病毒是如何破坏安全模式的？

Question

本人最近对这病毒比较有兴趣`（因为上次自己也中了AV终结者，开始佩服了） 我从网上看到的是入侵注册表删除HKLM\SYSTEM\ControlSet001 可是问题来了`我打开到+SYSTEM 只看到了ControlSet002、ControlSet003、ControlSet004并没有ControlSet001啊？ 这怎么回事？ 或者直接告诉我病毒是怎么修改注册表导致无法进入安全模式？ 谢谢 回答好追加分`

Answer 1

其实正常的xp系统只有ControlSet001 和003。下面就是我们公司电脑刚种av终结者后，我的处理办法。
中了av终结者，你会发现你的隐藏文件选项会被修改，比如有的是这样：正常的是两个选项，一个是全部显示，一个是隐藏文件。中毒后变成了：禽兽尚有爱心，我却没有，所以我不是禽兽。如果你用专杀，不修改注册表的话，是没有用的。他是一种Windows PE病毒。
可能存在下面一种或多种症状：
1. 系统启动后出现异常症状：病毒会终结几十种常用的杀毒软件,例如：QQ医生、360安全卫士、QQ、MSN等程序无法启动。同时杀毒软件无法启动，当然也不能进行病毒扫描和病毒定义码升级，进程被自动关闭。
2. 系统安全模式无法进入,进入系统时重新返回到系统启动界面。
3. 无法查看隐藏文件，查看隐藏文件选项无法有效执行。
4. 感染电脑的计算机的生成的病毒文件及其位置：分别生成两个随机7位字母组合成的exe C:\Program Files\Common Files\System\gamkqme.exe和C:\Program Files\CommonFiles\Microsoft Shared\vdiwghf.exe；
5. 遍历D~Z分区 在根目录下生成autorun.inf和随机7位字母组合成的exe（这里是pmovrao.exe）右键菜单无变化。因为非系统盘下生成了隐藏的病毒程序，即使重新安装操作系统后，仍然无法彻底清除病毒。
6. 异常的网络连接：windows系统的自动更新和windowsxp系统的安全中心关闭；自动从后台下载其它的病毒木马并运行。
7. 对IE的影响：用户使用google、百度等搜索引擎搜索“病毒”，浏览器也会被病毒强制关闭，使得用户无法取得相关信息。
8. 病毒禁用了注册表编辑器和系统配置实用程序等命令，系统时间被修改。
9. 修改系统Hosts文件，使计算机无法访问反病毒网站，并且导致用户无法升级杀毒软件。

下面修复隐藏文件
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden]
"Text"="@shell32.dll,-30499"
"Type"="group"
"Bitmap"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,\
00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,53,00,\
48,00,45,00,4c,00,4c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,2c,00,34,00,00,\
00
"HelpID"="shell.hlp#51131"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30501"
"Type"="radio"
"CheckedValue"=dword:00000002
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51104"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"

然后修复安全模式
下载sreng
下面的随机7位字母启动项目
为如下键值
<syuhxcx><C:\ProgramFiles\CommonFiles\System\gamkqme.exe> <pmovrao><C:\Program Files\Common Files\Microsoft Shared\vdiwghf.exe>
sreng 修复>Windows shell/IE 选中 显示隐藏文件 单击 下面的修复。
sreng 修复>高级修复>修复安全模式 在弹出的窗口中点击 是

这就是为什么进不去安全模式，就是上面的几个文件被修改了。

Answer 2

F8