请问这个 病毒怎么删

是oso.exe还是sos.exe 如果是oso.exe的话,就是个很有名的病毒,到网上随便搜一下oso.exe就会有很多方法,如果是sos.exe的话我还没见过,估计是新的 不过可以提供一个通用的思路 1:挺进程 2:删文件 3:清注册表 注意一些常用的工具可能需要改名执行,否则会激活病毒 其实上面三句是废话...

是oso.exe吧? 【 在 just4fun2008 (潜水杀手) 的大作中提到: 】 : 我 的电脑上每个盘都有，文件名是 : SOS.EXE还有AUTORUN.INF,现在弄的QQ都不能上了！！

恩，是我搞错了，是0S0.exe，这个怎么杀！

网上查把 有手杀办法 我杀过两次 【 在 just4fun2008 (潜水杀手) 的大作中提到: 】 : 恩，是我搞错了，是0S0.exe，这个怎么杀！

OSO.exe 我没看过这么狠的病毒！【病毒分析】行为恶劣的U盘病毒OSO.exe分析与查杀 作者：http://hi.baidu.com/sd8u8 『时代网络家族』 病毒名：Worm.Pabug.ck 大小：38,132 字节 MD5：2391109c40ccb0f982b86af86cfbc900 加壳方式：FSG2.0 编写语言：Delphi 传播方式：通过移动介质或网页恶意脚本传播 经虚拟机中运行，与脱壳后OD分析结合，其行为如下： 文件创建： %systemroot%\system32\gfosdg.exe %systemroot%\system32\gfosdg.dll %systemroot%\system32\severe.exe %systemroot%\system32\drivers\mpnxyl.exe %systemroot%\system32\drivers\conime.exe %systemroot%\system32\hx1.bat %systemroot%\system32\noruns.reg X:\OSO.exe X:\autorun.inf X指非系统盘符 %systemroot%是环境变量，对于装在C盘的Windows XP系统，默认路径为C:\WINDOWS文件夹，以下以此假设进行分析。 创建进程： %systemroot%\system32\gfosdg.exe %systemroot%\system32\severe.exe %systemroot%\system32\drivers\conime.exe 使用net stop命令，结束可能存在的杀毒软件服务 调用sc.exe， config [对应服务] start=disabled 禁用这些服务 被结束和禁用的服务包括： srservice sharedaccess（此即系统自带防火墙——笔者注） KVWSC KVSrvXP kavsvc RsRavMon RsCCenter 其中，在结束瑞星服务的过程中，由于瑞星会弹出提示，病毒作了相应处理： 用FindWindowA函数，捕捉标题为"瑞星提示"的窗口 用FindWindowExA函数，找到其中“是(&Y)”的按钮 用SendMessageA函数向系统发送信息，相当于按下此按钮 禁止或结束以下进程运行，包括但不限于： PFW.exe Kav.exe KVOL.exe KVFW.exe adam.exe qqav.exe qqkav.exe TBMon.exe kav32.exe kvwsc.exe CCAPP.exe EGHOST.exe KRegEx.exe kavsvc.exe VPTray.exe RAVMON.exe KavPFW.exe SHSTAT.exe RavTask.exe TrojDie.kxp Iparmor.exe MAILMON.exe MCAGENT.exe KAVPLUS.exe RavMonD.exe Rtvscan.exe Nvsvc32.exe KVMonXP.exe Kvsrvxp.exe CCenter.exe KpopMon.exe RfwMain.exe KWATCHUI.exe MCVSESCN.exe MSKAGENT.exe kvolself.exe KVCenter.kxp kavstart.exe RAVTIMER.exe RRfwMain.exe FireTray.exe UpdaterUI.exe KVSrvXp_1.exe RavService.exe 创建noruns.reg，并导入注册表，之后删除此文件。导入内容： [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoDriveTypeAutoRun"=dword:b5 改变驱动器的autorun方式（在我的虚拟机里没有实现） 修改注册表，创建启动项（后来在SREng日志中可见的项目）： [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] <mpnxyl><C:\WINDOWS\system32\gfosdg.exe> [N/A] <gfosdg><C:\WINDOWS\system32\severe.exe> [N/A] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] <shell><Explorer.exe C:\WINDOWS\system32\drivers\conime.exe> [N/A] 为预防瑞星注册表监控提示，故伎重施： 用FindWindowA函数捕捉标题为“瑞星注册表监控提示”的窗口 用mouse_event控制鼠标自动选择允许修改。 访问注册表 [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\advanced\folder\hidden\showall] CheckedValue键 破坏显示隐藏文件的功能（这一点在我的虚拟机中没有实现，可能是被TINY或SSM默认阻止了） 然而，做了这么多工作除去杀毒软件之后，作者似乎觉得还不保险，他终于使出了“杀手锏”： 在注册表 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options] 创建以安全软件程序名为名的子项 子项中创建子键 "Debugger"="C:\\WINDOWS\\system32\\drivers\\mpnxyl.exe" 使得这些程序在被双击运行时，均会转为运行病毒文件mpnxyl.exe 形如： [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe] "Debugger"="C:\\WINDOWS\\system32\\drivers\\mpnxyl.exe" autoruns的日志中可以清楚地看到这些项目，以及遭到这种手法“蹂躏”的程序： + 360Safe.exe c:\windows\system32\drivers\mpnxyl.exe + adam.exe c:\windows\system32\drivers\mpnxyl.exe + avp.com c:\windows\system32\drivers\mpnxyl.exe + avp.exe c:\windows\system32\drivers\mpnxyl.exe + IceSword.exe c:\windows\system32\drivers\mpnxyl.exe + iparmo.exe c:\windows\system32\drivers\mpnxyl.exe + kabaload.exe c:\windows\system32\drivers\mpnxyl.exe + KRegEx.exe c:\windows\system32\drivers\mpnxyl.exe + KvDetect.exe c:\windows\system32\drivers\mpnxyl.exe + KVMonXP.kxp c:\windows\system32\drivers\mpnxyl.exe + KvXP.kxp c:\windows\system32\drivers\mpnxyl.exe + MagicSet.exe c:\windows\system32\drivers\mpnxyl.exe + mmsk.exe c:\windows\system32\drivers\mpnxyl.exe + msconfig.com c:\windows\system32\drivers\mpnxyl.exe + msconfig.exe c:\windows\system32\drivers\mpnxyl.exe + PFW.exe c:\windows\system32\drivers\mpnxyl.exe + PFWLiveUpdate.exe c:\windows\system32\drivers\mpnxyl.exe + QQDoctor.exe c:\windows\system32\drivers\mpnxyl.exe + Ras.exe c:\windows\system32\drivers\mpnxyl.exe + Rav.exe c:\windows\system32\drivers\mpnxyl.exe + RavMon.exe c:\windows\system32\drivers\mpnxyl.exe + regedit.com c:\windows\system32\drivers\mpnxyl.exe + regedit.exe c:\windows\system32\drivers\mpnxyl.exe + runiep.exe c:\windows\system32\drivers\mpnxyl.exe + SREng.EXE c:\windows\system32\drivers\mpnxyl.exe + TrojDie.kxp c:\windows\system32\drivers\mpnxyl.exe + WoptiClean.exe c:\windows\system32\drivers\mpnxyl.exe 删除卡卡助手的dll文件kakatool.dll（的确这么做了，虚拟机运行的结果和程序代码里的内容相映证） 为了堵死中毒者的“后路”，又采取了另一种卑劣的手法 修改hosts文件，屏蔽杀毒软件厂商的网站，卡卡社区“有幸”成为被屏蔽的其中一员： 这是后来用SREng看到的结果，在程序代码里也有相应内容： 127.0.0.1 mmsk.cn 127.0.0.1 ikaka.com 127.0.0.1 safe.qq.com 127.0.0.1 360safe.com 127.0.0.1 www.mmsk.cn 127.0.0.1 www.ikaka.com 127.0.0.1 tool.ikaka.com 127.0.0.1 www.360safe.com 127.0.0.1 zs.kingsoft.com 127.0.0.1 forum.ikaka.com 127.0.0.1 up.rising.com.cn 127.0.0.1 scan.kingsoft.com 127.0.0.1 kvup.jiangmin.com 127.0.0.1 reg.rising.com.cn 127.0.0.1 update.rising.com.cn 127.0.0.1 update7.jiangmin.com 127.0.0.1 download.rising.com.cn 127.0.0.1 dnl-us1.kaspersky-labs.com 127.0.0.1 dnl-us2.kaspersky-labs.com 127.0.0.1 dnl-us3.kaspersky-labs.com 127.0.0.1 dnl-us4.kaspersky-labs.com 127.0.0.1 dnl-us5.kaspersky-labs.com 127.0.0.1 dnl-us6.kaspersky-labs.com 127.0.0.1 dnl-us7.kaspersky-labs.com 127.0.0.1 dnl-us8.kaspersky-labs.com 127.0.0.1 dnl-us9.kaspersky-labs.com 127.0.0.1 dnl-us10.kaspersky-labs.com 127.0.0.1 dnl-eu1.kaspersky-labs.com 127.0.0.1 dnl-eu2.kaspersky-labs.com 127.0.0.1 dnl-eu3.kaspersky-labs.com 127.0.0.1 dnl-eu4.kaspersky-labs.com 127.0.0.1 dnl-eu5.kaspersky-labs.com 127.0.0.1 dnl-eu6.kaspersky-labs.com 127.0.0.1 dnl-eu7.kaspersky-labs.com 127.0.0.1 dnl-eu8.kaspersky-labs.com 127.0.0.1 dnl-eu9.kaspersky-labs.com 127.0.0.1 dnl-eu10.kaspersky-labs.com 另外： hx1.bat内容： @echo off set date=2004-1-22 ping ** localhost > nul date %date% del %0 改日期？不过在虚拟机里没有实现 autorun.inf的内容： [AutoRun] open=OSO.exe shellexecute=OSO.exe shell\Auto\command=OSO.exe 如果你要从右键菜单来判别，很不幸，右键菜单完全看不出异常，无论你是双击还是右键，同样会激活病毒！ TINY还记录到，病毒关闭系统还原服务后再打开。这恐怕会导致丢失还原点的结果。 至此这个十分恶劣的病毒的行为分析告一段落，下面介绍清除方法（上面内容看得头晕的会员们，直接看清除方法即可） 清除方法归结为一句话：“夹缝中求生” IceSword.exe、SREng.exe均被禁，但只需将文件改名，照样可以运行 autoruns.exe则不在被禁的行列 其他的被禁程序，一步步解禁 具体过程： 结束进程： %systemroot%\system32\gfosdg.exe %systemroot%\system32\severe.exe %systemroot%\system32\drivers\conime.exe 没有发现此病毒禁用任务管理器。也可以用其他工具如procexp等 用autoruns删除以下项目（建议用autoruns，一是没被禁，二是一目了然，注意先选Options-Hide Microsoft Entries）： + 360Safe.exe c:\windows\system32\drivers\mpnxyl.exe + adam.exe c:\windows\system32\drivers\mpnxyl.exe + avp.com c:\windows\system32\drivers\mpnxyl.exe + avp.exe c:\windows\system32\drivers\mpnxyl.exe + IceSword.exe c:\windows\system32\drivers\mpnxyl.exe + iparmo.exe c:\windows\system32\drivers\mpnxyl.exe + kabaload.exe c:\windows\system32\drivers\mpnxyl.exe + KRegEx.exe c:\windows\system32\drivers\mpnxyl.exe + KvDetect.exe c:\windows\system32\drivers\mpnxyl.exe + KVMonXP.kxp c:\windows\system32\drivers\mpnxyl.exe + KvXP.kxp c:\windows\system32\drivers\mpnxyl.exe + MagicSet.exe c:\windows\system32\drivers\mpnxyl.exe + mmsk.exe c:\windows\system32\drivers\mpnxyl.exe + msconfig.com c:\windows\system32\drivers\mpnxyl.exe + msconfig.exe c:\windows\system32\drivers\mpnxyl.exe + PFW.exe c:\windows\system32\drivers\mpnxyl.exe + PFWLiveUpdate.exe c:\windows\system32\drivers\mpnxyl.exe + QQDoctor.exe c:\windows\system32\drivers\mpnxyl.exe + Ras.exe c:\windows\system32\drivers\mpnxyl.exe + Rav.exe c:\windows\system32\drivers\mpnxyl.exe + RavMon.exe c:\windows\system32\drivers\mpnxyl.exe + regedit.com c:\windows\system32\drivers\mpnxyl.exe + regedit.exe c:\windows\system32\drivers\mpnxyl.exe + runiep.exe c:\windows\system32\drivers\mpnxyl.exe + SREng.EXE c:\windows\system32\drivers\mpnxyl.exe + TrojDie.kxp c:\windows\system32\drivers\mpnxyl.exe + WoptiClean.exe c:\windows\system32\drivers\mpnxyl.exe 这样包括IceSword、SREng、注册表编辑器和系统配置实用程序在内的部分程序不再被禁止 删除或修改启动项： 以用SREng为例 在“启动项目”-“注册表”中删除： [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] <mpnxyl><C:\WINDOWS\system32\gfosdg.exe> [N/A] <gfosdg><C:\WINDOWS\system32\severe.exe> [N/A] 双击以下项目，把“值”中Explorer.exe后面的内容删除 [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] <shell><Explorer.exe C:\WINDOWS\system32\drivers\conime.exe> [N/A] 删除文件： 由于非系统盘即便右键打开也会有危险，应该采用其他方法，推荐用IceSword或WINRAR来做 删除： %systemroot%\system32\gfosdg.exe %systemroot%\system32\gfosdg.dll %systemroot%\system32\severe.exe %systemroot%\system32\drivers\mpnxyl.exe %systemroot%\system32\drivers\conime.exe %systemroot%\system32\hx1.bat %systemroot%\system32\noruns.reg X:\OSO.exe X:\autorun.inf 系统修复与清理： 在注册表展开 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] 建议将原CheckedValue键删除，再新建正常的键值： "CheckedValue"=dword:00000001 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoDriveTypeAutoRun键的值，是否要改，要改为什么，视乎各人所需，一般默认为91（十六进制的） 此键的含义，请搜索网上资料，在此不再赘述 HOSTS文件的清理 可以用记事本打开%systemroot%\system32\drivers\etc\hosts，清除被病毒加入的内容 也可以用SREng在“系统修复”-“HOSTS文件”中点“重置”，然后点“保存” 最后修复一下服务被破坏的杀毒软件。 小结： 从拿到样本到方法写完，历时整整五小时。之所以要说得如此详细，是因为这个病毒相当的典型，尤其是它对付安全软件的几种方法。右键菜单没变化，也是比较“隐蔽”而且给清除带来麻烦的一个特征。对付这个病毒，也要在“知己知彼”的基础上，灵活运用方法和工具。 我的总结 1:把你手头要用到的一些工具改名,比如把regedit.exe改成abc.com 2:停掉进程servere.exe conime.exe,然后上文提到的systemroot%\system32\gfosdg.exe,这个病毒名好像是随机的把,记不清了 3:删除病毒文件 4:修复注册表键值

下个超级巡警 那个能杀掉oso进程 而且我发现只有那个能杀 然后自己该注册表什么的 然后用卡卡助手恢复一些被病毒改得设置就行了 【 在 TossgirL (单身的鼠王) 的大作中提到: 】 : OSO.exe : 我没看过这么狠的病毒！【病毒分析】行为恶劣的U盘病毒OSO.exe分析与查杀 : 作者：http://hi.baidu.com/sd8u8 : ...................

只有超级巡警能杀?汗...

只是停止那个进程 还不是杀 【 在 TossgirL (单身的鼠王) 的大作中提到: 】 : 只有超级巡警能杀?汗...

楼上了,说太多啦. 其实手动就可以的啦. 运行--cmd 举个例子,如果D里有,那么: dir d: /a attrib d:\autorun.inf -s -h -r del d:\autorun.inf 删OSO.EXE也是同理. 一般来说,这个毒在每个盘里都有的,你得用dir ?: /a都走一遍. 不过,要注意的是,如果你的电脑里的有些EXE的东西被毁了,这样杀也是没用的. 如果是这样,那就把你的硬盘挂到一个没中的机子上,然后在那个机子上,用如上方面杀,杀完再重装系统. 以后,可得小心,因为这个病毒现在还没有专杀工具.