今天升级到47。21以后 做了全盘杀毒

疯了！！！ 杀毒提示不停的弹出来 C盘一个Worm.cnt.c D盘 n个 E盘 n个

全是这个Worm.cnt.c 最后觉的不对劲直接停止杀毒 要是再杀一会 电脑文件就删光

了！！！这到底是我电脑真的有那么多病毒还是47.21有问题？？

汇报一下 瑞星杀毒成果：D盘 杀掉几十部珍藏的电子书。E盘 杀掉装机备份的一些常用软

件 包括瑞星的升级包 网络快车 IE6.0 HijackThis 等等等等

杀的我心都虚了 还有盘没给杀 要不电脑就空了

现在电脑连游戏都打不了 点开游戏目录就提示 游戏UpdateOnline.exe 是这个该死的Wor

m.cnt.c 去瑞星网站上查询病毒信息缺什么都没写 光有瑞星版本号

谁能告诉我这是怎么了？？

47.21疯了 还是我自己疯了？

应该是有病毒把自身代码加进了其他正常软件的文件中

没见过这种情况,说不清.

我也中了Worm.cnt.c这个毒，传播速度好快，查出200多个。建议你在设置里选择发现病毒时直接杀毒而不是删除，这样文件本身就能保留了。等高人救助啊。

病毒分类　　WINDOWS下的PE病毒
病毒名称　　Worm.cnt.c
瑞星版本号　18.47.21

瑞星升级到最新后进入安全模式查杀
病毒描述：
该病毒属木马类。病毒使用Windows图片浏览器的图标，用以迷惑用户点击运行。病毒运行后，复制自身到系统目录% WINDIR%下，释放病毒文件，修改注册表，添加启动项，以达到随机启动的目的，连接网络，开启本地端口，下载病毒文件，修改用户QICQ密码，盗取用户的敏感信息，并使QICQ带有“QQ尾巴”，自动发送含有被挂马的网站信息，终止反病毒软件的进程，阻止杀毒软件的安装。该病毒对用户有较大危害。
行为分析：
1、病毒使用Windows图片浏览器的图标，用以迷惑用户点击运行。
2、病毒运行后，复制自身到系统目录%WINDIR%下，释放病毒文件：
%WINDIR%\niw.exe
%system32%\impai.exe
3、修改注册表，添加启动项，以达到随机启动的目的：
修改的注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile
\shell\open\command
原键值：字串："默认"="%SystemRoot%\system32
\NOTEPAD.EXE %1."
修改的键值：字串："默认"="C:\WINDOWS\system32
\impai.exe "%1""
新建注册表项：
HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\Run
键值: 字串: "NIW "="C:\WINDOWS\NIW.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run
键值: 字串: "Desktop"="C:\WINDOWS\system32
\rundll32.exe"
"C:\Program Files\DeskAdTop\Run.dll" ,Rundll"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{08A312BB-5409-49FC-9347-54BB7D069AC6}\
键值: 字串: "默认"="MonitorURL Class"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{08A312BB-5409-49FC-9347
54BB7D069AC6}\InprocServer32\
键值: 字串: "默认"="C:\PROGRA~1\DESKAD~1
\deskipn.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
\{08A312BB-5409-49FC-9347-54BB7D069AC6}\InprocServer32\
键值: 字串: "ThreadingModel "="Apartment"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{08A312BB-5409-49FC-9347-54BB7D069AC6}\ProgID
键值: 字串: "默认"="MonitorIE.MonitorURL.1"//本文来自电脑软硬件应用网www.45it.com转载请注明
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{08A312BB-5409-49FC-9347
54BB7D069AC6}\VersionIndependentProgID
键值: 字串: "默认"="MonitorIE.MonitorURL"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.
MonitorURL.1
键值: 字串: "默认"="MonitorURL Class"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.
MonitorURL.1\CLSID
键值: 字串: "默认"="{08A312BB-5409-49FC-9347-54BB7D069AC6}"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL
键值: 字串: "默认"="MonitorURL Class"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.
MonitorURL\CLSID
键值: 字串: "默认"="{08A312BB-5409-49FC-9347-54BB7D069AC6}"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.
MonitorURL\CurVer
键值: 字串: "默认"="MonitorIE.MonitorURL.1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\
{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0\0\win32
键值: 字串: "默认"="C:\Program Files\DeskAdTop\deskipn.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\
{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0
键值: 字串: "默认"="MonitorIE 1.0 Type Library"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\
{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0\
键值: 字串: "HELPDIR"="C:\Program Files\DeskAdTop\"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
键值: 字串: "DownloadManager"="C:\WINDOWS\system32
\rundll32.exe"C:\Program Files\DeskAdTop\Run.dll" ,Rundll"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Uninstall\桌面媒体
键值: 字串: " DisplayName "="桌面媒体"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Uninstall\桌面媒体
键值: 字串: "SetupPath"="C:\Program Files\DeskAdTop\"//本文来自电脑软硬件应用网www.45it.com转载请注明
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Uninstall\桌面媒体
键值: 字串: "UninstallString"="C:\Program Files\DeskAdTop\DeskUn.exe"
4、连接网络，开启本地端口，下载病毒文件：
协议：TCP
端口：随机开启本地1024以上端口，如：1124
IP地址：210.51.168.69
下载的病毒文件：
%system32%\tmdown.exe
%system32%\tmdown1.exe
%Program Files%\deskadtop\_uninstall
%Program Files%\deskadtop\allverx.dat
%Program Files%\deskadtop\deskipn.dll
%Program Files%\deskadtop\DeskUn.exe
%Program Files%\deskadtop\Mrup.exe
%Program Files%\deskadtop\Run.dll
%Program Files%\deskadtop\sinfo.ini
5、修改用户QICQ密码，盗取用户的敏感信息，并使QICQ带有“QQ尾巴”，自动发送含有被挂马的网站信息：
QQ尾巴内容为：
咱们老同学的校友录有新留言了,你看看吧!
http://www.0451m***.com/img/chianren.htm
6、终止反病毒软件的进程，阻止杀毒软件的安装。
注： % System%是一个可变路径。病毒通过查询作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\ Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
清除方案 ：
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
(2) 删除病毒文件
%WINDIR%\niw.exe
%system32%\impai.exe
%system32%\tmdown.exe
%system32%\tmdown1.exe
%Program Files%\deskadtop\_uninstall
%Program Files%\deskadtop\allverx.dat
%Program Files%\deskadtop\deskipn.dll
%Program Files%\deskadtop\DeskUn.exe
%Program Files%\deskadtop\Mrup.exe
%Program Files%\deskadtop\Run.dll
%Program Files%\deskadtop\sinfo.ini
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
修改注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile
\shell\open\command//本文来自电脑软硬件应用网www.45it.com转载请注明
键值：字串："默认"="C:\WINDOWS\system32
\impai.exe "%1""
改为：
键值：字串："默认"="%SystemRoot%\system32
\NOTEPAD.EXE %1."
删除以下注册表项：
HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\Run
键值: 字串: "NIW "="C:\WINDOWS\NIW.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Run
键值: 字串: "Desktop"="C:\WINDOWS\system32
\rundll32.exe"C:\Program Files\DeskAdTop\Run.dll" ,Rundll"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
\{08A312BB-5409-49FC-9347-54BB7D069AC6}\
键值: 字串: "默认"="MonitorURL Class"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
\{08A312BB-5409-49FC-9347-54BB7D069AC6}\InprocServer32\
键值: 字串: "默认"="C:\PROGRA~1\DESKAD~1\deskipn.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
\{08A312BB-5409-49FC-9347-54BB7D069AC6}\InprocServer32\
键值: 字串: "ThreadingModel "="Apartment"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
\{08A312BB-5409-49FC-9347-54BB7D069AC6}\ProgID
键值: 字串: "默认"="MonitorIE.MonitorURL.1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
\{08A312BB-5409-49FC-9347-54BB7D069AC6}\VersionIndependentProgID
键值: 字串: "默认"="MonitorIE.MonitorURL"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.
MonitorURL.1
键值: 字串: "默认"="MonitorURL Class"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.
MonitorURL.1\CLSID
键值: 字串: "默认"="{08A312BB-5409-49FC-9347-54BB7D069AC6}"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL
键值: 字串: "默认"="MonitorURL Class"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.
MonitorURL\CLSID//本文来自电脑软硬件应用网www.45it.com转载请注明
键值: 字串: "默认"="{08A312BB-5409-49FC-9347-54BB7D069AC6}"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE
.MonitorURL\CurVer
键值: 字串: "默认"="MonitorIE.MonitorURL.1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\
{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0\0\win32
键值: 字串: "默认"="C:\Program Files\DeskAdTop\deskipn.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib
\{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0
键值: 字串: "默认"="MonitorIE 1.0 Type Library"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\
{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0\
键值: 字串: "HELPDIR"="C:\Program Files\DeskAdTop\"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
键值: 字串: "DownloadManager"="C:\WINDOWS\system32
\rundll32.exe"C:\Program Files\DeskAdTop\Run.dll" ,Rundll"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Window
s\CurrentVersion\Uninstall\桌面媒体
键值: 字串: " DisplayName "="桌面媒体"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Uninstall\桌面媒体
键值: 字串: "SetupPath"="C:\Program Files\DeskAdTop\"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Uninstall\桌面媒体
键值: 字串: "UninstallString"="C:\Program Files
\DeskAdTop\DeskUn.exe"//

本文来自电脑软硬件应用网www.45it.com转载请注明