20CN网络安全小组论坛 - 网吧专题 - 请教清病毒高手解决GOG.EXE

论坛: 网吧专题标题: 请教清病毒高手解决GOG.EXE

作者: hheond [hheond]

论坛用户

这是一个盗传奇号的木马程序（Trojan.PWLMir.ef）,此木马主要感染EXE文件，
中此木马后硬盘上所有EXE文件无一幸免，每一个EXE文件都被绑定200K的启动木马的程序。也就说当你重装系统后，你只是消除了C盘的木马程序，当你运行D盘或E盘里的可执行文件时，木马又被加载了，当你再重启电脑时，你的系统启动不到windows桌面，用CTRL+alt+del你可以看到有一个gog.exe和另一个文件在运行，大约两分钟后会弹出资源管理器。
瑞星2004（更新病毒库）可以查出此木马，但用它杀过后，所有的EXE都不能用了

地主发表时间: 04-08-18 13:41

回复: zhong [zhong]

见习版主

gog.exe病毒，目前国产软件杀不了，这种病毒好象是通过QQ感染的，主要感染.exe文件，gog.exe存在于c:\windows目录下，同时还有gog.sys，有键盘监视功能，严重时不能进入windows系统，进入系统只能看到空白桌面（任务栏都看不到），用结束任务组合键只能看到gog和它附带的进程（98系统），explore和internat都看不到。在网上搜索相关信息发现该病毒修改了.exe的关联，使所有应用程序无法启动。简单的格式化或者ghost都不行，只能重新分区格式化。（我想可能是病毒向分区表写了数据，但是网吧太忙，没时间细查）
在此提醒各位大虾，QQ的时候多加小心，这种恶性病毒还是不要碰的好，可惜我已经重新分区了，不然把病毒打包上来给各位看看。呵呵

我不知道我说的好用不好用!

重新启动机器，开机按ctrl键不放，进入纯dos状态，他好象不感染dos执行文件，删除windows启动要加载的其他盘符的应用程序，如kav等，到d盘执行dir *.exe /a /s /b > 1.txt
将所有的exe文件列表导出，重起到win，这时应该系统是干净的，到其他机器上掉个uedit什么的，编辑1.txt，用行列模式在每行前面加deltree /y，删除d盘上的所有执行文件，
然后在从其他机器上拷贝这些执行文件，可以复制刚才的代码。
copy \\xxx\d\age\xxxx.exe d:\age\xxxx.exe 当然文件多，用行列模式填充几秒搞定，最后保存为bat文件，运行，d盘的病毒自然是干干净净。我昨天也着这个东西弄了一台机器，5分钟搞定。

gog木马的清除方法

这是一个盗传奇号的木马程序（Trojan.PWLMir.ef）,此木马主要感染EXE文件，
中此木马后硬盘上所有EXE文件无一幸免，每一个EXE文件都被绑定200K的启动木马的程序。也就说当你重装系统后，你只是消除了C盘的木马程序，当你运行D盘或E盘里的可执行文件时，木马又被加载了，当你再重启电脑时，你的系统启动不到windows桌面，用CTRL+alt+del你可以看到有一个gog.exe和另一个文件在运行，大约两分钟后会弹出资源管理器。
瑞星2004（更新病毒库）可以查出此木马，但用它杀过后，所有的EXE都不能用了。
我的解决方法是：不过是针对网吧。
第一步，在没有中毒的电脑上将D盘和E盘的所有EXE文件（包括文件夹里的）以原路径复制下来,然后用winrar压缩之。（注：这是关键的一步，一定要注意路径哟。）第二步，将C盘用ghost恢复系统，第三步，拷贝做好的压缩文件到本机解压覆盖所有的EXE。这样以后总算再中招也不怕了。哈哈，以后三分钟就可以搞定。（二分钟恢复系统，一分钟解压EXE压缩包。）

B1层发表时间: 04-08-18 14:26

论坛: 网吧专题