以运行了。等到打开autoruns,在选项中点选验证数字签名和隐藏微软发行项目,再点映像劫持,发现里面被列出的N多啊,所有流行的杀毒软件相关的站点和程序软件都被屏蔽了,这时千万不要心软,全部删除掉就万事OK了。这下所有杀毒软件也都可以运行了,到此杀毒结束

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章