logo1
\u7535\u8111\u4e2d\u4e86logo.exe\u75c5\u6bd2\u600e\u4e48\u529e\uff1f\u8fd9\u662f\u8f6c\u8f7d\u7f51\u4e0a\u4e00\u7bc7\u6587\u7ae0\uff1aLOGO.EXE\u75c5\u6bd2 \u4e0d\u5e78\u7684\u4e2d\u4e86\u5a01\u91d1\u75c5\u6bd2\uff0c\u88ab\u5bb3\u4e86\u51e0\u5929\uff0c\u672c\u4eba\u82e6\u82e6\u7814\u7a76\u4e862\u5929\u4e4b\u540e\u7ec8\u4e8e\u5c06\u5a01\u91d1\u75c5\u6bd2\u7ed9\u5f7b\u5e95\u6d88\u706d\uff01\u5c0f\u5174\u594b\u4e00\u4e0b\u3002 \u5404\u79cd\u6740\u6bd2\u8f6f\u4ef6\u548c\u7f51\u7edc\u4e0a\u7684\u4e13\u6740\u5de5\u5177\u6839\u672c\u65e0\u6cd5\u6839\u6cbb\u5a01\u91d1\u75c5\u6bd2\uff0c\u800c\u5404\u79cd\u65b9\u6cd5\u4e5f\u4ecb\u7ecd\u5f97\u8fc7\u4e8e\u7b80\u5355\uff0c\u4e0b\u9762\u6211\u5c31\u4e3a\u5927\u5bb6\u4ecb\u7ecd\u4e00\u5957\u5c06\u6740\u6bd2\u8f6f\u4ef6\u4e0e\u624b\u52a8\u6cbb\u7597\u4e8e\u4e00\u4f53\u7684\u8f6f\u4ef6\u5c06\u5a01\u91d1\u7ed9\u5f7b\u5e95\u6d88\u706d\uff01 1.\u4e2d\u6bd2\u4e4b\u540e\u65ad\u7f51\u9a6c\u4e0a\u91cd\u542f\u7535\u8111\uff0c\u91cd\u542f\u4e4b\u540e\u5982\u679c\u7535\u8111\u6709\u5148\u8fdb\u7684\u6740\u6bd2\u8f6f\u4ef6\uff08\u63a8\u8350\u4f7f\u7528\u5361\u5df4\u65af\u57fa\uff0c\u6211\u5c1d\u8bd5\u4e86\u4e09\u6b3e\u6740\u6bd2\u8f6f\u4ef6\uff0c\u6700\u540e\u53d1\u73b0\u53ea\u6709\u5361\u5df4\u80fd\u68c0\u6d4b\u51fa\u5927\u91cf\u75c5\u6bd2\uff0c\u5176\u4ed6\u7684\u53ea\u80fd\u67e5\u5f97\u51fa\u4e00\u70b9\u70b9\uff0c\u800c\u4e14\u8fd8\u6740\u4e0d\u6389\uff0c\u5230\u5904\u90fd\u6709\u7834\u89e3\u7684\u5361\u5df4\u4e0b\u8f7d\uff0c\u4e0d\u9ebb\u70e6\uff0c\u53ea\u8981\u6ce8\u610f\u4e0d\u8981\u4e0b\u8f7d\u5230\u75c5\u6bd2\u5c31OK\u4e86\uff09\u5219\u4f7f\u7528\u6740\u6bd2\uff08\u8bb0\u4f4f\u6b64\u671f\u95f4\u4e0d\u8981\u8054\u7f51\uff0c\u4e0d\u7136\u75c5\u6bd2\u4f1a\u81ea\u52a8\u4e0b\u8f7d\u6728\u9a6c\u7684\uff09\uff0c\u5982\u679c\u7535\u8111\u91cc\u9762\u6ca1\u6709\u5148\u8fdb\u7684\u6740\u6bd2\u8f6f\u4ef6\uff0c\u5c31\u8054\u7f51\u4e4b\u540e\u5feb\u5feb\u4e0b\u8f7d\u4e00\u4e2a\u7834\u89e3\u7248\u7684\u5361\u5df4\uff08\u5efa\u8bae\u987a\u5e26\u4e0b\u8f7d\u4e00\u4e2a\u5b89\u5168\u536b\u58eb\uff0c\u4e00\u4e2a\u5a01\u91d1\u745e\u661f\u4e13\u6740\uff09\u7136\u540e\u5347\u7ea7\u518d\u65ad\u7f51\uff0c\u4e00\u5b9a\u8981\u5feb\uff01\u5a01\u91d1\u590d\u5236\u5f97\u7279\u522b\u5feb\uff0c\u4f60\u7684\u901f\u8d8a\u5feb\uff0c\u8d8a\u5bb9\u6613\u6d88\u9e5a ? 2.\u6740\u6bd2\u8f6f\u4ef6\u51c6\u5907\u597d\u4e4b\u540e\u5c31\u5f00\u59cb\u6740\u6bd2\uff0c\u4f60\u4f1a\u53d1\u73b0\u7535\u8111\u6709\u5f88\u591a\u75c5\u6bd2\u548c\u6728\u9a6c\uff0c\u800c\u4e14\u4e00\u6b21\u5361\u5df4\u6839\u672c\u6d88\u706d\u4e0d\u4e86\uff0c\u4f46\u662f\u5a01\u91d1\u75c5\u6bd2\u6709\u4e00\u70b9\u5f88\u5389\u5bb3\uff01\u4f60\u7684\u5361\u5df4\u53ea\u80fd\u4f7f\u7528\u4e00\u6b21\uff0c\u7b2c\u4e8c\u6b21\u5a01\u91d1\u5c31\u4f1a\u514b\u5236\u4f60\u7684\u5361\u5df4\u4f7f\u5b83\u4e0d\u80fd\u6253\u5f00\u4e86\uff08\u6240\u4ee5\u8fd9\u6b21\u4e00\u5b9a\u8981\u628a\u67e5\u5230\u7684\u5168\u90e8\u6740\u4e86\uff09 \uff0c\u5982\u679c\u5728\u7b2c\u4e00\u6b65\u4e2d\u51c6\u5907\u4e86\u5b89\u5168\u536b\u58eb\u548c\u4e13\u6740\u5de5\u5177\u7684\u5728\u5361\u5df4\u6740\u5b8c\u4e4b\u540e\u5c06\u7535\u8111\u8f6c\u6362\u5230\u5b89\u5168\u6a21\u5f0f\uff08\u5f00\u673a\u65f6\u6309F8\u5c31\u53ef\u4ee5\u8fdb\u5165\u4e86\uff09\uff0c\u5728\u7528\u4e0a\u9762\u4e24\u4e2a\u5de5\u5177\u6740\u6740\uff08\u8fd9\u4e24\u4e2a\u4e0d\u662f\u592a\u6709\u7528\uff0c\u4e0d\u8fc7\u591a\u5c11\u4e5f\u80fd\u6d88\u706d\u4e00\u70b9\uff09\u3002 3.\u4e0a\u9762\u6b65\u9aa4\u5b8c\u6210\u4ee5\u540e\u521d\u671f\u5de5\u4f5c\u5c31\u57fa\u672c\u5b8c\u6210\uff0c\u63a5\u4e0b\u6765\u8fdb\u5165\u624b\u52a8\u6740\u6bd2\uff1a\u75c5\u6bd2\u662f\u5728windows\u76ee\u5f55\u4e0b\u751f\u6210dll.dll,logo1_.exe,rundl132.exe\u8fd9\u4e09\u4e2a\u6587\u4ef6\u3002\u800cdll.dll\u6ce8\u5165explorer.exe\u662f\u7531logo1_.exe\u6765\u5b8c\u6210\u3002\u75c5\u6bd2\u4f1a\u5728\u5f00\u673a\u81ea\u52a8\u6267\u884c\u4e2d\u52a0\u5165rundl132.exe \u9996\u5148\u6253\u5f00\u6211\u7684\u7535\u8111\uff01\u9009\u5de5\u5177\u2014\u2014\u6587\u4ef6\u5939\u9009\u9879\u2014\u2014\u67e5\u770b\uff08\u5feb\u6377\u952e\u6309ALT+T\u518d\u6309O\uff09\u4e2d\u7684"\u9690\u85cf\u53d7\u4fdd\u62a4\u7684\u64cd\u4f5c\u7cfb\u7edf\u6587\u4ef6(\u63a8\u8350)"\u7684\u52fe\u53d6\u6d88,\u628a"\u663e\u793a\u6240\u6709\u6587\u4ef6\u548c\u6587\u4ef6\u5939"\u9009\u4e2d\uff01 \u30101\u3011.\u6309CTRL+ALT+DEL\u5728\u4efb\u52a1\u7ba1\u7406\u5668\u4e2d\u628arundl132.exe,logo1_.exe\u7ed3\u675f\u6389(\u6ca1\u6709\u7684\u8bdd,\u4e0d\u7528\u64cd\u4f5c),\u5220\u9664C\u76d8\u5185\u7684logo1_.exel\u548crundl132.exe(\u4e0d\u77e5\u9053\u5728\u54ea\u91cc\u7684,\u53ef\u4ee5\u6253\u5f00\u6211\u7684\u7535\u8111\u6309CTRL+F\u7136\u540e\u641c\u7d22rundl132.exe,logo1_.exe) \u30102\u3011.\u56e0\u4e3aDLL.dll\u6a21\u5757\u88ab\u5199\u5165\u5230explorer\u4e2d,\u6240\u4ee5\u5220\u9664\u4e0d\u6389.\u4e0d\u8fc7\u80fd\u6709\u529e\u6cd5\u5220\u9664,\u6253\u5f00\u4efb\u52a1\u7ba1\u7406\u628a\u8fdb\u7a0b\u4e2d\u7684explorer.exe\u7ed3\u675f\u6389\uff0c\u63a5\u7740\u684c\u9762\u53d8\u6d88\u5931\u4e86\uff0c\u4e0d\u6015\uff01\u9009\u4e2d\u4efb\u52a1\u7ba1\u7406\u5668\u7684\u201c\u6587\u4ef6\uff08F\uff09\u201d\u2014\u2014\u201c\u65b0\u4efb\u52a1\uff08\u8fd0\u884c\u3002\u3002\uff09\uff08N\uff09\u201d\u7136\u540e\u8fd0\u884cexplorer.exe\u684c\u9762\u5c31\u53c8\u51fa\u6765\u4e86\uff01\u63a5\u7740\u628a\u5728C:\u76d8\u4e0b\u7684DLL.dll\u5220\u9664\u6389(\u6309CTRL+F\u67e5\u627e\u5b83,\u7136\u540e\u5220\u9664) \u30103\u3011.\u5728\u8fd0\u884c\u4e2d\u8f93\u5165regedit\u67e5\u627e\u6ce8\u518c\u8868\u952e\u503c\uff1a [HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW]\u5c06\u5176\u5220\u9664,\u7136\u540e\u6309CTRL+F\u67e5\u627e\u6ce8\u518c\u8868\u952e\u503crundl132.exe\u53ca\u5728\u8fd9\u9879\u4e2d\u7684\u6240\u6709\u952e\u503c\u5c06\u5176\u5220\u9664 \u30104\u3011.\u6253\u5f00\u6211\u7684\u7535\u8111\u6309CTRL+F\u7136\u540e\u641c\u7d22_desktop.ini,\u628a\u627e\u5230\u7684\u6240\u6709_desktop.ini\u5220\u9664(\u5220\u9664\u540e\u56fe\u6807\u8fd8\u663e\u793a\u5728\u90a3\u91cc,\u522b\u7ba1\u5b83,\u5173\u6389\u540e\u5728\u67e5\u4e00\u6b21\u770b\u770b\u662f\u5426\u8fd8\u6709) 4.\u5c06\u4e0a\u9762\u7684\u6b65\u9aa4\u7edf\u7edf\u5b8c\u6210\u4e4b\u540e\uff0c\u75c5\u6bd2\u5c31\u5df2\u7ecf\u4e0d\u80fd\u518d\u590d\u5236\u4e86\uff0c\u63a5\u4e0b\u6765\u5c31\u662f\u5220\u6389\u539f\u6709\u7684\u5361\u5df4\uff0c\u7136\u540e\u518d\u91cd\u65b0\u5c06\u5361\u5df4\u88c5\u4e00\u6b21\uff0c\u91cd\u542f\uff0c\u6740\u6bd2\uff08\u8fd9\u65f6\u5c31\u53ea\u9700\u5c06\u5269\u4e0b\u7684\u6728\u9a6c\u7ed9\u6d88\u706d\u6389\u5c31\u53ef\u4ee5\u4e86\uff09\uff0c\u6740\u5b8c\u6bd2\u4e4b\u540e\u518d\u91cd\u542f\uff0c\u5728\u6211\u7684\u7535\u8111\u91cc\u641c\u7d22\u770b\u6709\u6ca1\u6709_desktop.ini\u7684\u6587\u4ef6\uff0c\u5982\u679c\u6ca1\u6709\u7684\u8bdd\u5c31\u606d\u559c\u4f60\u75c5\u6bd2\u5168\u90e8\u6d88\u706d\uff0c\u5982\u679c\u8fd8\u6709\u7684\u8bdd\u5c31\u91cd\u590d\u4ee5\u4e0a\u6b65\u9aa4\u76f4\u81f3\u75c5\u6bd2\u5168\u90e8\u6d88\u706d\u3002 5.\u9632\u6b62\u518d\u6b21\u611f\u67d3 \u8fd0\u884c gpedit.msc \u6253\u5f00\u7ec4\u7b56\u7565 \u4f9d\u6b21\u5355\u51fb\u7528\u6237\u914d\u7f6e- \u7ba1\u7406\u6a21\u5757- \u7cfb\u7edf-\u6307\u5b9a\u4e0d\u7ed9windows\u8fd0\u884c\u7684\u7a0b\u5e8f\u70b9\u542f\u7528 \u7136\u540e \u70b9\u663e\u793a \u6dfb\u52a0 logo1_exe \u4e5f\u5c31\u662f\u75c5\u6bd2\u7684\u6e90\u6587\u4ef6 \u3002Q15315153\u6e9c\u6e9c
\u5a01\u91d1\u8815\u866b(Worm.Viking) \u8fd0\u884c\uff1aregedit\u53ef\u4ee5\u6253\u5f00\u6ce8\u518c\u8868\uff01 \u4e3b\u8981\u75c7\u72b6: 1\u3001\u5360\u7528\u5927\u91cf\u7f51\u901f\uff0c\u4f7f\u673a\u5668\u4f7f\u7528\u53d8\u5f97\u6781\u6162\u3002 2\u3001\u4f1a\u6346\u7ed1\u6240\u6709\u7684EXE\u6587\u4ef6\uff0c\u53ea\u8981\u4e00\u8fd0\u7528\u5e94\u7528\u7a0b\u5e8f\uff0c\u5728winnt/windows\u4e0b\u7684logo1.exe\u56fe\u6807\u5c31\u4f1a\u76f8\u5e94\u53d8\u6210\u5e94\u7528\u7a0b\u5e8f\u56fe\u6807\u3002 3\u3001\u6709\u65f6\u8fd8\u4f1a\u65f6\u800c\u4e0d\u65f6\u5730\u5f39\u51fa\u4e00\u4e9b\u7a0b\u5e8f\u6846\uff0c\u6709\u65f6\u5019\u5e94\u7528\u7a0b\u5e8f\u4e00\u8d77\u52a8\u5c31\u51fa\u9519\uff0c\u6709\u65f6\u5019\u8d77\u52a8\u4e86\u5c31\u88ab\u5f3a\u884c\u9000\u51fa\u3002 \u8be6\u7ec6\u6280\u672f\u4fe1\u606f\uff1a \u75c5\u6bd2\u8fd0\u884c\u540e\uff0c\u5728%Windir%\u751f\u6210 Logo1_.exe \u540c\u65f6\u4f1a\u5728windws\u6839\u76ee\u5f55\u751f\u6210\u4e00\u4e2a\u540d\u4e3a"virDll.dll"\u7684\u6587\u4ef6\u3002 %WinDir%\virDll.dll \u8be5\u8815\u866b\u4f1a\u5728\u7cfb\u7edf\u6ce8\u518c\u8868\u4e2d\u751f\u6210\u5982\u4e0b\u952e\u503c\uff1a [HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW] "auto" = "1" \u76d7\u53d6\u5bc6\u7801 \u75c5\u6bd2\u8bd5\u56fe\u767b\u9646\u5e76\u76d7\u53d6\u88ab\u611f\u67d3\u8ba1\u7b97\u673a\u4e2d\u7f51\u7edc\u6e38\u620f\u4f20\u59472\u7684\u5bc6\u7801\uff0c\u5c06\u6e38\u620f\u5bc6\u7801\u53d1\u9001\u5230\u8be5\u6728\u9a6c\u75c5\u6bd2\u7684\u690d\u5165\u8005\u624b\u4e2d\u3002 \u963b\u6b62\u4ee5\u4e0b\u6740\u6bd2\u8f6f\u4ef6\u7684\u8fd0\u884c \u75c5\u6bd2\u8bd5\u56fe\u7ec8\u6b62\u5305\u542b\u4e0b\u5217\u8fdb\u7a0b\u7684\u8fd0\u884c\uff0c\u8fd9\u4e9b\u591a\u4e3a\u6740\u6bd2\u8f6f\u4ef6\u7684\u8fdb\u7a0b\u3002 \u5305\u62ec\u5361\u516b\u65af\u57fa\uff0c\u91d1\u5c71\u516c\u53f8\u7684\u6bd2\u9738\u3002\u745e\u661f\u7b49\u300298%\u7684\u6740\u6bd2\u8f6f\u4ef6\u8fd0\u884c\u3002 \u56fd\u4ea7\u8f6f\u4ef6\u5728\u4e2d\u6bd2\u540e\u90fd\u88ab\u75c5\u6bd2\u6740\u6b7b\uff0c\u662f\u75c5\u6bd2\u6740\u6389-\u6740\u6bd2\u8f6f\u4ef6\u3002\u5982\u91d1\u5c71\uff0c\u745e\u661f\u7b49\u3002\u54ea\u4e9b\u8f6f\u4ef6\u53ef\u4ee5\u8ba4\u51fa\u75c5\u6bd2\u3002\u4f46\u662f\u8ba4\u51fa\u540e\u4e0d\u4e45\u5c31\u9635\u4ea1\u4e86\u3002 \u901a\u8fc7\u5199\u5165\u6587\u672c\u4fe1\u606f\u6539\u53d8"%System%\drivers\etc\hosts" \u6587\u4ef6\u3002\u8fd9\u5c31\u610f\u5473\u7740\uff0c\u5f53\u53d7\u611f\u67d3\u7684\u8ba1\u7b97\u673a\u6d4f\u89c8\u8bb8\u591a\u7ad9\u70b9\u65f6\uff08\u5305\u62ec\u4f17\u591a\u53cd\u75c5\u6bd2\u7ad9\u70b9\uff09\uff0c\u6d4f\u89c8\u5668\u5c31\u4f1a\u91cd\u5b9a\u5411\u523066.197.186.149\u3002 \u75c5\u6bd2\u611f\u67d3\u8fd0\u884cwindows\u64cd\u4f5c\u7cfb\u7edf\u7684\u8ba1\u7b97\u673a\uff0c\u5e76\u4e14\u901a\u8fc7\u5f00\u653e\u7684\u7f51\u7edc\u8d44\u6e90\u4f20\u64ad\u3002\u4e00\u65e6\u5b89\u88c5\uff0c\u8815\u866b\u5c06\u4f1a\u611f\u67d3\u53d7\u611f\u67d3\u8ba1\u7b97\u673a\u4e2d\u7684.exe\u6587\u4ef6\u3002 \u7f51\u5427\u906d\u6b64\u75c5\u6bd2\u7834\u574f\u9020\u6210\u5927\u9762\u79ef\u7684\u5361\u673a\uff0c\u762b\u75ea\u3002\u5371\u5bb3\u7a0b\u5ea6\u53ef\u4ee5\u548c\u4e16\u754c\u6392\u540d\u524d\u5341\u7684\u7231\u60c5\u540e\u95e8\u53d8\u79cd\u76f8\u6bd4\u3002\u8be5\u75c5\u6bd2\u53ef\u4ee5\u901a\u8fc7\u7f51\u7edc\u4f20\u64ad\uff0c\u4f20\u64ad\u5468\u671f\u4e3a3\u5206\u949f\u3002\u5982\u679c\u662f\u65b0\u505a\u7684\u7cfb\u7edf\u5904\u4e8e\u4e2d\u4e86\u6bd2\u7684\u7f51\u7edc\u73af\u5883\u5185\uff0c\u53ea\u8981\u90a3\u4e2a\u673a\u5668\u4e00\u4e0a\u7f51\uff0c3\u5206\u949f\u5185\u5fc5\u5b9a\u4e2d\u62db\u3002\u4e2d\u62db\u540e\u4f60\u5b89\u88c5 rising SkyNet Symantec McAfee Gate Rfw.exe RavMon.exe kill NAV \u7b49\u6740\u6bd2\u8f6f\u4ef6 \u90fd\u65e0\u6cd5\u8865\u6551\u4f60\u7684\u7cfb\u7edf\uff0c\u75c5\u6bd2\u6587\u4ef6 Logo1_.exe \u4e3a\u4e3b\u4f53\u75c5\u6bd2\uff0c\u4ed6\u81ea\u52a8\u751f\u6210\u75c5\u6bd2\u53d1\u4f5c\u6240\u9700\u8981\u7684\u7684 SWS32.DLL SWS.DLLL KILL.EXE \u7b49\u6587\u4ef6\u3002\u8fd9\u4e9b\u6587\u4ef6\u4e00\u4f46\u884d\u751f\u3002\u4ed6\u5c06\u8fc5\u901f\u611f\u67d3\u7cfb\u7edf\u5185EXPLORE \u7b49\u7cfb\u7edf\u6838\u5fc3\u8fdb\u7a0b \u53ca\u6240\u4ee5.exe \u7684\u53ef\u6267\u884c\u6587\u4ef6\uff0c\u5916\u89c2\u5178\u578b\u8868\u73b0\u75c7\u72b6\u4e3a \u4f20\u5947 \uff0c\u6ce1\u6ce1\u5802\uff0c\u7b49\u6e38\u620f\u56fe\u6807\u53d8\u8272\u3002 \u6b64\u65f6\u7cfb\u7edf\u8d44\u6e90\u53ef\u7528\u7387\u6781\u4f4e\uff0c\u4f60\u6bcf\u91cd\u65b0\u542f\u52a8\u4e00\u6b21\uff0c\u75c5\u6bd2\u5c31\u4f1a\u53d1\u4f5c\u4e00\u6b21\u3002 \u8be5\u75c5\u6bd2\u5bf9\u4e8e\u9632\u8303\u610f\u8bc6\u8f83\u5f31\uff0c\u8fd8\u539f\u8f6f\u4ef6\u672a\u80fd\u53ca\u65f6\u88c5\u5230\u4f4d\u7684\u7f51\u5427\u5341\u5206\u81f4\u547d\uff0c\u5176\u7f51\u7edc\u4f20\u64ad\u901f\u5ea6\u5341\u5206\u5feb\u6377\u6709\u6548\u3002\u65e7\u7248\u7684\u6740\u6bd2\u8f6f\u4ef6\u65e0\u6cd5\u68c0\u6d4b\uff0c\u65b0\u7248\u7684\u65e0\u6cd5\u5f7b\u5e95\u6839\u6740\u3002\u4e00\u4f46\u7f51\u5427\u5185\u67d0\u53f0\u673a\u5668\u4e2d\u4e86\u6b64\u75c5\u6bd2\uff0c\u90a3\u4e48\u8be5\u7f51\u5427\u6240\u6709\u672a\u4e2d\u6bd2\u7684\u673a\u5668\u90fd\u5904\u4e8e\u5371\u9669\u72b6\u6001\u3002\u7531\u4e8e\u75c5\u6bd2\u53d1\u4f5c\u8d2e\u7559\u4e8e\u5185\u5b58\u3002\u4e14\u901a\u8fc7EXPLORE.exe \u8fdb\u884c\u4f20\u64ad\u3002\u56e0\u6b64\u5373\u4f7f\u662f\u88c5\u4e86\u8fd8\u539f\u7cbe\u7075\uff0c\u8fd8\u539f\u5361\u7684\u673a\u5668\u4e5f\u540c\u6837\u4f1a\u88ab\u611f\u67d3\u3002\u4f60\u91cd\u65b0\u542f\u52a8\u540e\u7cfb\u7edf\u53ef\u4ee5\u8fd8\u539f\u3002\u4f46\u662f\u4f60\u4e00\u4f46\u5f00\u673a\u8fd8\u662f\u4f1a\u88ab\u611f\u67d3\u3002 \u75c5\u6bd2\u53d1\u4f5c\u4f1a\u751f\u6210\u53e6\u5916\u75c5\u6bd2 PWSteal.Lemir.Gen \u548c trojan.psw.lineage \u7b49\u7b49\u3002\u90fd\u662f\u4e9b\u975e\u5e38\u5389\u5bb3\u7684\u540e\u95e8\u7a0b\u5e8f\u3002\u548c\u5916\u6302\u75c5\u6bd2\u76f8\u4f3c\uff0c\u4f46\u662f\u5176\u5a01\u529b\u662f\u5916\u6302\u75c5\u6bd2\u768450\u500d\u4ee5\u4e0a\u3002\u5728WIN98\u5e73\u53f0\u4e0b\uff0c\u8be5\u75c5\u6bd2\u5a01\u5bb3\u6bd4\u8f83\u5c0f\u3002\u5728WIN2000 /XP/2003 \u5e73\u53f0\u5bf9\u4e8e\u7f51\u5427\u7cfb\u7edf\u662f\u81f4\u547d\u7684\uff0c\u8fd0\u884c\u7cfb\u7edf\u6781\u5ea6\u5361\u673a\u3002\u4f60\u91cd\u65b0\u542f\u52a8\u540e\u4f60\u4f1a\u53d1\u73b0\u4f60\u6240\u6709\u6e38\u620f\u7684.EXE \u7a0b\u5e8f\u5168\u90e8\u90fd\u611f\u67d3\u4e86\uff0c\u6700\u65b0\u6740\u6bd2\u8f6f\u4ef6\u6740\u5b8c\u540e\u3002\u9664\u4e86\u7cfb\u7edf\u53ef\u4ee5\u52c9\u5f3a\u8fd0\u884c\u3002\u5176\u4ed6\u7684\u4f60\u4e5f\u522b\u60f3\u8fd0\u884c\u4e86\u3002 \u75c5\u6bd2\u6e05\u7406\u529e\u6cd5 \u5982\u679c\u5728\u75c5\u6bd2\u6ca1\u6709\u53d1\u4f5c\u60c5\u51b5\u4e0b\u6740\u6bd2\u662f\u53ef\u4ee5\u5b8c\u5168\u641e\u5b9a\u7684\u3002\u5982\u679c\u53d1\u4f5c\u4e86\u4e5f\u4e0d\u8981\u6740\u6bd2\u4e86\u3002\u76f4\u63a5\u514b\u76d8\u6062\u590d\u5427\u3002 \u4e00\u3001\u627e\u5230\u6ce8\u518c\u8868\u4e2d[HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW] "auto" = "1" \u5220\u9664DownloadWWW\u4e3b\u952e \u4e8c\u3001\u627e\u5230 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\system.ini\boot] winlogo \u9879 \u628aWINLOGO \u9879 \u540e\u9762\u7684C:\WINNT\SWS32.DLL \u5220\u6389 \u63a5\u4e0b\u6765\u628a[HKEY_LOCAL_MACHINE\SOFTWARE/Microsoft/Windows/CurrentVersion/Run]\u952e\u4e2d /RunOnce/RunOnceEx \u4e24\u4e2a\u4e2d\u5176\u4e2d\u6709\u4e2a\u662f\u4e5f\u662f C:\WINNT\SWS32.dll \u628a\u7c7b\u4f3c\u4ee5\u4e0a\u7684\u5168\u90e8\u5220\u6389 \u6ce8\u610f\u4e0d\u8981\u5220\u9664\u9ed8\u8ba4\u7684\u952e\u503c\uff08\u5220\u4e86\u7684\u8bdd\u540e\u679c\u81ea\u8d1f\uff09 \u5982\u679c\u6ca1\u6709\u4ee5\u4e0a\u952e\u503c\uff0c\u5219\u76f4\u63a5\u8df3\u8fc7\u6b64\u6b65\u9aa4 \u4e09 \u7ed3\u675f\u8fdb\u7a0b \u6309\u201cCtrl+Alt+Del\u201d\u952e\u5f39\u51fa\u4efb\u52a1\u7ba1\u7406\u5668\uff0c\u627e\u5230logo1_.exe \u7b49\u8fdb\u7a0b\uff0c\u7ed3\u675f\u8fdb\u7a0b\uff0c\u53ef\u4ee5\u501f\u52a9\u7eff\u9e70\u7684\u8fdb\u7a0b\u7ba1\u7406\u8f6f\u4ef6\u5904\u7406\u66f4\u65b9\u4fbf\u3002\u627e\u5230EXPL0RER.EXE\u8fdb\u7a0b\uff08\u6ce8\u610f\u7b2c5\u4e2a\u5b57\u6bcd\u662f\u6570\u5b570\u4e0d\u662f\u5b57\u6bcdO\uff09\uff0c\u627e\u5230\u5b83\u540e\u9009\u4e2d\u5b83\u5e76\u70b9\u51fb\u201c\u7ed3\u675f\u8fdb\u7a0b\u201d\u4ee5\u7ed3\u675f\u6389\uff08\u5982\u679cEXPL0RER.EXE\u8fdb\u7a0b\u518d\u6b21\u8fd0\u884c\u8d77\u6765\u9700\u8981\u91cd\u505a\u8fd9\u4e00\u6b65\uff09\u3002 \u56db \u88c5\u6740\u6bd2\u8f6f\u4ef6 \u88c5\u5b8c\u540e\u4e0d\u8981\u91cd\u65b0\u542f\u52a8\uff08\u5207\u8bb0\uff09\u76f4\u63a5\u5347\u7ea7\u75c5\u6bd2\u5e93\uff0c\u5347\u7ea7\u5b8c\u540e\uff0c\u628aC:\winnt \u76ee\u5f55\u4e0b\u6240\u6709\u5e26\u6bd2\u6587\u4ef6\u5220\u9664\u3002\u7136\u540e\u8fd0\u884c\u6740\u6bd2\u8f6f\u4ef6\u5f00\u59cb\u6740\u6bd2\u3002\u6740\u5b8c\u540e\u3002\u8fd8\u6709\u51e0\u4e2a\u6740\u6bd2\u8f6f\u4ef6\u65e0\u6cd5\u5220\u6389\u7684\u4e1c\u897f\u8981\u628a\u540d\u5b57\u8bb0\u4e0b\u6765\u3002\u56e0\u4e3a\u4e0d\u540c\u7684\u7cfb\u7edf\u6709\u4e0d\u540c\u7684\u540d\u5b57\u3002\u6240\u4ee5\u8fd9\u91cc\u8bf4\u4e0d\u6e05\u695a\u4e86\u3002\u81ea\u5df1\u8bb0\u4e0b\u6765\u3002,\u91cd\u65b0\u542f\u52a8\u540e\u518d\u6b21\u6740\u6bd2\u3002\u8bb0\u7684\u628a\u53ef\u7591\u7684\u8fdb\u7a0b\u7684\u7ed3\u675f\u3002\u5426\u5219\u6740\u6bd2\u8f6f\u4ef6\u65e0\u6cd5\u5e72\u51c0\u6740\u6bd2\u3002\u8fd8\u6709\u6700\u91cd\u8981\u7684\u4e00\u70b9\u8bb0\u7684\u628a\u6740\u6bd2\u8f6f\u4ef6\u65e0\u6cd5\u6e05\u9664\u7684\u75c5\u6bd2\u8bbe\u7f6e\u4e3a\u5220\u9664\u6587\u4ef6\u3002\u4e00\u822c\u8981\u91cd\u590d\u6740\u6bd23-5\u6b21\u624d\u80fd\u6740\u5e72\u51c0\u3002 \u4e94 \u770b\u770b\u6740\u6bd2\u540e\u7684\u7cfb\u7edf \u7f3a\u5c11\u7684\u4e86\u5f88\u591a\u7cfb\u7edf\u6587\u4ef6\u3002\u7cfb\u7edf\u5904\u4e8e\u5371\u9669\u72b6\u6001\u3002\u5982\u679c\u4f60\u6709GHOST \u5907\u4efd\u3002\u8fd9\u4e2a\u65f6\u5019\u6062\u590d\u4e00\u4e0b\u3002\u7cfb\u7edf\u53ef\u4ee5\u5e72\u51c0\u65e0\u635f\u3002\u5982\u679c\u6ca1\u6709\u8bf7\u8fd0\u884c SFC \u547d\u4ee4\u68c0\u67e5\u6587\u4ef6\u7cfb\u7edf\u3002\u5177\u4f53\u64cd\u4f5c\u4e3a \u8fd0\u884c-\u8f93\u5165CMD \u547d\u4ee4\u8fdb\u5165DOS \u63d0\u793a\u7b26\u3002-\u8f93\u5165SFC /scannow -- \u63d0\u793a\u653e\u5165\u7cfb\u7edf\u5149\u76d8\u3002--\u653e\u8fdb\u53bb\u5427\u3002\u7136\u540e\u6162\u6162\u7b49\u3002\u770b\u770b\u6210\u679c\u3002\u6740\u6bd2\u6548\u679c\u663e\u8457\u3002\u6bd2\u6740\u5e72\u51c0\u4e86\u3002\u4f46\u662f\u6740\u5b8c\u6bd2\u540e\u5f88\u591a\u6e38\u620f\u90fd\u73a9\u4e0d\u4e86\u3002\u7136\u540e\u91cd\u65b0\u505a\u7cfb\u7edf\u5427\u3002\u8c01\u53eb\u4e2d\u6bd2\u7684\u662f\u7f51\u5427\u7684\u7cfb\u7edf \u4ee5\u4e0a\u64cd\u4f5c\u53ea\u662f\u963b\u65ad\u4f20\u64ad\uff0c\u5982\u679c\u6015\u5728\u4f7f\u7528\u4e2d\u611f\u67d3\u6b64\u75c5\u6bd2\uff0c\u60a8\u8fd8\u9700\u8981\u6309\u7167\u5982\u4e0b\u64cd\u4f5c\uff0c\u8fd9\u6837\u5373\u4f7f\u75c5\u6bd2\u611f\u67d3\uff0c\u4e5f\u4e0d\u80fd\u8fd0\u884c\u4e3b\u4f53\u75c5\u6bd2\u7a0b\u5e8f\u3002\u5f53\u7136\u8fd9\u91cc\u8bf4\u7684\u64cd\u4f5c\u5b9e\u9488\u5bf9win2000\u7cfb\u7edf\u7684\uff0c\u5176\u4ed6\u7684\u7cfb\u7edf\u53ef\u4ee5\u53c2\u8003\u64cd\u4f5c\uff1a \u8fd0\u884cgpedit.msc \u6253\u5f00\u7ec4\u7b56\u7565\u4f9d\u6b21\u5355\u51fb\u7528\u6237\u914d\u7f6e- \u7ba1\u7406\u6a21\u5757- \u7cfb\u7edf-\u6307\u5b9a\u4e0d\u7ed9windows\u8fd0\u884c\u7684\u7a0b\u5e8f\u70b9\u542f\u7528 \u7136\u540e \u70b9\u663e\u793a \u6dfb\u52a0 logo1_.exe \u4e5f\u5c31\u662f\u75c5\u6bd2\u7684\u6e90\u6587\u4ef6\u3002
好恐怖的病毒变态的Logo1_.exe病毒关于 Logo1_.exe（W32/HLLP.Philis.g trojan.pwsteal.gen ） 病毒解决方案及免疫补丁的制作！
W32/HLLP.Philis.g 病毒，最近发作比较平繁。造成好多朋友网吧遭此病毒破坏造成大面积的卡机，瘫痪。我查遍了好多病毒，和自己收集的病毒样本做了比较，发现此病毒极度变态。危害程度可以和世界排名前十的爱情后门变种相比。该病毒可以通过网络传播，传播周期为3分钟。如果是新做的系统处于中了毒的网络环境内，只要那个机器一上网，3分钟内必定中招。中招后你安装 rising SkyNet Symantec McAfee Gate Rfw.exe RavMon.exe kill NAV 等杀毒软件 都无法补救你的系统，病毒文件 Logo1_.exe 为主体病毒，他自动生成病毒发作所需要的的 SWS32.DLL SWS.DLLL KILL.EXE 等文件。这些文件一但衍生。他将迅速感染系统内EXPLORE 等系统核心进程 及所以.exe 的可执行文件，外观典型表现症状为传奇 ，泡泡堂，等游戏图标变色。 此时系统资源可用率极低，你每重新启动一次，病毒就会发作一次，重新启动5次后系统基本崩溃。
该病毒对于防范意识较弱，还原软件未能及时装到位的网吧十分致命，其网络传播速度十分快捷有效。旧版的杀毒软件无法检测，新版的无法彻底根杀。一但网吧内某台机器中了此病毒，那么该网吧所有未中毒的机器都处于危险状态。由于病毒发作贮留于内存。且通过EXPLORE.exe 进行传播。因此即使是装了还原精灵，还原卡的机器也同样会被感染。你重新启动后系统可以还原。但是你一但开机还是会被感染。
logo1_.exe( W32/HLLP.Philis.g) 病毒发作会生成另外几中病毒 PWSteal.Lemir.Gen 和 trojan.psw.lineage 等等。都是些非常厉害的后门程序。和外挂病毒相似，但是其威力是外挂病毒的50倍以上。在WIN98平台下，改病毒威害比较小。在WIN2000 /XP/2003 平台对于网吧系统是致命的
关于此病毒的技术报告如下
病毒名称：W32/HLLP.Philis.g 或者 （用著名杀毒软件麦咖啡（MACFEE ）检测结果，其他杀毒软件检测为 trojan类木马
病毒类型：木马程序
病毒长度：随机的
受影响的系统：Windows /98/NT/2000/XP/2003
病毒特征：
假如你手动运行logo1_.exe 你的系统就GAMEOVER了。运行系统极度卡机。你重新启动后你会发现你所有游戏的.EXE 程序全部都感染了。用
最新杀毒软件杀完后。除了系统可以勉强运行。其他的你也别想运行了。
1 病毒体 C:\winnt 目录下logo1_.exe 。KILL.EXE sws32.dll 等文件是病毒发作后的文件。 2、生成病毒文件
病毒运行后，在c:\winnt 下自己拷贝生成病毒文件，文件的名称是可变，根据不同的变种相应有不同的名称。好像一共有5个文件。其中
由3个是.exe 2 个是.DLL 文件。其中有KILL.EXE 等。具体的记不大清楚了。
3、修改注册表
病毒对注册表进行修改，在 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\system.ini\boot]
winlogo 项和
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun和
[HKEY_LOCAL_MACHINE]SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices/中添加键值=%System%（其中，和为可变的），使得在 下次系统启动时，病毒可随之自动运行。
4、盗取密码
病毒试图登陆并盗取被感染计算机中网络游戏传奇2的密码，将游戏密码发送到该木马病毒的植入者手中。
5、阻止以下杀毒软件的运行
病毒试图终止包含下列进程的运行，这些多为杀毒软件的进程。 包括卡八斯基，金山公司的毒霸。瑞星等。98%的杀毒软件运行。
国产软件在中毒后都被病毒杀死，是病毒杀掉-杀毒软件。如金山，瑞星等。哪些软件可以认出病毒。但是认出后不久就阵亡了。。本人一 直都支持国产，但是在电脑和手机方面就没办法支持了。郁闷 中~~~
进程如下 ：
rising
SkyNet
Symantec
McAfee
Gate
Rfw.exe
RavMon.exe
kill
NAV
KAV
LAST 最后说一下解决方案 都是本人个人经验 有不足之处还请各位多多补充。
先下载好你认为比较好的杀毒软件。此时不要安装。就是安装了也是白安装。所有软件安装后很快就被感染。这里不推荐使用金山，瑞星，江明，SPANT 等。推荐使用卡八斯基5.0版 和我最喜欢的麦咖啡杀毒软件。
请先去把系统设置为“显示隐藏文件”，因为病毒以隐藏属性伪装，不做此设置将无法看到它，设置的方法如下
打开“我的电脑”；
依次打开菜单“工具/文件夹选项”；
然后在弹出的“文件夹选项”对话框中切换到“查看”页；
去掉“隐藏受保护的操作系统文件(推荐)”前面的对钩，让它变为不选状态；
在下面的“高级设置”列表框中改变“不显示隐藏的文件和文件夹”选项为“显示所有文件和文件夹”选项；
去掉“隐藏已知文件类型的扩展名”前面的对钩，也让它变为不选状态；
最后点击“确定”。
二、修改注册表
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\system.ini\boot]winlogo 项
把WINLOGO 项 后面的C:\WINNT\SWS32.DLL 干掉（就是删掉的意思^_^)
接下来把HKEY_LOCAL_MACHINE]SOFTWARE/Microsoft/Windows/CurrentVersion/Run 键中 /RunOnce/RunOnceEx 两个中其中有个是也是
C:\WINNT\SWS32.dll
把类似以上的全部删掉 注意不要删除默认的键值（删了的话后果自负）
三 结束进程
按“Ctrl+Alt+Del”键弹出任务管理器，找到SWS32 进程，名字记不大清楚了，反正看到最多的进程就杀杀杀！！！！还有几个很少看到的进程。什么AUS***之类的都干掉他。找到EXPL0RER.EXE进程（注意第5个字母是数字0不是字母O），找到它后选中它并点击“结束进程”以结束掉木马进程。然后迅速做下面一步，只所以要迅速是因为如果动作慢的话，木马可能会自动恢复而再次运行起来，这样就无法删除掉其他木马文件了（如果EXPL0RER.EXE进程再次运行起来需要重做这一步）。
四 装杀毒软件
装完后不要重新启动（切记）直接升级病毒库，升级完后，把C:\winnt 目录下所有带毒文件删除。然后运行杀毒软件开始杀毒。
杀完后。还有几个杀毒软件无法删掉的东西要把名字记下来。因为不同的系统有不同的名字。所以这里说不清楚了。自己记下来。
重新启动后再次杀毒。记的把可疑的进程的结束。否则杀毒软件无法干净杀毒。还有最重要的一点记的把杀毒软件无法清除的病毒设置为删除文件。一般要重复杀毒3-5次才能杀干净。
五。看看杀毒后的系统。
缺少的了很多系统文件。系统处于危险状态。如果你有GHOST 备份。这个时候恢复一下。系统可以干净无损。如果没有请运行 SFC 命令检查文件系统。具体操作为 运行-输入CMD 命令进入DOS 提示符。-输入SFC /scannow -- 提示放入系统光盘。--放进去吧。然后慢慢等。
看看成果。杀毒效果显著。毒杀干净了。但是杀完毒后很多游戏都玩不了。忙了一圈都不知道自己在忙什么。郁闷吧。然后重新做系统吧。谁叫中毒的是网吧的系统。
PS：如果在病毒没有发作情况下杀毒是可以完全搞定的。如果发作了也不要杀毒了。直接克盘恢复吧。
在短短的28小时内我接到3个网吧老板的电话。。。。。。。。做技术员真命苦。。。。。。
这是本人第一次写这么长的资料。也是忙碌1年半后潜水1年半后。重新的回到技术员的身份（以前我经常发招聘的帖。不过PS哦我不是老板，招人都是帮朋友招的。我还是网管是大家的同行和朋友）。爱情后门，爱情后门变种。FUNLOVE 变种等病毒曾经把我朋友弄的网吧一度处于停业状态。写此文的目的就是希望大家同行群策群力做好预防工作。最好能够自己写出个免疫补丁。希望所有人的技术都在进步~~~~网星祝福所有网管兄弟天天开心。
PS：做系统的时候把默认共享关闭。关闭IPC$ ADMIN$ 关闭554 关闭ICMP路由。给ADMINISTRATOR 组所有成员设置密码。最好数字加英文（爱情后门病毒可以**简单的密码而进行大规模的快速传播）。 关闭了这些服务加上杀毒软件。LOGO1.exe 基本上拿你没折了。但是如果是批量克盘 建议客户机不要使用卡八等杀毒软件。克盘时网线拔掉，克好盘要迅速装好还原精灵 。为什么要迅速，不用我说了吧。
辛辛苦苦写的手都酸了。。天不知觉的也亮起来了。。。。转贴时希望大家珍惜我的劳动成果。经过一段时间的观察，我找到了可以改病毒的免疫补丁（只适用于没有感染该病毒或者已经感染该病毒但是没有发作的机器）其实很简单只要每次开机删除病毒体文件 LOGO1_1.exe 那么即使感染了该病毒的机器也可以救回来。用这个方法本人救活了2家网吧180台机器。目前为止情况正常。
LOGO1_.exe 免疫补丁制作如下：
1 编写批处理文件。开机自动删除logo1_.exe 作用是即使中了该病毒，由于开机后自动删除该病毒。那么该病毒永远无法发作。
批处理文件内容如下：
del c:\winnt\logo1_.exe (就这一行。先保存为记事本，然后保存为.bat的批处理文件。
2 设置改批处理开机自动运行。
修改注册表 加入以下项
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"auto"="E:\\网络游戏\\auto.bat"
把上端文本保存为 .REG 文件。然后导入注册表。{ E:\\网络游戏\\auto.bat } 该路径为你刚刚编写批处理所在的目录。很重要。
好了到此为止你可以安心睡觉去了。。不用再怕那可恶的LOGO1_.exe 了。。
本人再次强调一点。如果该病毒已经在你电脑里发作了。那么还是不要去救了。。直接重新克盘吧。
如果没有发作。那么用上面方法可以救活你的电脑。判断依据是 看看网络游戏图标有没有变色。还有
c:\winnt 目录下有没有KILL.exe sws.dll sws32.dll 文件。
Logo1_.exe病毒的解决方案!2006-10-19 21:12变态的Logo1_.exe病毒关于 Logo1_.exe（W32/HLLP.Philis.g trojan.pwsteal.gen ） 病毒解决方案及免疫补丁的制作！
W32/HLLP.Philis.g 病毒，最近发作比较平繁。造成好多朋友网吧遭此病毒破坏造成大面积的卡机，瘫痪。我查遍了好多病毒，和自己收集的病毒样本做了比较，发现此病毒极度变态。危害程度可以和世界排名前十的爱情后门变种相比。该病毒可以通过网络传播，传播周期为3分钟。如果是新做的系统处于中了毒的网络环境内，只要那个机器一上网，3分钟内必定中招。中招后你安装 rising SkyNet Symantec McAfee Gate Rfw.exe RavMon.exe kill NAV 等杀毒软件 都无法补救你的系统，病毒文件 Logo1_.exe 为主体病毒，他自动生成病毒发作所需要的的 SWS32.DLL SWS.DLLL KILL.EXE 等文件。这些文件一但衍生。他将迅速感染系统内EXPLORE 等系统核心进程 及所以.exe 的可执行文件，外观典型表现症状为传奇 ，泡泡堂，等游戏图标变色。 此时系统资源可用率极低，你每重新启动一次，病毒就会发作一次，重新启动5次后系统基本崩溃。
该病毒对于防范意识较弱，还原软件未能及时装到位的网吧十分致命，其网络传播速度十分快捷有效。旧版的杀毒软件无法检测，新版的无法彻底根杀。一但网吧内某台机器中了此病毒，那么该网吧所有未中毒的机器都处于危险状态。由于病毒发作贮留于内存。且通过EXPLORE.exe 进行传播。因此即使是装了还原精灵，还原卡的机器也同样会被感染。你重新启动后系统可以还原。但是你一但开机还是会被感染。
logo1_.exe( W32/HLLP.Philis.g) 病毒发作会生成另外几中病毒 PWSteal.Lemir.Gen 和 trojan.psw.lineage 等等。都是些非常厉害的后门程序。和外挂病毒相似，但是其威力是外挂病毒的50倍以上。在WIN98平台下，改病毒威害比较小。在WIN2000 /XP/2003 平台对于网吧系统是致命的
关于此病毒的技术报告如下
病毒名称：W32/HLLP.Philis.g 或者 （用著名杀毒软件麦咖啡（MACFEE ）检测结果，其他杀毒软件检测为 trojan类木马
病毒类型：木马程序
病毒长度：随机的
受影响的系统：Windows /98/NT/2000/XP/2003
病毒特征：
假如你手动运行logo1_.exe 你的系统就GAMEOVER了。运行系统极度卡机。你重新启动后你会发现你所有游戏的.EXE 程序全部都感染了。用
最新杀毒软件杀完后。除了系统可以勉强运行。其他的你也别想运行了。
1 病毒体 C:\winnt 目录下logo1_.exe 。KILL.EXE sws32.dll 等文件是病毒发作后的文件。 2、生成病毒文件
病毒运行后，在c:\winnt 下自己拷贝生成病毒文件，文件的名称是可变，根据不同的变种相应有不同的名称。好像一共有5个文件。其中
由3个是.exe 2 个是.DLL 文件。其中有KILL.EXE 等。具体的记不大清楚了。
3、修改注册表
病毒对注册表进行修改，在 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\system.ini\boot]
winlogo 项和
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun和
[HKEY_LOCAL_MACHINE]SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices/中添加键值=%System%（其中，和为可变的），使得在 下次系统启动时，病毒可随之自动运行。
4、盗取密码
病毒试图登陆并盗取被感染计算机中网络游戏传奇2的密码，将游戏密码发送到该木马病毒的植入者手中。
5、阻止以下杀毒软件的运行
病毒试图终止包含下列进程的运行，这些多为杀毒软件的进程。 包括卡八斯基，金山公司的毒霸。瑞星等。98%的杀毒软件运行。
国产软件在中毒后都被病毒杀死，是病毒杀掉-杀毒软件。如金山，瑞星等。哪些软件可以认出病毒。但是认出后不久就阵亡了。。本人一 直都支持国产，但是在电脑和手机方面就没办法支持了。郁闷 中~~~
进程如下 ：
rising
SkyNet
Symantec
McAfee
Gate
Rfw.exe
RavMon.exe
kill
NAV
KAV
LAST 最后说一下解决方案 都是本人个人经验 有不足之处还请各位多多补充。
先下载好你认为比较好的杀毒软件。此时不要安装。就是安装了也是白安装。所有软件安装后很快就被感染。这里不推荐使用金山，瑞星，江明，SPANT 等。推荐使用卡八斯基5.0版 和我最喜欢的麦咖啡杀毒软件。
请先去把系统设置为“显示隐藏文件”，因为病毒以隐藏属性伪装，不做此设置将无法看到它，设置的方法如下
打开“我的电脑”；
依次打开菜单“工具/文件夹选项”；
然后在弹出的“文件夹选项”对话框中切换到“查看”页；
去掉“隐藏受保护的操作系统文件(推荐)”前面的对钩，让它变为不选状态；
在下面的“高级设置”列表框中改变“不显示隐藏的文件和文件夹”选项为“显示所有文件和文件夹”选项；
去掉“隐藏已知文件类型的扩展名”前面的对钩，也让它变为不选状态；
最后点击“确定”。
二、修改注册表
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\system.ini\boot]winlogo 项
把WINLOGO 项 后面的C:\WINNT\SWS32.DLL 干掉（就是删掉的意思^_^)
接下来把HKEY_LOCAL_MACHINE]SOFTWARE/Microsoft/Windows/CurrentVersion/Run 键中 /RunOnce/RunOnceEx 两个中其中有个是也是
C:\WINNT\SWS32.dll
把类似以上的全部删掉 注意不要删除默认的键值（删了的话后果自负）
三 结束进程
按“Ctrl+Alt+Del”键弹出任务管理器，找到SWS32 进程，名字记不大清楚了，反正看到最多的进程就杀杀杀！！！！还有几个很少看到的进程。什么AUS***之类的都干掉他。找到EXPL0RER.EXE进程（注意第5个字母是数字0不是字母O），找到它后选中它并点击“结束进程”以结束掉木马进程。然后迅速做下面一步，只所以要迅速是因为如果动作慢的话，木马可能会自动恢复而再次运行起来，这样就无法删除掉其他木马文件了（如果EXPL0RER.EXE进程再次运行起来需要重做这一步）。
四 装杀毒软件
装完后不要重新启动（切记）直接升级病毒库，升级完后，把C:\winnt 目录下所有带毒文件删除。然后运行杀毒软件开始杀毒。
杀完后。还有几个杀毒软件无法删掉的东西要把名字记下来。因为不同的系统有不同的名字。所以这里说不清楚了。自己记下来。
重新启动后再次杀毒。记的把可疑的进程的结束。否则杀毒软件无法干净杀毒。还有最重要的一点记的把杀毒软件无法清除的病毒设置为删除文件。一般要重复杀毒3-5次才能杀干净。
五。看看杀毒后的系统。
缺少的了很多系统文件。系统处于危险状态。如果你有GHOST 备份。这个时候恢复一下。系统可以干净无损。如果没有请运行 SFC 命令检查文件系统。具体操作为 运行-输入CMD 命令进入DOS 提示符。-输入SFC /scannow -- 提示放入系统光盘。--放进去吧。然后慢慢等。
看看成果。杀毒效果显著。毒杀干净了。但是杀完毒后很多游戏都玩不了。忙了一圈都不知道自己在忙什么。郁闷吧。然后重新做系统吧。谁叫中毒的是网吧的系统。
PS：如果在病毒没有发作情况下杀毒是可以完全搞定的。如果发作了也不要杀毒了。直接克盘恢复吧。
在短短的28小时内我接到3个网吧老板的电话。。。。。。。。做技术员真命苦。。。。。。
这是本人第一次写这么长的资料。也是忙碌1年半后潜水1年半后。重新的回到技术员的身份（以前我经常发招聘的帖。不过PS哦我不是老板，招人都是帮朋友招的。我还是网管是大家的同行和朋友）。爱情后门，爱情后门变种。FUNLOVE 变种等病毒曾经把我朋友弄的网吧一度处于停业状态。写此文的目的就是希望大家同行群策群力做好预防工作。最好能够自己写出个免疫补丁。希望所有人的技术都在进步~~~~网星祝福所有网管兄弟天天开心。
PS：做系统的时候把默认共享关闭。关闭IPC$ ADMIN$ 关闭554 关闭ICMP路由。给ADMINISTRATOR 组所有成员设置密码。最好数字加英文（爱情后门病毒可以**简单的密码而进行大规模的快速传播）。 关闭了这些服务加上杀毒软件。LOGO1.exe 基本上拿你没折了。但是如果是批量克盘 建议客户机不要使用卡八等杀毒软件。克盘时网线拔掉，克好盘要迅速装好还原精灵 。为什么要迅速，不用我说了吧。
辛辛苦苦写的手都酸了。。天不知觉的也亮起来了。。。。转贴时希望大家珍惜我的劳动成果。经过一段时间的观察，我找到了可以改病毒的免疫补丁（只适用于没有感染该病毒或者已经感染该病毒但是没有发作的机器）其实很简单只要每次开机删除病毒体文件 LOGO1_1.exe 那么即使感染了该病毒的机器也可以救回来。用这个方法本人救活了2家网吧180台机器。目前为止情况正常。
LOGO1_.exe 免疫补丁制作如下：
1 编写批处理文件。开机自动删除logo1_.exe 作用是即使中了该病毒，由于开机后自动删除该病毒。那么该病毒永远无法发作。
批处理文件内容如下：
del c:\winnt\logo1_.exe (就这一行。先保存为记事本，然后保存为.bat的批处理文件。
2 设置改批处理开机自动运行。
修改注册表 加入以下项
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"auto"="E:\\网络游戏\\auto.bat"
把上端文本保存为 .REG 文件。然后导入注册表。{ E:\\网络游戏\\auto.bat } 该路径为你刚刚编写批处理所在的目录。很重要。
好了到此为止你可以安心睡觉去了。。不用再怕那可恶的LOGO1_.exe 了。。
本人再次强调一点。如果该病毒已经在你电脑里发作了。那么还是不要去救了。。直接重新克盘吧。
如果没有发作。那么用上面方法可以救活你的电脑。判断依据是
如果你觉得文章很长，你可以跳过一一：logo1_.exe病毒分析直接到二、病毒专杀
http://www.jps8.com/Article/networksafe/200702/Article_20070201140033_5824.html
一：logo1_.exe病毒分析
打开你的电脑，在任务栏里点击右键，选择任务管理器，如果你发现有一个logo1_.exe的进程，那么很不信啊，你的电脑中了威金病毒了。写这个病毒的人算是比较厉害的。下面我们看看这个病毒的表现吧。Viking变种 rundl132.exe Logo1_.exe RichDll.dll 解决方案
档案编号：CISRT2006070
病毒名称：Worm.Win32.Viking.bv（Kaspersky）
病毒别名：Worm.Viking.cz.57089（毒霸）
Worm.Viking.eu（瑞星）
病毒大小：57,089 字节
加壳方式：N/A
样本MD5：4d86b211bf98a21f8a4d9f7b9e7d8dd4
样本SHA1：0f2bac5df8ce9cde15dd8d7f147977799d02634c
发现时间：2006.11
更新时间：2006.11
关联病毒：
传播方式：通过恶意网页传播、其它木马下载
技术分析
Viking的一个变种，产生的文件位置和“传统”的有些不同。
运行后复制自身到系统目录下：
%Windows%\uninstall\rundl132.exe
释放dll注入Explorer.exe或iexplore.exe进程：
%Windows%\RichDll.dll
创建启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"load"="%Windows%\uninstall\rundl132.exe"
调用命令停止金山毒霸旧版本服务：
net stop "Kingsoft Antivirus Service"
遍历目录感染exe文件，将自身捆绑在被感染exe文件前端（不感染部分系统文件和程序文件），并在所到目录下生成_desktop.ini文件，内容是感染日期，如2006/11/15。
设置注册表信息：
[HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW]
"auto"="1"
尝试从guajfskajiw.43242.com下载其它病毒或恶意程序。
被感染文件运行后会在系统目录生成文件：
%Windows%\Logo1_.exe
Logo1_.exe常驻内存，并释放%Temp%\$$??.bat“还原”被感染文件，bat内容为：
:try1
Del "被感染文件.exe"
if exist "被感染文件.exe" goto try1
ren "被感染文件.exe.exe" "原文件.exe"
if exist "被感染文件.exe.exe" goto try2
"原文件.exe"
:try2
del "%Temp%\$$??.bat"
1 病毒体 C:\winnt 目录下logo1_.exe 。KILL.EXE sws32.dll 等文件是病毒发作后的文件。
2、生成病毒文件
病毒运行后，在c:\winnt 下自己拷贝生成病毒文件，文件的名称是可变，根据不同的变种相应有不同的名称。好像一共有5个文件。其中由3个是.exe 2 个是.DLL 文件。其中有KILL.EXE 等。具体的记不大清楚了。
3、修改注册表
病毒对注册表进行修改，在 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\IniFileMapping\system.ini\boot] winlogo 项和HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun和[HKEY_LOCAL_MACHINE]SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices/中添加键值=%System%（其中，和为可变的），使得在下次 系统启动时，病毒可随之自动运行。
4、盗取密码
病毒试图登陆并盗取被感染计算机中网络游戏传奇2的密码，将游戏密码发送到该木马病毒的植入者手中。
5、阻止以下杀毒软件的运行
病毒试图终止包含下列进程的运行，这些多为杀毒软件的进程。 包括卡八斯基，金山公司的毒霸。瑞星等。98%的杀毒软件运行。
国产软件在中毒后都被病毒杀死，是病毒杀掉-杀毒软件。如金山，瑞星等。哪些软件可以认出病毒。但是认出后不久就阵亡了。。本人一 直都支持国产，但是在电脑和手机方面就没办法支持了。郁闷 中~~~
进程如下 ：
rising
SkyNet
Symantec
McAfee
Gate
Rfw.exe
RavMon.exe
kill
NAV
KAV
二、 解决方法。病毒专杀logo1_.exe专杀。
1.在杀毒软件可以正常工作的情况下，将你的杀毒软件升级到最新版本，重启计算机后按F8进入安全模式下全盘查杀病毒。
2.完成步骤1或者步骤1无法完成时，分别下载以下专杀工具依次在安全模式下运行查杀病毒：
1）农夫山泉有点甜写的VIKING病毒专杀工具
下载地址和使用说明：http://hi.baidu.com/dnxk/blog/item/8330db80aa1553d79123d918.html
2）瑞星公司出的VIKING病毒专杀工具
下载地址见http://it.rising.com.cn/Channels/Service/2006-07/1153119832d22607.shtml
3）江民公司出的VIKING病毒专杀工具
下载地址：http://www.jiangmin.com/download/VikingKiller.exe
下载完成后请在线更新到最新版本。
4）金山公司出的VIKING病毒专杀工具
下载地址见：http://tool.duba.net/zhuansha/246.shtml
5）安天实验室出的VIKING病毒专杀工具
适用系统：WIN 2000/XP/2003 大小：164K
说明：安天实验室发布针对近期高危流行威金(维金)病毒的专杀工具,此专杀工具可以清除所有威金(维金)变种，可以恢复被感染的EXE文件，并附带U盘免疫功能。
下载地址：http://www.antiy.com/download/KillViking.zip
3.如果步骤1和2仍不能彻底清除病毒，建议重新格式化全部磁盘后重新安装操作系统。重新安装好操作系统后不要急于联网，要安装好杀毒软件和防火墙后，进行必要的安全设置（详见反病毒可能需要用到的方法及操作：http://bbs.kingsoft.com/viewthread.php?fid=3162&tid=15451563&extra=page%3D1及http://hi.baidu.com/dnxk/blog/item/40c3b877b6ca8c1bb151b943.html)，然后联网，用WINDOWS UPDATE打全系统补丁。
对于感染病毒后无法运行的可执行文件，需要重新下载或复制。
关于修复被病毒感染的EXE文件，请查看下文：
无须重新格式化所有分区，就能修复被威金感染的.EXE文件
http://forum.ikaka.com/topic.asp?board=28&artid=8210101
查杀要点：
1）局域网内的计算机感染此病毒后，首先应断开网络连接
2）设置复杂的帐户密码，停用多余帐户
3）关闭网络共享
4）感染病毒的计算机应完全隔离，不要从染毒计算机复制任何文件
绛旓細涔嬪悗鍦ㄧ綉涓婃煡浜嗕竴浜涜祫鏂欙紝鎵嶇煡閬撲粬鎰熸煋exe鏂囦欢锛岃鎰熸煋鐨勬枃浠跺彧瑕佽鐢ㄦ埛鎵ц锛屽張浼氫骇鐢logo1.exe杩欎釜鐥呮瘨涓荤▼搴忋傛潃姣掓柟娉曟槸锛氶噸鏂板畨瑁呯郴缁燂紝鍚姩鍚庝笉瑕佹墽琛屼换浣曠▼搴忥紝鎵撳紑缁勭瓥鐣ワ紙gpedit.msc锛->鐢ㄦ埛閰嶇疆-銆夌鐞嗘ā鐗-銆夌郴缁-銆変笉瑕佽繍琛屽埗瀹氱殑windows绋嬪簭锛屽湪鍏朵腑娣诲姞logo1.exe,logo1_.exe,logo_1.exe,...
绛旓細logo1_exe搴旂敤绋嬪簭閿欒鏄粈涔堟剰鎬,濡備綍淇? 鈥0*00000000鈥濇寚浠ゅ紩鐢ㄧ殑鈥0*0000000鈥濆唴瀛樸傝鍐呭瓨涓嶈兘涓衡渞ead"鏄粈涔堟剰鎬,璇ュ鏋滆В鍐??... 鈥0*00000000鈥濇寚浠ゅ紩鐢ㄧ殑鈥0*0000000鈥濆唴瀛樸傝鍐呭瓨涓嶈兘涓衡渞ead"鏄粈涔堟剰鎬,璇ュ鏋滆В鍐?? 灞曞紑 鎴戞潵绛 3涓洖绛 #鐑# 濡備綍缂撹В鐒﹁檻鎯呯华? 鐧惧害缃戝弸0f54...
绛旓細杩欎釜鐥呮瘨寰堥〗鍥猴紝鎴戠殑鐢佃剳涔熸槸鍜屼綘鍚屾牱閬亣锛岀幇鍦ㄦ悶濂戒簡锛岃鎸夊涓嬫楠よ繘琛岃瘯璇曪細1涓嬭浇涓涓憺鏄熺殑2007涓嬭浇鐗堟潃姣掕蒋浠跺鐢紝浜у搧搴忓垪鍙凤細CSA5V1-S7RJNG-EQV4S6-G8E200 鐢ㄦ埛ID锛歎2MZUAJ6QFVR 2閲嶆柊瑁呯郴缁熸椂鏍煎紡鍖朇鐩樺悗鍐嶅畨瑁咃紝瑁呭畬鍚庡厛瑁呯憺鏄熸潃姣掕蒋浠讹紙鍒囪锛夛紝璁板緱鍗囩骇鐒跺悗閲嶈捣鍔ㄦ椂浼氭彁绀烘潃姣掞紝鍒...
绛旓細杩欐槸濞侀噾Worm.viking鐥呮瘨!銆1銆.鎸塁TRL+ALT+DEL鍦ㄤ换鍔＄鐞嗗櫒涓妸rundl132.exe,logo1_.exe缁撴潫鎺(娌℃湁鐨勮瘽,涓嶇敤鎿嶄綔),鍒犻櫎C鐩樺唴鐨logo1_.exel鍜宺undl132.exe(涓嶇煡閬撳湪鍝噷鐨,鍙互鎵撳紑鎴戠殑鐢佃剳鎸塁TRL+F鐒跺悗鎼滅储rundl132.exe,logo1_.exe)銆2銆.鍥犱负DLL.dll妯″潡琚啓鍏ュ埌explorer涓,鎵浠ュ垹闄や笉鎺....
绛旓細Logo1_.exe鏄疻orm.Win32.Viking.j鏈ㄩ┈鐩稿叧绋嬪簭锛岀梾姣掍腑鏂囧悕鍙淮閲戙傚缓璁珛鍗冲垹闄ゃ
绛旓細浠婂ぉ鐢佃剳鏃犳剰涓簡logo1_.exe鐥呮瘨(鎴戠殑OS涓簊erver XP);闅忎箣鍏跺畠鐨勭梾姣掑ソ鍍忎篃鏉ュ噾鐑椆浜嗕笉灏,涓嶈繃鍒╃敤杞欢杩樻槸骞叉帀浜,鐜板湪鏈夌偣涓嶅敖浜烘剰鐨勬槸,logo1_.exe鏂囦欢,鎴戝湪杩涚▼涓粨鏉熷苟涓斿湪windos鐩綍鎵惧埌銆佽繕鏈夋敞鍐岃〃涓篃鎵惧埌骞朵笖鍒犻櫎鎺変簡,杩樿繘鍏ュ畨鍏ㄦā寮忎腑鍘绘竻闄よ繃,鍙槸,闂渚濈劧娌℃湁瑙ｅ喅銆傜棁鐘:鎴戞瘡娆￠噸鍚數鑴戝悗(杩欐槸缃...
绛旓細鎴戜腑杩囨姣掞紝寰楀垎涓ゅぇ姝ワ細涓銆佽繘鍏ュ畨鍏ㄦā寮忥紝濡傝繘绋嬪唴鏈夊叾瀹冮潪绯荤粺杩涚▼锛屾妸瀹冧滑鍏ㄧ粨鏉燂紝纭杩涚▼琛ㄥ彧闄ょ郴缁熻繘绋嬪娌″叾瀹冭繘绋嬫杩愯锛1銆佸姩琛宺egedit锛孋lrl+F鏌ws32.dll锛孠ILL.EXE锛logo1_.exe锛宻ws.dll锛宺undl132.exe绛夊垹闄ゆ帀锛2銆佹壘鍒版敞鍐岃〃涓璠hkey_local_machine/software/soft/downloadwww] ...
绛旓細涓汉缁忛獙~~鎴戜篃涓繃Logo1.exe锛岀敤淇敼娉ㄥ唽琛ㄦ庝箞涔熸敼涓嶆帀銆傛渶鍚庣敤瓒呯骇鍏斿瓙淇ソ浜嗐傚叿浣撴柟娉曪細鎸堿LT+Ctrl+Del杩涘叆杩涚▼---鎵惧埌Logo1.exe灏嗗叾鍏抽棴---杩涘叆瓒呯骇鍏斿瓙---IE淇涓撳---寮濮嬫煡姣+鎻掍欢锛屼細妫鏌ュ嚭Logo1.exe鏂囦欢锛岀劧鍚庢竻闄ゅ氨濂戒簡锛屾竻闄ゅ悗鏈濂藉啀鏌ヤ竴閬嶏紝灏变細鍙戠幇娌℃湁浜唦~绯荤粺杩涚▼涓篃娌℃湁...
绛旓細1銆 鍏堣繘鍏ュ畨鍏ㄦā寮忥紱2銆 杩涘叆鍚勭洏鍒犻櫎go.exe, Autorun.inf涓や釜鏂囦欢锛屽垎鍒缓绔媑o.exe鍜孉utorun.inf涓や釜鏂囦欢澶癸紝鐐瑰嚮鏂囦欢澶瑰彸閿紝灏嗗睘鎬ф敼涓哄彧璇汇佸瓨妗ｃ侀殣钘忥紱3銆 杩涘叆C:\WINDOWS\system\鐩綍锛屽皢logo_1.exe鐢╱nlocker.exe鍒犻櫎锛屽悓鏃舵妸SYSTEM32.vxd锛孲YSTEM32.dat涓や釜鏂囦欢鍒犻櫎锛屽悓鏃惰繕鏈1...
绛旓細鑰屾槸浣犺嚜宸卞缓鐨勭▼搴忥級涓嶉殢windows鍚姩锛屽惁鍒欑殑璇濆洜涓鸿繖鏍风殑绋嬪簭娌℃硶杩愯锛屾瘡娆″紑鏈洪兘浼氭彁绀衡渞undl132.exe logo1_.exe涓嶆槸鏈夋晥鐨勫彲鎵ц绋嬪簭鈥濄傝繖鏍蜂綘灏辨姂鍒朵綇浜嗙梾姣掞紝鎺ヤ笅鏉ヨ鎶婂叾浠栫殑鐥呮瘨鏂囦欢鍒犲幓锛岃繖鏄竴椤瑰緢搴炲ぇ鐨勫伐绋嬶紝濡傛灉闈炴湁浠涔堝崄鍒嗛噸瑕佺殑绋嬪簭鎴戝缓璁牸寮忓寲纭洏閲嶆柊瑁(c鐩樹笉闇)锛屼絾鏄鏋滃钩鏃舵湁涔犳儻...
