瑞星卡卡安全论坛

此毒样本由“流星陨落”发在了“版主之家”http://forum.ikaka.com/topic.asp?board=38&artid=8441909

运行这个egro.exe样本后，释放的文件见图1。除此之外，IE临时文件夹中还有很多。

这个毒添加的加载项比较特殊：
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
userinit（指向c:\windows\system32\mgmrwmrv.exe，见图2）。
SRENG、AUTORUNS、ICESWORD等均扫不到这个怪怪的启动项。有点儿意思。

此外，此毒运行后不停的反复写HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\"DisableTaskMgr"=dword:00000001（禁用任务管理器），没完没了。

咱什么都不做。先试试用IceSword能否删除HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\userinit。
结果————删掉了。而且病毒浑然不知此userinit键值被用户删了。汗！

重启系统看看。

重启后，再次展开HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\，userinit键值不见了。汗！关机前也不知道回写一下。菜！
彻底删除HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon。
接下来。删除图1所示的病毒文件，清空IE临时文件夹。完事。

病毒写入的其它注册表垃圾用TuneUp清理一下，结束。

图1

[用户系统信息]Opera/9.26 (Windows NT 5.1; U; zh-cn)


附件: 155847200845104502.jpg

图2

附件: 155847200845104524.jpg

又一个无聊的毒。

网络求助中最不好折腾的。

没突破瑞星吧....昨天刚刚实机测试这家伙啊


..

这个毒好无聊！
PS：有些工具应该增加对注册表的抑制再生功能。

SRENG、AUTORUNS、ICESWORD等均扫不到这个怪怪的启动项

这却是为何

引用:

【秋叶濛濛的贴子】SRENG、AUTORUNS、ICESWORD等均扫不到这个怪怪的启动项 这却是为何 ………………

因为病毒写入的这个winlogon键在HKCU分支下。正常的HKCU分支下并无winlogon键（此键位于HKLM分支）。

引用:

【baohe的贴子】 因为病毒写入的这个winlogon键在HKCU分支下。正常的HKCU分支下并无winlogon键（此键位于HKLM分支）。 ………………

学习了 感谢猫叔

【回复“天月来了”的帖子】
觉得也是
跟着我叔学习了!

这个……
有没有Tune up注册码阿

彻底删除HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon。

不仔细看还以为是HKLM下的呢~~

向猫叔学习~~

学习注册表知识,感谢猫版分享