病毒清理头脑风暴

Question

我正在清理朋友计算机上的病毒，到目前为止我已经设法清理了 Windows 运行时。但是，重新启动后，恶意软件会再次出现。另一个症状是受感染的计算机无法在安全模式下启动。

到目前为止，我怀疑是恶意软件服务或驱动程序导致了这种情况，后者是最有利的选择，尤其是。鉴于安全模式问题。

但是，重新分区、重新格式化和重新安装windows后，与病毒相关的进程仍然存在。不是最初，而是在第一次启动后不久。

顺便提一下 - 它是一个 Win XP 盒子，有 2 个分区，重新安装和格式化是在安装操作系统的分区上完成的。另一个只有数据，但由于我没有从这个分区启动任何东西，我想不出一些可以执行已经感染的 EXE 文件的自动系统进程。

任何人都可以提出关于这个东西如何/在哪里连接的想法，以便它在重新启动和重新安装后重新出现？我检查了标准注册表项（HKLM 和 HKCU 的 Run*），所有可疑服务都被禁用，INI 文件中没有任何花哨的东西（通过 MSCONFIG）等。

欢迎任何想法！这是我遇到过的最恼人的恶意软件......（我会在其他时间写下我如何清理运行时:)）

Answer 1

无论如何，如果病毒 exec 在您的计算机上运行，​​则几乎没有机会确保可以完全删除所有痕迹。

确保它被完全删除的唯一方法是：

• 正确识别病毒
• 如果病毒属于任何下载器类型，请忽略它。您无法 100% 确保完全删除所有痕迹、rootkit、扫描程序和诸如此类的东西。
• 如果它不是下载器，请确保它不是存在于“desktop.ini”等中的病毒。取出磁盘，将其插入另一台装有防病毒软件的计算机。运行扫描。
• 清除病毒。

当然，你可以把它当作一项运动来猎取它，你会从中学到很多东西。大多数当前的病毒由几个连接方式不同的部分组成。

使用 Process Explorer、Filemon、Regedit 来追捕它。好几次了。