20CN网络安全小组论坛 - 病毒专区 - 清除“鬼影”病毒的一个方法

论坛: 病毒专区标题: 清除“鬼影”病毒的一个方法

作者: rovecat [rovecat]

版主

段时间来，“鬼影”病毒颇为盛行。这个病毒利用硬盘MBR的代码漏洞，将病毒体的一部分放到硬盘的MBR扇区，致使病毒在系统启动前就加载，常规方法没办法清除。
这里介绍一个在PE系统下清除病毒的方法，这个方法的原理是：硬盘是从光盘或U盘启动，没有触发病毒，因此可以用软件清除硬盘MBR中的病毒。用到的软件是Diskgenius，免费的，一般的PE都有这个软件。
1、启动PE，运行Diskgenius，点“硬盘”→重建主引导记录（MBR），
2、再点“硬盘”→清除保留扇区。
3、在PE下备份C盘的资料，然后重装系统。如果不想重装系统，可以在PE下杀毒，或挂硬盘到其它电脑中杀毒。

附注：

看了网友的回帖后，发现部分网友说在dos下运行fdisk /mbr可以解决这个病毒，
但这些网友忽略了一点：DOS系统的MBR和Nt5x（XP）的MBR是有区别的，
不相信的可以在正常的XP系统上试试用DOS的MBR引导nt5x看看。

“鬼影”病毒实际是分两部分的，一部分在MBR中，一部分在系统中，两者相互保护，单清除其中一个是没有效果的。硬盘中的这部分最具杀伤力，如果电脑所在的网络环境良好，下载速度很快的话，几分钟后，系统就能变成一个“大毒窝”。可能“鬼影”的作者事先没有跟其它木马、病毒作者联合，过早推出，否则会造成更大的危害

地主发表时间: 10-12-23 20:57

论坛: 病毒专区