中了病毒，任何杀毒软件都启动不了

Question

中了病毒，进程中多了vueskpk.exe koxcghx.exe CALC等进程，结束不了；任何的杀毒软件都不能启动和安装；在网上搜索时只要有“病毒、木马、杀毒”等关键字，IE就会关闭；系统还原也不能用；启动时的瑞星开机杀毒也没有了；安全模式也启动不了。该怎么杀毒啊

Answer 1

你中的这个病毒很像是最近流行的“磁碟机”病毒啊～～～

我上次也中了～～即使重装系统，再运行其他盘区或者上网都会重新引发病毒。

瑞星网站相关资料：
这是一个比“熊猫烧香”更狡猾、凶狠的病毒，它会关闭杀毒软件，下载盗号木马，给网民带来极大的损失。截至3月20日，“”已感染数十万台电脑。

瑞星安全专家认为，“”病毒是一个具有明确经济目的的病毒犯罪团伙所为，他们借鉴了已经被逮捕的“熊猫烧香”病毒团伙的犯罪经验，非常狡猾，在病毒制造、传播和躲避侦查等方面都下足了功夫。

了解“磁碟机”会做什么：
1、在C盘根目录下释放驱动NetApi000.sys，卸掉杀毒软件的钩子，使其监控失效。

2、从以下网站下载新病毒：
http://www.***.**/*.htm
http://js.k***.**/**.asp
http://js.k0****.**/**.asp
http://js.***.**/***.asp
http://js.***.**/****.gif

3、删除注册表启动项键值，使病毒外的所有软件无法自启动。例如QQ、msn等可以自行启动的软件就会起不来。

4、搜索窗口字符，强行关闭杀毒软件和专杀工具。

5、在所有磁盘中添加autorun.inf和pagefile.pif，使得用户双击打开磁盘的同时运行病毒，从而可以U盘传播

6、通过calcs命令启动病毒进程得到完全控制权限，使得其他进程无法访问该进程，无法删除，无法手工结束

7、感染可执行文件，对正常文件进行加密，如果杀毒，则会造成这些文件损坏。

8、双进程守护，每隔0.2秒检查一下自己是否存在，如不存在则重新启动。

9、修改注册表，使得用户无法进入安全模式，无法显示隐藏的系统文件。

10、检查注册表，如果系统不允许U盘自动运行，则修改之，使U盘中的病毒可以自动运行。

“磁碟机”技术分析：
这是一个MFC写的感染型病毒。

病毒运行后首先会在C盘根目录下释放病毒驱动NetApi000.sys，该驱动用来恢复SSDT，把杀毒软件挂的钩子全部卸掉。然后在System32路径下的com文件夹中释放病毒文件smss.exe、netcfg.dll、netcfg.000、lsass.exe。
然后该程序退出，运行刚刚释放的lsass.exe。

lsass.exe运行后，会在com文件夹下重新释放刚才所释放的文件，同时会在system32文件夹下释放一个新的动态库文件dnsq.dll，然后生成两个随机名的log文件该文件是lsass.exe和dnsq.dll的副本，然后进行以下操作：

1． 从以下网址下载脚本http://www.****.****/*.htm、.....。
2． 生成名为”MCI Program Com Application”的窗口。
3． 程序会删除注册表SOFTWARE\Microsoft\Windows\CurrentVersion\Run项下的所有键值。
4． 查找带以下关键字的窗口，查找带以下关键字的窗口，如果找到则向其发消息将其退出：RsRavMon、McShield、PAVSRV…
5． 启动regsvr32.exe进程，把动态库netcfg.dll注到该进程中。
6． 遍历磁盘，在所有磁盘中添加autorun.inf和pagefile.pif，使得用户打开磁盘的同时运行病毒。
7． 通过calcs命令启动病毒进程得到完全控制权限，使得其他进程无法访问该进程。
8． 感染可执行文件，当找个可执行文件时，把正常文件放在自己最后一个节中，通过病毒自身所带的种子值对正常文件进行加密。

smss.exe用来实现进程保护，程序运行后会进行以下操作：

1．创建一个名为xgahrez的互斥体，防止进程中有多个实例运行。
2．然后创建一个名为MSICTFIME SMSS的窗口，该窗口会对三种消息做出反应：
1．WM_QUERYENDSESSION：当收到该消息时，程序会删除注册表SOFTWARE\Microsoft\Windows\CurrentVersion\Run项下的所有键值。
2．WM_TIMER：该程序会设置一个时钟，每隔0.2秒查找“MCI Program Com Application”窗口，如果找不到则运行病毒程序。
3．WM_CAP_START：当收到该消息时，向其发送退出消息。
3．把lsass.exe拷贝到C盘根目录下命名为037589.log，同时把该文件拷到启动目录下实现自启动。

dnsq.dll通过挂接全局消息钩子，把自己注到所有进程中，该动态库主要用来HOOK API和重写注册表。动态库被加载后会进行以下操作：

1． 判断自己所在进程是否是lsass.exe、smss.exe、alg.exe，如果是则退出。
2． HOOK psapi.dll中EnumProcessModules、kernel32.dll中 OpenProcess和CloseHandle这几个API使得杀毒软件无法查杀病毒进程。
3． 遍历进程如果进程名为lsass.exe、smss.exe、alg.exe则直接退出，如果是其他进程则创建一个线程，该线程每隔2秒进行以下操作：

1．修改以下键值使得用户无法看到隐藏的受保护的系统文件
HKEY_CURRENT_USERSoftware\Microsoft\Windows\CurrentVersion\Explorer\Advanced
ShowSuperHidden = 0
2．删除以下注册表键值使得用户无法进入安全模式
HKEY_LOCAL_MACHINE SYSTEM\ControlSet001\Control\SafeBoot\Minimal\
{4D36E967-E325-11CE-BFC1-08002BE10318}
HKEY_LOCAL_MACHINE SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\
{4D36E967-E325-11CE-BFC1-08002BE10318}
HKEY_LOCAL_MACHINE SYSTEM\ControlSet001\Control\SafeBoot\Network\
{4D36E967-E325-11CE-BFC1-08002BE10318}
HKEY_LOCAL_MACHINE SYSTEM\CurrentControlSet\Control\SafeBoot\Network\
{4D36E967-E325-11CE-BFC1-08002BE10318}
3．删除以下注册表项，使得镜像劫持失效
HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows NT\CurrentVersion\
Image File Execution Options
4．读取以下注册表键值，判断当前系统是否允许移动设备自动运行，如果不允许则修改为允许
HKEY_LOCAL_MACHINE Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
NoDriveTypeAutoRun
5．修改以下注册表项使得手动修改以下键值无效
HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden
Type = radio
6．添加以下注册表项使得开机时，系统会把该动态库注到大部分进程中
HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows NT\CurrentVersion\
Windows
AppInit_DLLs = %SYSTEM%\dnsq.dll.
7．通过calcs命令启动病毒进程得到完全控制权限，使得其他进程无法访问该进程。
8．查找带以下关键字的窗口，如果找到则向其发消息将其退出：
SREng 介绍、360safe、木、antivir、…

netcfg.dll主要用来下载文件，动态库被加载后会从以下网址下载病毒程序
http://js.k0102.com/data.gif，查找窗口”MCI Program Com Application”如果该窗口不存在则运行下载的程序。

“磁碟机”中毒症状：
某些常用安全软件打不开，或打开后立即被关闭；
无法进入Windows安全模式；
无法正常显示系统隐藏文件；
任务管理器中有两个lsass.exe和smss.exe进程；
使用Winrar浏览\system32\com\目录有以下病毒文件：
systemroot%\system32\com\lsass.exe
%systemroot%\system32\com\smss.exe
%systemroot%\system32\com\netcfg.dll
%systemroot%\system32\com\netcfg.000

硬盘根目录下有pagefile.pif和autorun.inf文件；
系统目录下存在dnsq.dll文件。

解决办法：
“”中毒之后，会强行关闭多种主流杀毒软件和安全工具，使其无法正常运行。您可以通过以下两个步骤清除病毒：

步骤一：从瑞星网站下载安全环境恢复工具进行全盘扫描。该工具会清除掉病毒释放的文件，使系统环境恢复正常。

步骤二：重新安装原有的杀毒软件，或者下载安装免费的瑞星杀毒软件2008，升级到最新版本后对电脑进行彻底查杀，从而可以清除该病毒。

最后，说一下再不知道这些的情况下我如何做：
1、断网线，格式化系统，重装XP。
2、不进行任何操作，立刻重启计算机进入安全模式。
3、删掉所有exe后缀的可执行文件。
4、安装杀毒软件。
5、彻底杀毒。。。。。。。

就这样，我的电脑全部程序均无法再继续使用。。。。。。
你的那些进程，虽然和瑞星上说的不太一样，但很有可能是病毒开后门后下载下来的蠕虫病毒文件。

建议你按照瑞星的方法试一下，实在不行，就采用我说的方法，这样至少可以保证电脑里的文档和照片没有被销毁。

参考资料：瑞星网站

Answer 2

解决办法，因为电脑中了 Trojan.PSW.QQpass.prq 病毒的原因，他会自动禁用杀毒软件，
可以通过在正常模式下下载瑞星升级包,然后重新启动电脑,在第一行白字出现是连续按F8选择进入安全模式,进行安装瑞星最新升级包对瑞星进行升级,升级好了之后,在安全模式下杀毒,然后会查出以下病毒,Trojan.PSW.QQpass.prq ,这个病毒几乎会在整个硬盘每个盘里都会有,而且名字完全相同,一般会有这个文件:svohost.exe 这个是病毒主程序,会被杀掉,还有 sxs.exe,也会被杀掉,然后查毒结束,重新启动电脑就可以了.
另外请注意,清除完病毒不代表杀毒软件就已经启动了,

还要进行以下方法启动杀毒软件,下面以启动瑞星杀毒软件为例子,步骤是:鼠标指到桌面上的,我的电脑---点鼠标右键----点管理----点服务和应用程序----点服务----将所有rising开头的服务全部开启(将鼠标放到这个服务上右键----属性---改成自动---启动)到这里就完全可以了本回答被提问者采纳

Answer 3

病毒发作时

四步可使电脑彻底崩溃

据了解，6月8日，金山毒霸发布紧急预警，“AV终结者”病毒导致大量安全软件无法正常使用，用户系统安全面临严峻威胁；短短三天之后，6月12日，“AV终结者”危害行为变得更加恶劣，杀毒软件被禁用，反病毒网站无法打开，安全模式遭破坏，格式化系统盘后病毒仍无法清除，用户电脑的安全性被大大降低，电脑内的重要信息、机密文件、网络财产等面临严峻威胁。

金山毒霸反病毒专家戴光剑表示，“AV终结者”集目前最流行的病毒技术于一身，而且破坏过程经过了严密的“策划”，普通用户一旦感染该病毒，从病毒进入电脑，到实施破坏，四步就可导致用户电脑彻底崩溃：

1.禁用所有杀毒软件及相关安全工具，让电脑失去安全保障；

2.破坏安全模式，致使用户根本无法进入安全模式清除病毒；

3.强行关闭带有病毒字样的网页，只要在网页中输入“病毒”相关字样，网页遂被强行关闭，即使是一些安全论坛也无法登录，用户无法通过网络寻求解决办法；

4.格式化系统盘重装后很容易被再次感染。用户格式化后，只要双击其他盘符，病毒将再次运行。

此外，经过“AV终结者”的精心“策划”，用户电脑的安全防御体系被彻底摧毁，安全性几乎为零，而“AV终结者”并未就此罢手，自动连接到拥有病毒的网站，并自动下载数百种木马病毒，各类盗号木马、广告木马、风险程序用户电脑毫无抵抗力的情况下，鱼贯而来，用户的网银、网游、QQ账号密码以及机密文件都处于极度危险之中。因此提醒电脑用户目前使用电脑需慎之又慎。

感染病毒之后

常用杀毒软件无法查杀

同时，记者从瑞星反病毒中心了解到，瑞星反病毒中心目前暂将该病毒称为“帕虫”病毒。据瑞星反病毒中心表示：“该病毒采用了多种技术手段来保护自身不被清除，例如，它会终结几十种常用的杀毒软件，如果用户使用google、百度等搜索引擎搜索‘病毒’，浏览器也会被病毒强制关闭，使得用户无法取得相关信息。尤为恶劣的是，该病毒还采用了IFEO劫持(windows文件映像劫持)技术，修改注册表，使QQ医生、360安全卫士等几十种常用软件无法正常运行，从而使得用户很难手工清除该病毒。”

此外，据瑞星反病毒专家介绍：“该病毒通过映像劫持技术，将大量杀毒软件‘绑架’，使其无法正常应用，而用户在点击相关安全软件后，实际上已经运行了病毒文件，实现病毒的“先劫持后掉包”的计划。该病毒不但可以劫持大量杀毒软件以及安全工具，而且还可禁止Windows的自更新和系统自带的防火墙，大大降低了用户系统的安全性，这也是近几年来对用户的系统安全破坏程度最大的一个病毒之一。而且该病毒还会在每个磁盘分区上建立自动运行文件(包括U盘)，从而使得通过U盘传播的概率大大增加。同时，由于每个分区上都有病毒留下的文件，普通用户即使格式化C盘重装系统，也无法彻底清除该病毒。”

Answer 4

进程中多了vueskpk.exe koxcghx.exe CALC等进程，结束不了!
那你就下一个能限制进程的任务管理器就好了.关了这些进程.然后杀毒!
或到安全模式下杀杀看.看看能不能进安全模式了!

Answer 5

症状和av killer一样，如果是的话，很简单，只要再网上下一个专杀（推荐用金山的）杀一下，重启，搞定！！！