荔园在线
荔园之美，在春之萌芽，在夏之绽放，在秋之收获，在冬之沉淀
[回到开始]
[上一篇][下一篇]
发信人: gordonlot (人渣有理), 信区: Virus
标 题: 近期的计算机热门病毒特征及防毒透视
发信站: 荔园晨风BBS站 (Tue May 14 12:54:01 2002), 转信
计算机病毒作为伴随计算机发展过程中的产物，从一诞生就像黑色的幽灵时常游
荡在计算机用户的身边，不仅侵害用户的计算机系统，还给广大的用户带来各种经
济损失。近日，计算机病毒再次肆虐全球，引起了人们的重视。据了解，一种新型
“求职信”变种病毒能够携带ＣＩＨ１．２版本通过邮件向外大量传播，这种新的
变种病毒属于双重交叉感染的病毒，是一个ＣＩＨ１．２版本包含在求职信病毒Ｋ
ｌｅｚ中来传播的情况；另外还有“ＣＩＨ病毒”，该病毒将破坏硬盘数据甚至损
坏硬件；“求职信”新变种Ｈ，该病毒用户只要预览就可能感染
，它会自动搜索邮件地址传播自身。
尽管计算机专家一直提醒电脑个人及企业用户应当注意防范电脑病毒，但４．
２６来临时电脑病毒还是阴魂不散，愈演愈烈，给用户带来了不少危害。如今，４
．２６已过，但还是需要提醒广大用户要时刻警惕。下面我们就介绍一下这几种电
脑病毒的特征及防治方法。
目前大规模流行的“求职信”病毒新变种和原来的“求职信”病毒一样，通过邮件
进行传播，并具有七大特征：
１、“求职信”系列变种病毒利用微软系统的漏洞，可以自动感染，无须打开附件
，因此危害性很大。
２、这次的变种具有很强的隐蔽性，可以“随机应变”地自动改换不同的邮件主题
和内容，瓦解邮件接收者的警惕性。
３、在邮件内部存放发送信息的一部分，这些变种病毒会伪造虚假信息，掩盖病毒
的真实来源。
４、能够绕开一些流行杀毒软件的监控，甚至专门针对一些杀毒软件进行攻击。
５、除开可以在网络上利用邮件进行传播外，这些变种病毒还可以利用局域网上的
共享文件夹进行传染，其传播特点类似“尼姆达”病毒，因此对于某些不能查杀局
域网共享文件病毒的单机版杀毒软件，这将意味着在网络环境下，根本无法彻底清
除病毒。
６、目前已经开始在网络上出现的一些“求职信”变种的专杀工具，由于无法适用
于所有的变种，因此在杀除一些变种病毒时，会连病毒带文件一同删除，结果造成
杀病毒把电脑一起“杀死”的情况。
７、传统杀毒软件清除该病毒需要在ＤＯＳ系统下进行。
需要注意的是：一旦该网络蠕虫被运行的话，大多数的反病毒软件会被自动终
止。那么如何预防和清除该病毒呢？
预防方法：要阻止该网络蠕虫利用电子邮件传播，用户必须安装相应的补丁程序，
下载地址如下：ｗｗｗ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍ／ｔｅｃｈｎｅｔ／ｓｅｃ
ｕｒｉｔｙ／ｂｕｌｌｅｔｉｎ／ＭＳ０１－０２０．ａｓｐ。
在ＷＩＮＤＯＷＳ ９５９８ＭＥ系统下的清除：先运行在ＷＩＮＤＯＷＳ ９
５９８ＭＥ系统下的安全模式下，使用注册表编辑工具ｒｅｇｅｄｉｔ将网络
蠕虫增加的键值删除： ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥＳｏｆｔｗａｒ
ｅＭｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ Ｃｕｒｒｅｎｔ ＶｅｒｓｉｏｎＲｕ
ｎ和ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥＳｙｓｔｅｍＣｕｒｒｅｎｔＣｏｎ
ｔｒｏｌＳｅｔＳｅｒｖｉｃｅｓ要删除的注册表项目是ｗｉｎｋ－－？．ｅｘｅ
的键值。
同时还必须相应地将ＷＩＮＤＯＷＳ的ＳＹＳＴＥＭ目录下的该随机文件Ｗｉｎｋ
－－﹖．ｅｘｅ删除注意还必须将回收站清空。删除了相应的病毒文件后，可以
重新启动计算机，然后，在ＫＶＷ３０００的安装目录下执行ＫＶＤ３０００．Ｅ
ＸＥ来清除该病毒。注意：一些全部是网络蠕虫的程序或者文件是需要按照提示完
全删除的。
２在Ｗｉｎｄｏｗｓ ２０００ＸＰ系统下的清除
清除方法基本和Ｗｉｎｄｏｗｓ ９５９８ＭＥ系统下的清除方法相同：先以
安全模式启动计算机，运行注册表编辑工具，同样删除该网络蠕虫增加的键值：Ｈ
ＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥＳｙｓｔｅｍＣｕｒｒｅｎｔＣｏｎｔｒｏ
ｌＳｅｔＳｅｒｖｉｃｅｓ要删除病毒增加的表项是：
ｗｉｎｋ开头的随机的表项。当然你必须记住该项目的具体名称（虽然是随机的）
然后在系统目录下将该文件删除。注意该文件是隐含的，您必须打开显示所有文件
的选择项目才能查看该病毒文件。同样的注册表项还有ＨＫＥＹ＿ＬＯＣＡＬ＿Ｍ
ＡＣＨＩＮＥＳｏｆｔｗａｒｅＭｉｃｒｏｓｏｆｔ ＷｉｎｄｏｗｓＣｕｒｒｅ
ｎｔＶｅｒｓｉｏｎＲｕｎ。从以上分析可以看出，该网络蠕虫的传播感染使用了
多种手段、方法，几乎覆盖所有目前流行的传播方式，建议用户及时升级自己的Ｋ
Ｖ３０００查杀病毒软件来查杀该病毒。
ＣＩＨ病毒属文件型病毒，其别名有Ｗｉｎ９５．ＣＩＨ、Ｓｐａｃｅｆｉｌｌｅ
ｒ、Ｗｉｎ３２．ＣＩＨ、ＰＥ＿ＣＩＨ，它主要感染Ｗｉｎｄｏｗｓ９５／９８
下的可执行文件ＰＥ格式，Ｐｏｒｔａｂｌｅ Ｅｘｅｃｕｔａｂｌｅ Ｆｏｒｍ
ａｔ，目前的版本不感染ＤＯＳ以及ＷＩＮ ３．Ｘ下的可执行文件，并且在Ｗ
ｉｎ ＮＴ中无效。其发展过程经历了ｖ１．０，ｖ１．１、ｖ１．２、ｖ１．３
、ｖ１．４总共５个版本，目前最流行的是ｖ１．２版本。
ＣＩＨ属恶性病毒，当其发作条件成熟时，其将破坏硬盘数据，同时有可能破坏Ｂ
ＩＯＳ程序，其发作特征是：
１、以２０４８个扇区为单位，从硬盘主引导区开始依次往硬盘中写入垃圾数据，
直到硬盘数据被全部破坏为止
。最坏的情况下硬盘所有数据（含全部逻辑盘数据）均被破坏。
２、某些主板上的Ｆｌａｓｈ Ｒｏｍ中的ＢＩＯＳ信息将被清除。
感染ＣＩＨ病毒的特征：
由于流行的ＣＩＨ病毒版本中，其标识版本号的信息使用的是明文，所以可以通过
搜索可执行文件中的字符串来识别是否感染了ＣＩＨ病毒，搜索的特征串为“ＣＩ
Ｈ ｖ”或者是“ＣＩＨ ｖ１．”如果你想搜索更完全的特征字符串，可尝试“Ｃ
ＩＨ ｖ１．２ ＴＴＩＴ”、“ＣＩＨ ｖ１．３ ＴＴＩＴ”以及“ＣＩＨ ｖ１
．４ ＴＡＴＵＮＧ”，不要直接搜索“ＣＩＨ”特征串，因为此特征串在很多的
正常程序中也存在。它们的特征码正好是“ＣＩＨ（０ｘ４３；０ｘ４９；０ｘ４
８）”，容易产生误判。
具体的搜索方法为：首先开启“资源管理器”，选择其中的菜单功能“工具＞查找
＞文件或文件夹”，在弹出的“查找文件”设置窗口的“名称和位置”中输入查找
路径及文件名如：．ＥＸＥ，然后在“高级＞包含文字”栏中输入要查找的
特征字符串——“ＣＩＨ ｖ”，最后点取“查找键”即可开始查找工作。如果在
查找过程中，显示出一大堆符合查找特征的可执行文件，则表明您的计算机上已经
感染了ＣＩＨ病毒。
另外一个判断方法是在Ｗｉｎｄｏｗｓ ＰＥ文件中搜索ＩＭＡＧＥ＿ＮＴ＿ＳＩ
ＧＮＡＴＵＲ字段，也就是 ０ｘ００００４５５０，其代表的识别字符为“ＰＥ
００”，然后查看其前一个字节是否为０ｘ００，如果是，则表示程序未受感染，
如果为其他数值，则表示很可能已经感染了ＣＩＨ病毒。
最后一个判断方法是先搜索ＩＭＡＧＥ＿ＮＴ＿ＳＩＧＮＡＴＵＲＥ字段——“Ｐ
Ｅ００”，接着搜索其偏移０ｘ２８位置处的值是否为５５ ８Ｄ ４４ ２４ Ｆ８
３３ ＤＢ ６４，如果是，则表示此程序已被感染。
防治方法：由于ＣＩＨ病毒发作时的破坏性是破坏硬盘数据和清除某些主板上的Ｆ
ｌａｓｈ Ｒｏｍ中的ＢＩＯＳ信息，因此下面我们就介绍一下有关数据恢复的方
法。
对于硬盘数据恢复，瑞星为消费者提供了多种方法：
首先，可以直接使用瑞星杀毒软件来恢复。《瑞星杀毒软件２００２版》和《瑞星
杀毒软件２００２增强版》都具备了此项功能。当计算机遭到病毒侵害后，可以用
瑞星杀毒软件Ａ盘来启动计算机，进入瑞星杀毒软件ＤＯＳ版界面，选择“实用工
具”菜单中的“修复硬盘数据”选项，根据瑞星的提示，就可以很容易地对硬盘进
行恢复，恢复完毕后，重启计算机，数据将会失而复得。
其次，用户也可以登陆瑞星网站ｈｔｔｐ／／ｗｗｗ．ｒｉｓｉｎｇ．ｃｏｍ．
ｃｎ／ｒｅｇｉｓｔｅｒ／ｈａｒｄ／ｈａｒｄ．ｈｔｍ，下载硬盘修复专用工具
ＡＮＴＩＣＩＨ．ＥＸＥ 和 ＲＡＶ．ＲＥＣ，将这两个文件拷贝到软盘的同一路
径下，用无毒的系统软盘启动计算机，运行软盘上的ＡＮＴＩＣＩＨ．ＥＸＥ，该
程序将对硬盘进行扫描。扫描完成后，就可以根据提示，完成数据的恢复。需要指
出的是，如果用户的Ｃ盘是ＦＡＴ１６，而且破坏比较严重，修复时间可能比较长
。
“求职信”病毒ｈ防治方法：
１、系统补丁
没有装ＩＥ６的装ＩＥ６， ＩＥ５／ＩＥ５．５太多漏洞，而且微软对它们更新
速度与关注程度不如ＩＥ６所以建议升级到ＩＥ６ｈｔｔｐ／／ｗｗｗ．ｍｉ
ｃｒｏｓｏｆｔ．ｃｏｍ／ｄｏｗｎｌｏａｄｓ／ｒｅｌｅａｓｅ．ａｓｐ﹖Ｒｅ
ｌｅａｓｅＩＤ＝３２５５８ ，但是ＩＥ６漏洞也不少，所以装了ＩＥ６的也要
打补丁。
２０００或ＮＴ的机器有ＩＩＳ服务的话应先停止服务，打上补丁再启动。
ＩＩＳ补丁ｈｔｔｐ／／ｗｗｗ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍ／ｗｉｎｄｏｗ
ｓ２０００／ｄｏｗｎｌｏａｄｓ／ｃｒｉｔｉｃａｌ／ｑ２６９８６２／ｄｅｆ
ａｕｌｔ．ａｓｐ
如果嫌麻烦可以用ｗｉｎｄｏｗｓ ｕｐｄａｔｅ 有向导方式安装并时常用ｗｉ
ｎｄｏｗｓ ｕｐｄａｔｅ检查更新。
２、提高邮件客户端安全级别
大家一般都是用Ｏｕｔｌｏｏｋ Ｅｘｐｒｅｓｓ收信，修改它的安全级别：工具
－设置－安全－安全区域－选择受限区域较安全。
Ｏｕｔｌｏｏｋ与ＩＥ大同小异：工具－选项－安全－安全区域－受限区域（较安
全）。Ｆｏｘｍａｉｌ中帐户属性－字体与显示－使用嵌入式ＩＥ浏览器显示ｈｔ
ｍｌ邮件，这个开关不要打开。
３、安装防毒软件
现在多数防毒软件都有邮件监控与病毒防火墙，最少安装一种，象金山毒霸，并打
开邮件监控与病毒防火墙。
４、时常更新防毒软件
装了防毒软件不更新的话只相当于关门只关一半所以更新防毒软件很重要，最好
是设置防毒软件自动更新。
虽然以上介绍的是这几种病毒的防治方法，我们建议广大用户：对于中毒不深的情
况，可采取以上我们介绍的几种方法；如果涉及到关键重要数据，请及时求助专业
人员和数据恢复公司；对于普通用户，可直接对硬盘进行分区重新安装操作系统；
对于被破坏的主板，如果是品牌主板，请与厂家联系。
--
※ 来源:·荔园晨风BBS站 bbs.szu.edu.cn·[FROM: 192.168.48.221]
[回到开始]
[上一篇][下一篇]
荔园在线首页 友情链接：深圳大学 深大招生 荔园晨风BBS S-Term软件 网络书店