解析:频繁发作的恶性病毒HBKernel系列
HBKernel系列恶性病毒会下载系列盗号木马,典型的表现是清理专家会检测到大量DLL文件注入。 原病毒运行后释放HB***.dll,system.exe到%sys32dir%下,释放HBKernel32.sys到%sys32dir%\drivers下。 检测: system.exe; 启动项:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下的HBService32; HBKernel32.sys启动项:服务 HBKernel32; %sys32dir%\drivers下是否存在HBKernel32.sys; 查找HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows下的AppInit_DLLs中是否存在HB****.dll的启动项。 清除: 删除HBKernel32.sys,system.exe。 查找%sys32dir%下所有名为HB****.dll的文件,检查文件日期和大小,很不规则的命名,日期大小又相近的,可全部删除。(这里指手工方法) 删除病毒的其它加载项。 删除名为HBKernel32的服务; 删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下的HBService32。 |