鬼影病毒来了，就连重装系统也删不了它

来源：百度文库编辑：神马文学网时间：2024/04/28 13:49:15

金山安全实验室15日捕获一种名的“鬼影”电脑病毒，并表示，这是国内首个引导区下载者病毒，该病毒寄生在磁盘主引导记录，随某些共享软件捆绑安装进入电脑，中毒电脑即使格式化重装系统，也无法清除。目前日均感染电脑2-3万台。
病毒特征
以前，常听用户说，中毒了没关系，大不了重装系统。但现在，这句话将成为历史。3月15日，金山安全实验室捕获一种被命名为“鬼影”的电脑病毒，该病毒寄生在磁盘主引导记录（MBR），即使格式化重装系统，也无法将该病毒清除。当系统再次重启时，该病毒会早于操作系统内核先行加载。而当病毒成功运行后，在进程中、系统启动加载项里找不到任何异常，病毒就象“鬼影”一样在中毒电脑上“阴魂不散”。
1.“鬼影”病毒母体运行后，会释放两个驱动到用户电脑中，并加载。和母体病毒捆绑在一起其它流氓软件会修改桌面快捷方式，尝试修改IE属性。
（分析：病毒传播者这样做的目的可能是为了转移安全厂商的目标，便于病毒的真正母体隐藏得更好）
2.a驱动会修改系统的主引导记录（mbr)，并将b驱动写入磁盘，保证病毒是优先于系统启动，且病毒文件保存在系统之外。这样进入系统后，病毒加载入内存，但找不到任何启动项、找不到病毒文件、在进程中找不到任何进程模块。
（“鬼影”病毒是近年来极为罕见的技术型病毒，病毒作者具有高超的编程技巧。因WinXP系统的限制，一般手法改写MBR会被系统判定为非法，这也是引导区病毒接近消亡的重要因素。这种绕过Winxp的安全限制，直接改写MBR的技术一般称之为MBR-rootkit，主要在国外技术论坛传播，在 “鬼影”病毒之前，这一技术少有被黑客利用的案例。）
3.病毒母体自删除。
4.重启系统后，主引导记录（MBR）中的恶意代码会对windows系统的整个启动过程进行监控，发现系统加载ntldr文件时，插入恶意代码，使其加载b驱动。
5.b驱动加载起来后，会监视系统中的所有进程模块，若存在安全软件的进程，直接结束。
6.b驱动会下载av终结者到电脑中，并运行。
7.下载的av终结者病毒会修改系统文件，对安全软件进程添加大量的映像劫持，下载大量的盗号木马。进一步**用户的虚拟财产。
8.该病毒只针对Winxp系统，尚不能破坏Vista和Win7系统。
“鬼影”病毒的将来
该病毒开创了中国恶意软件编写的先河，预计该病毒的源文件将会成为黑色产业链中的抢手货，未来可能会有更多恶意软件利用“鬼影”病毒的MBR-rootkit技术长期驻留用户电脑。每一个划时代的病毒，都会令安全厂商头疼不已。
“鬼影”病毒如何防范
金山毒霸已经升级，可查杀传播“鬼影”病毒的母体文件，避免更多用户受“鬼影”病毒之害，用户只需要在线升级即可获得相应防御能力。金山网盾已将传播该病毒的恶意URL加入阻止访问的列表，防止更多用户下载这个神秘的“鬼影”病毒。

鬼影病毒来了，就连重装系统也删不了它冬天来了，春天也就不远了女人的脾气可以分为13级：读了它你也就释然了美国航母既然大摇大摆地来了，就不能让它风风光光地回去美航母既然大摇大摆地来了就不能让它风风光光地回去美航母既然大摇大摆来了，就不能让它风风光光回去美航母既然来了就不能让它风风光光地回去？“如果不喜欢，那就去改变，如果改变不了，那就去适应吧。如果做不到适应，那就只好回避吧。如果连回避也做不到，那就只有放弃吧。” 爱它就大声说出来冬天来了，春天也就不远了~-普普style-搜狐博客美航母既然大摇大摆来了，就不能让它风风光光回去 - 南海战士的个人空间 - 环球博客 - ... 就连上帝都看傻了眼连女儿也改变不了的崔永元:我没有那么愤怒(图) 难过了，就蹲下来，抱抱自己！原谅你，也放过自己... 难过了，就蹲下来，抱抱自己！原谅你，也放过自己--- 难过了，就蹲下来，抱抱自己！原谅你，也放过自己难过了，就蹲下来，抱抱自己！原谅你，也放过自己难过了，就蹲下来，抱抱自己！原谅你，也放过自己难过了，就蹲下来，抱抱自己！原谅你，也放过自己难过了，就蹲下来，抱抱自己，也放过自己…… 难过了，就蹲下来，抱抱自己！原谅你，也放过自己难过了，就蹲下来，抱抱自己！原谅你，也放过自己555 难过了，就蹲下来，抱抱自己！原谅你，也放过自己难过了，就蹲下来，抱抱自己。原谅你，也放过自己