手工清除severe.exe病毒

最近,笔者在做计算机维护时发现有几台计算机中了一种不知名的病毒,感染这种病毒的症状如下:
1、 计算机系统时间被修改为2004年;
2、 系统无法显示隐藏的文件和文件夹,在“文件夹选项”设置显示隐藏的文件和文件夹后,再次打开“文件夹选项”,会发现又恢复到以前的设置,即“不显示隐藏的文件和文件夹”;
3、 杀毒软件无法正常启动和运行,部分系统程序和安全工具无法运行,如:msconfig.exe、regedit.exe、冰刃(icesword)、360安全卫士等;
4、 系统进程中会有tfidma.exe、severe.exe两个进程,在系统安全模式和正常模式下都会随系统启动,且强制关闭后,这两个进程会马上启动;
5、 系统的hosts文件被修改,造成部分网站域名被劫持,当访问这些网站时,网站无法打开;
6、 在系统分区的根目录下有oso.exe和autorun.inf两个隐藏文件,当我们双击系统分区的盘符时,系统会执行autorun.inf文件中的命令,运行oso.exe文件。
一、清除病毒方法
尽管我们可以将msconfig.exe等程序改名或者将程序的扩展名修改成scr、com后运行,但系统进程中的病毒程序tfidam.exe和severe.exe还是会将我们运行msconfig.exe等程序所修改的系统设置恢复到以前的状态,难道就没有办法对付这种病毒了吗?答案当然是否定的,病毒的制造者疏忽了一点,那就是我们可以利用组策略使tfidam.exe和severe.exe在开机时无法运行,然后将其删除。单击“开始”—“运行”,在“运行”对话框“打开”栏中输入“gpedit.msc”后,单击“确定”按钮。在出现的组策略窗口中,依次展开“用户配置”、“管理模板”、“系统”,此时在右侧的窗口中可以看到一个“不要运行指定的Windows应用程序”选项,双击该项,打开相应的窗口,如图1所示。
 


图1
依次选择“已启用”、“显示”、“添加”,分别将tfidam.exe和severe.exe加入其中。然后重新启动计算机,进入系统后,我们会发现进程中已经没有了tfidam.exe和severe.exe两个进程,并且msconfig等程序也可以运行了。这个方法对大部分木马病毒都很有效,大家以后如果遇到比较顽固的病毒时,可以试试这个方法。因为在正常情况下,通过系统的浏览文件功能无法查看到tfidam.exe和severe.exe,所以我们运行冰刃(icesword),使用它的文件浏览功能,将c:\windows\system32目录下的tfidam.exe和severe.exe删除掉。
二、 恢复系统设置
1、 将系统时间修改为正常时间;
2、 打开注册表修改HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL下的checkedvalue值为1,系统恢复显示所有文件和文件夹功能;
3、 使用“AUTO病毒专杀”这款软件,将系统分区的根目录下的oso.exe和autorun.inf清除掉;
4、 使用360安全卫士自动修复被修改的hosts文件。
三、 防范措施
为避免以后再次感染severe.exe或其他病毒,笔者建议:
1、安装杀毒软件以及软件防火墙,经常升级杀毒软件,更新病毒代码库,定期对系统进行全面杀毒;
2、经常升级系统及应用软件补丁;
3、不要轻易打开来历不明的可疑的文件,不轻易打开邮箱中的附件,在打开前先使用杀毒软件扫描一下。不浏览不良网站,养成良好的上网习惯;
4、关闭不需要的系统服务;
5、关闭Guest帐号或者给其起一个足够复杂的密码,并为其他用户也起上复杂的密码;
6、禁止所有用户对c:\windows\system32下的cmd.exe,net.exe和net1.exe这三个文件访问,在我们需要访问这些文件的时候再加上访问用户。

文章如转载,请注明转载自【网管小王的独立博客】:http://www.5iadmin.com/

你可能感兴趣的:(根目录,计算机系统,安全卫士,安全模式,的)