Lovgate病毒移除经验

这两天公司不少计算机感染了Lovgate病毒,  这是见过的最厉害的病毒, 我将自己的处理经验写出来。
病毒全名: W32.HLLW.Lovgate.?@mm (?代表Lovgate的各个变种)
传播途径: 网络共享、邮件
最大特点:
        1、以administrator用户名访问目标计算机的管理员共享(admin$), 并进行密码的枚举，空密码、1234、test等都是枚举的范围，如果成功破解密码，就进行感染行动。普通everyone完全控制的共享更是它优先照顾的对象。
        2、防病毒软件无法彻底实时防护，即时防病毒软件正常运行，只要有传播途径，还是会被感染，而且它能使防病毒软件失效。
处理方法:
1、阻断传播途径：
        A、更改管理员密码
        B、关闭everyone完全控制的共享, 最彻底的方法是禁用文件与打印共享
        C、关闭%SystemRoot%\Media共享，是病毒自己创建的共享
2、检查并关闭病毒进程
        A、关闭所有exploier.exe进程
        B、关闭所有iexplore.exe进程
        C、关闭所有iexplorer.exe进程
        这三个进程是感染lovgate明显的症状。
3、删除%SystemRoot%\system32\下的iexplore.exe与iexplorer.exe, 如果不能删除，将它们重命名,  待处理完重启后再删除。
4、删除相应的注册表项:

    A、[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
        " Program In Windows"="C:\\WINNT\\System32\\IEXPLORE.EXE"
        "WinHelp"="C:\\WINNT\\System32\\TkBellExe.exe"
         "Hardware Profile"="C:\\WINNT\\System32\\hxdef.exe"
        "Microsoft  Associates, Inc."="iexplorer.exe"
        "Shell Extension"="C:\\WINNT\\System32\\spollsv.exe"

    B、[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\runServices]
"SystemTra"="C:\\WINNT\\CdPlay.EXE"
"COM++   System"="Exploier.exe"

    C、从注册表中删除恶意程序服务项目 
       HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>   Services>Windows Management Instrumentation Driver Extension 
        HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>  Services>NetMeeting Remote Desktop (RPC) Sharing         HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>Microsoft NetWork FireWall Services

4、下载专门的Lovgate病毒移除工具, 比如Symantec或瑞星的，清除系统中的病毒
5、重启计算机后，卸载旧的防病毒软件(感染lovgate后, 防病毒软件会被lovgate病毒破坏)，重新安装防病毒软件，更新病毒定义文件。

附: 病毒枚举的密码列表:

Guest

Administrator

zxcv

yxcv

xxx

win

test123

test

temp123

temp

sybase

super

sex

secret

pwd

pw123

Password

owner

oracle

mypc123

mypc

mypass123

mypass

love

login

Login

Internet

home

godblessyou

god

enable

database

computer

alpha

admin123

Admin

abcd

aaa

88888888

2600

2004

2003

123asd

123abc

123456789

1234567

123123

121212

11111111

110

007

00000000

000000

pass

54321

12345

password

passwd

server

sql

!@#$%^&*

!@#$%^&

!@#$%^

!@#$%

asdfgh

asdf

!@#$

1234

111

root

abc123

12345678

abcdefg

abcdef

abc

888888

666666

111111

admin

administrator

guest

654321

123456

321

123