如何彻底清除鬼影病毒？彻底清理鬼影病毒方法

一.cad有别于传统的病毒,大多是利用lisp语言编写,在cad启动时自动加载,并自动生成后缀l为sp,fans的程序且到处传播,致使许多杀毒软件也无能为力,甚至重装cad也不能解决问题。3、病毒寄生在磁盘主引导记录（mbr），即使格式化重装系统，也无法将病毒清除出去，所以会出现重装也没用的现象。近期变种机器狗木马病毒猖獗，此病毒采用hook系统的磁盘设备栈来达到穿透目的的，危害。

鬼影病毒

据金山安全实验室工程师说，“鬼影”病毒是较为罕见的技术型病毒，直接改写MBR的技术主要在国外技术论坛传播，在“鬼影”病毒之前，这一技术少有被黑客实际利用的案例。

另据金山安全实验室研究人员透露，在目前国内安全厂商和民间反病毒高手中，能够完整分析“鬼影”病毒的人屈指可数。因病毒寄生于硬盘的主引导记录(MBR)，病毒释放的驱动程序能够破坏大多数安全工具和系统辅助工具，在已经中毒的情况下，很难使用山已经推出了鬼影专杀工具。

金山毒霸已经升级，可查杀传播“鬼影”病毒的母体文件，避免更多用户受“鬼影”病毒之害，用户只需要升级即可获得相应防御能力。金山网盾已将传播该病毒的恶意网页加入阻止访问的列表，防止更多用户下载这个神秘的“鬼影”病毒。

病毒特征

1、无需寄主 结束所有杀毒软件。

这个图标是你中了广告类的木马，木马病毒修改了你的注册并劫持了图标，点击这个图标就会进入被劫持的主页，达到木马点击主页的目的。“初始页”变种bym病毒是一个会伪装成杀毒软件的木马病毒，该病毒运行后会修改ie浏览器默认主页设置，同时关闭“windows安全中心”，禁用“windows防火墙”，并通过骇客指定的链接下载“antivirus2009”木马病毒到用户的计算机上。通过u盘等可移动存储设备传播侵入用户电脑之后，会禁用任务管理器、锁定浏览器主页和隐藏系统文 件，还会从黑客指定网站下载盗号木马、病毒等。

2、颠覆传统 重装系统无法清除。

一般的电脑病毒是Windows系统下的应用程序，在Windows加载之后才运行。而“鬼影”病毒的主要代码是寄生在硬盘的主引导记录(MBR)，即使用户重装了系统，仍无法将其完全清除。当系统再次重启时，该病毒会早于操作系统内核先行加载。而当病毒成功运行后，在进程中、系统启动加载项里找不到任何异常，病毒就象“鬼影”一样在中毒电脑上“阴魂不散”。“鬼影”病毒是国内首个引导区下载者病毒，颠覆了传统病毒的感染特点以及用户处理病毒问题的思维定势，不仅做到了“三无”特性——无文件、无系统启动项、无进程模块，而且即使用户重装了系统，该病毒依然会再次进入用户新系统。

3、安全软件失效 电脑明显变慢

“鬼影”病毒入侵后，会释放驱动程序改写硬盘MBR(主引导记录)，驱动程序在开机过程中攻击众多杀毒软件，令杀毒软件失效，再下载传统的AV终结者木马下载器，最终目的依然是通过传播盗号木马，窃取用户虚拟财产牟利。鬼影病毒专杀工具中毒后，最直观的现象是安全软件无法正常运行，电脑明显变慢，IE主页被改。

工作原理

1、“鬼影”病毒母体运行后，会释放两个驱动到用户电脑中，并加载。和母体病毒捆绑在一起其它流氓软件会修改桌面快捷方式，尝试修改IE属性。

(分析：病毒传播者这样做的目的可能是为了转移安全厂商的目标，便于病毒的真正母体隐藏得更好)

对hook了系统关键进程的模块卸载可能导致系统重启，这与该模块的写法有关系，所以卸载不了的模块不要强求卸载，可以先删除该模块的启动项或文件（驱动加载情况下使用删除后重启文件即消失）。驱动加载的情况下，wsyscheck的删除功能已经够用了，大多数文件都可以立即删除（进程模块可以直接使用右键下带删除的各项功能），加载的dll文件删除后虽然文件仍然可见，但事实上已删除，重启后该文件消失。病毒驱动加载时，将自已挂到fltmgr驱动的设备链表里，然后将自己的驱动对象从系统链表里给擦除掉，使得系统中的其他进程（如pchunter）在遍历系统驱动设备对象时无法找到该驱动，并且通过病毒驱动的设备(lcfguard)找到的驱动也是fltmgr，我们通过图5可以看到病毒驱动信息。

3、病毒母体自删除。

2.1.3、引导日志、基本视频、os引导信息用于记录系统在引导启动的时候的一些常规记录和问题记录，用来帮助用户确定启动问题(如驱动加载问题等)并定位解决。服务器开机后，windows server 2003系统盘引导启动，到加载驱动界面时，按f6，驱动加载完成后，会弹出一界面，按s键，系统自动加载从软驱中加载raid卡驱动。 于是问题来了，服务器不支持win 2003，那只能从系统光盘引导安装了，可偏偏普通的光盘启动是找不到组成了raid的硬盘，一般是要在安装启动时按“f6”通过软驱来加载raid驱动才可以的，但是现在已经淘汰了软驱，所以也无法通过按“f6”来加载服务器的阵列驱动。

5、b驱动加载起来后，会监视系统中的所有进程模块，若存在安全软件的进程，直接结束。

6、b驱动会下载av终结者到电脑中，并运行。

1.病毒木马原因导致的，因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，使svchost成为病毒的傀儡进程，进行病毒下载操作，从而下载大量木马，盗取用户信息。1.病毒木马原因导致的 ， 因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，使svchost成为病毒的傀儡进程，进行病毒下载操作，从而下载大量木马，盗取用户信息。1、病毒木马原因导致的，因为svchost进程启动各种服务，所以病毒、木马也想尽办法来利用它，企图利用它的特性来迷惑用户，使svchost成为病毒的傀儡进程，进行病毒下载操作，从而下载大量木马，盗取用户信息。

8、该病毒只针对WinXP系统，尚不能破坏Vista和Win7系统。(目前最新的变种可以感染Vista、Win7和Win8，但在Win8/Win8.1无法破坏MBR，无法注入病毒驱动程序，比较容易处理)

病毒症状

重装qqbeta6无数次 杀毒无数次不好使就是qq2009用不了别的任何程序都很正常 qq2008也能用憋闷坏了哎~~希望 各位能迅速帮忙解决~。1 内存条坏了 更换内存条 2 双内存不兼容 使用同品牌的内存或只要一条内存 3 内存质量问题 更换内存条 4 散热问题 加强机箱内部的散热 5 内存和主板没插好或其他硬件不兼容 重插内存或换个插槽 6 硬件有问题 更换硬盘 7 驱动问题 重装驱动,如果是新系统,应先安装主板驱动 8 软件损坏 重装软件 9 软件有bug 打补丁或更新到最新版本 10 软件和系统不兼容 给软件打上补丁或是试试系统的兼容模式 11 软件和软件之间有冲突 如果最近安装了什么新软件,卸载了试试 12 软件要使用其他相关的软件有问题 重装相关软件,比如播放某一格式的文件时出错,可能是这个文件的有问题 13 病毒问题 杀毒 14 杀毒软件与系统或软件相冲突 由于杀毒软件是进入底层监控系统的,可能与一些软件相冲突,卸载试试 15 系统本身有问题 有时候操作系统本身也会有bug,要注意安装官方发行的更新程序,象sp的补丁,最好打上.如果还不行,重装系统,或更换其他版本的系统。gho是通过ghost工具备份的系统映像，可以用于系统还原或重装操作，gho文件可以直接进行重装，不用再进行解压，gho可以直接本地重装，也可以通过u盘重装，但是很还不清楚gh...。

可牛杀毒crossfire文件修复工具是可牛杀毒推出的穿越火线文件修复工具，可以帮助用户修复因病毒等原因损坏的穿越火线游戏文件，并查杀穿越火线盗号木马，解决穿越火线无法打开或登录的问题。近日由于玩家反馈运行《穿越火线》游戏会出现tenvf警告码的弹框提示，这种情况很可能是由于盗号木马感染游戏文件的造成，建议您立即修改qq登录密码（ 修改密码请登录qq安全中心 ），并查杀木马病毒，同时请重新下载正确的安全组件。近日接到玩家反馈运行《英雄联盟》游戏会出现tenvf警告码的弹框提示，这种情况很可能是由于盗号木马感染游戏文件造成的，建议您立即修改qq登录密码（ 登录qq安全中心 可修改密码），并查杀木马病毒，同时请重新下载正确的安全组件。

3、QQ号码被盗，可被黑客用来传播广告等。魔兽、DNF、天龙八部、梦幻西游等游戏账号被盗。

4、进程中存在iexplore.exe进程并指向一个不正常的网站。

5、鬼影共同特征就是进程里有ali.exe

6、你的电脑桌面上出现了一个讨厌的“播放器”快捷方式，而且删不掉。

7、鬼影病毒还有一个特征就是任何软件(有些例外如360急救箱)，会在7——12秒内自动关闭，一些鬼影病毒可以屏蔽一些“纯鬼影专杀”，当启动专杀时，会发山系统急救箱)，才可以清除。

8、还有一个共同点就是中了该病毒之后，电脑如果只装有一块硬盘可以启动系统，如果电脑装有两块硬盘以上，或者插了U盘。进入系统时就会出现蓝屏。(蓝屏原因是分区错误)

鬼影病毒处理方法：

一、重建引导并重装系统

格式化C盘，进入dos状态，运行：

fdisk/mbr

四，用户也可以直接登录瑞星等反病毒网站来下载相应的补丁程序，这时就只能再次用手工清除该病毒：dir msblast．exe ／s／p3．找到后进入病毒所在的子目录，以防止计算机重复感染，然后通过没感染该病毒的计算机下载相应的补丁、windows 2000，然后搜索c盘，就是启动系统后进入安全模式，给系统打上补丁、用户手工清除了病毒体后，所有使用windows nt，手工清除病毒、windows xp“冲击波”病毒是针对windows rpc服务漏洞进行攻击的病毒。u盘是我们日常生活和办公中经常会用到的存储工具，而现在木马病毒肆意横行，u盘就会有可能感染上病毒，比如当u盘感染u盘感染ripper病毒后，就很难删除清理了，如果不彻底清理这种病毒，对u盘的损害就非常大了，那么windows7系统下要怎么快速清除u盘ripper病毒呢。如果中了蠕虫病毒一定要立即查杀，遇到感染类的蠕虫病毒可以这样,先下载360系统急救箱保存到d盘,重启按f8进入带网络连接的安全模式,使用360系统急救箱进行查杀，这样就查杀的比较彻底了，然后启动360杀毒，360安全卫士的木马云查杀功能查杀清除残留就可以了。

1、通过启动盘(U大侠启动盘 下载)进入PQ/PM分区工具，一般启动盘都带的。

2、 右击c盘，选择进阶-设为作用，这样就把MBR引导层重新写了一遍，这样在引导层中的病毒也自然被剔除了。

3、 之后直接用启动盘安装系统就OK了。

二、DMS手动查杀方法

DOS下手动查杀方法

第1步：找专杀工具：这里推荐使用“一键ghost“，其中的dos工具箱自带的小工具diskrw即可完美解决。第一步：找专杀工具：这里推荐使用“一键ghost“，其中的dos工具箱自带的小工具diskrw就可以完美解决。推荐下载：磁碟机病毒专杀工具(lsass.exe和smss.exe专杀工具)。

2、杀除MBR病毒

①、清除MBR以外的硬盘保留扇区。安装或制作好“一键GHOST”，开机进入一键GHOST，最终出现红色界面时按ESC键退回到主菜单，按方向键选择“DOS工具箱”-->“DISKRW“ --> ”3.清除“ --> ”清除(2)“ --> 确定。(注意，尽量使用最新版，更早的版本不能保证有此功能)。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-96375-1.html