这鬼影病毒是杀毒软件公司自己搞的无间道吧

Macro · 发表于 2010-3-20 22:17

本帖最后由 Macro 于 2010-3-20 22:20 编辑

"鬼影"向安全厂商下战书 360最新版全面拦截

全球首发免疫鬼影病毒批处理- 瑞星卡卡安全论坛bbs.ikaka.com

“鬼影”病毒躲猫猫安全厂商围剿病毒初见成效-金山安全中心

金山毒霸安全专家李铁军指出，在金山对鬼影病毒进行大范围围剿的同时，瑞星、360等厂商也纷纷加入进来，一同对该病毒展开了围剿，我们非常欣慰。在恶意软件利用新技术肆意向网民进攻的今天，安全厂商应联起手来，下功夫解决网民真正关心的安全问题，放弃同行间无谓的口水之争。安全厂商共同把目标放在围剿恶意软件上，才会给网民更多的安全。

http://news.duba.net/contents/2010-03/19/9615.html

我闻到了一股浓浓的阴毛味道

kina · 发表于 2010-3-20 22:21

提示: 作者被禁止或删除内容自动屏蔽

Macro · 发表于 2010-3-20 22:23

本帖最后由 Macro 于 2010-3-20 22:41 编辑

中国的杀毒软件厂商都是娱乐厂商,专门娱乐大众的
kina 发表于 2010-3-20 22:21

修改MBR表

这病毒的恶劣程度TM已经超过娱乐大众的范围了

以前，常听用户说，中毒了没关系，大不了重装系统。但现在，这句话将成为历史。3月15日，金山安全实验室捕获一种被命名为“鬼影”的电脑病毒，该病毒寄生在磁盘主引导记录（MBR），即使格式化重装系统，也无法将该病毒清除。当系统再次重启时，该病毒会早于操作系统内核先行加载。而当病毒成功运行后，在进程中、系统启动加载项里找不到任何异常，病毒就象“鬼影”一样在中毒电脑上“阴魂不散”。

解决方式

首先，格式化C盘，再进入dos状态，运行fdisk/mbr 命令，用以清除掉主引导区的病毒引导代码，这时候重装系统就可以了，但是这是在完全安装起作用的，如果你用是GHOST安装系统那么还要多做以下几步。
　　1、通过GHOST系统盘进入PQ/PM分区工具，一般GHOST系统盘都带的
　　2、右击c盘，选择进阶-设为作用，这样就把MBR引导层重新写了一遍，这样在引导层中的病毒也自然被剔除了。
　　3、直接用GHOST系统盘安装系统就OK了。[4]　

使用windows系统安装盘自带的修复功能,按住R 键进入修复平台,稍等片刻-进入命令提示符-输入帐户名密码后然后在命令提示符下输入Fixmbr 然后系统提示是否更新MBR主引导记录选择是并且再输入Fixboot 修复boot区引导至此主引导区已经修复完毕病毒自然清除然后用WinPE工具箱进入WinPE系统杀毒就可以解决了。

solid_snake · 发表于 2010-3-20 22:23

瑞星+360
这个组合佷强大

C1ViAzAQZ · 发表于 2010-3-20 22:58

本帖最后由 C1ViAzAQZ 于 2010-3-20 23:06 编辑

就一个抄老外的开源代码的东西
淫荡的加驱进R0还原SSDT 感染MBR以及穿还原
当然他加驱的手段目前就几个软件可以拦（XP 下 WIN7是乎UAC就拦到了，
不过只要拦截它创建SYS和INF就可以了.防住了
这毒还是依靠R0破坏系统。不进RO还是个废物，
PS：MBR感染只可以感染NT5.X的，又一个病毒新时代开始了

kina · 发表于 2010-3-20 22:59

提示: 作者被禁止或删除内容自动屏蔽

Macro · 发表于 2010-3-20 23:04

http://article.pchome.net/content-1073956.html

这算什么?既然已经知道大概是谁做的为什么不立案调查?
kina 发表于 2010-3-20 22:59

加上顶楼那个什么“放弃口水之争一致对外”的口气
所以我才说这病毒是杀毒公司自己故意传播的

我再阴毛点
没准金山或者别的什么家的专杀工具直接就带着这病毒

鸡蛋灌饼 · 发表于 2010-3-20 23:14

就一个抄老外的开源代码的东西
淫荡的加驱进R0还原SSDT 感染MBR以及穿还原
当然他加驱的手段目前就几个软件可以拦（XP 下 WIN7是乎UAC就拦到了，
不过只要拦截它创建SYS和INF就可以了.防住了
这毒还是依靠R0破坏系统 ...
C1ViAzAQZ 发表于 2010/3/20 22:58

x64 KPP发来贺电

死天使 · 发表于 2010-3-20 23:18

这次根本就是某山的阴谋，第一发现也是他，第一专杀也是他，之前别的杀毒软件都没有预报
怀疑和之前的所谓某虎的一样是先放毒再出专杀

卡尔·荣格 · 发表于 2010-3-20 23:18

不仅做到了“三无”特性——无文件、无系统启动项、无进程模块

MBR那点地方放的下这个牛逼东西？本体究竟在哪里？

鸡蛋灌饼 · 发表于 2010-3-20 23:19

不仅做到了“三无”特性——无文件、无系统启动项、无进程模块

MBR那点地方放的下这个牛逼东西？本体酒精在哪里？
卡尔·荣格发表于 2010/3/20 23:18

rootkit欺骗操作系统即可

zxd1984 · 发表于 2010-3-21 01:08

能干掉gpt不，干不掉对我来说就问题不大

kvll32 · 发表于 2010-3-21 01:17

提示: 作者被禁止或删除内容自动屏蔽

赤色彗星SE · 发表于 2010-3-21 01:44

硬盘锁是哪个傻逼杀毒软件公司搞的去了？

Stuka · 发表于 2010-3-21 02:00

这东西似乎不能穿透AHCI, 毕竟BIOS对MBR变化很敏感，乱写一通导致开机假死的可能性更大

huihengchen · 发表于 2010-3-21 12:46

......写这种病毒的估计出门都得被车砸吧......

不过上次装UBUNTU9.10......不知道哪个地方出了问题......不能正常启动,得重写MBR........那个恶心呀.

Macro · 发表于 2010-3-21 13:16

好吧，我没研究过MBR之类的东西

我只问一个问题

中了这个病毒，不格硬盘，按照3楼的方式重做MBR表，还能把硬盘里的数据找回来么？

fmeric · 发表于 2010-3-21 13:59

提示: 作者被禁止或删除内容自动屏蔽

鸡蛋灌饼 · 发表于 2010-3-21 15:26

好吧，我没研究过MBR之类的东西

我只问一个问题

中了这个病毒，不格硬盘，按照3楼的方式重做MBR表，还能把硬盘里的数据找回来么？
Macro 发表于 2010/3/21 13:16

中毒后还能启动，用户还察觉不到，你说能不能找回来
像熊猫那样一中毒全盘EXE挂光光的早被人发现了

Macro · 发表于 2010-3-22 17:57

我TM已经无语了

鸡蛋灌饼 · 发表于 2010-3-22 18:26

http://i305.photobucket.com/albums/nn214/Macro973/1003161143f53b17f07b258c04.png

http://i305.photobucket.com/albums/n ...
Macro 发表于 2010/3/22 17:57

赶紧换x64，直接免疫rootkit

hzqiji · 发表于 2010-3-22 18:33

32位win7能用64位win7安装盘升级么……

Macro · 发表于 2010-3-22 18:37

32位win7能用64位win7安装盘升级么……
hzqiji 发表于 2010-3-22 18:33

这病毒早就确认只对XP有效

VISTA跟WIN7用户不必担心

鸡蛋灌饼 · 发表于 2010-3-22 19:04

32位win7能用64位win7安装盘升级么……
hzqiji 发表于 2010/3/22 18:33

不能
必须全新安装

死天使 · 发表于 2010-3-22 19:28

金山一看就知道是营销手段，又是网盾，有完没完啊

		自动登录	找回密码
密码			立即注册

kina kina 当前离线禁止发言精华 \| 战斗力鹅 \| 回帖 0 注册时间 2005-6-26 头像被屏蔽	发表于 2010-3-20 22:21 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽

	回复使用道具举报

kina kina 当前离线禁止发言精华 \| 战斗力鹅 \| 回帖 0 注册时间 2005-6-26 头像被屏蔽	发表于 2010-3-20 22:59 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽

	回复使用道具举报

kvll32 kvll32 当前离线禁止发言精华 \| 战斗力鹅 \| 回帖 0 注册时间 2007-7-28 头像被屏蔽	发表于 2010-3-21 01:17 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽

	回复使用道具举报

fmeric fmeric 当前离线禁止发言精华 \| 战斗力鹅 \| 回帖 0 注册时间 2006-10-2 头像被屏蔽	发表于 2010-3-21 13:59 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽

	回复使用道具举报