|
|
发表于 2009-6-28 11:26:02
|
显示全部楼层
来自： 中国河南洛阳
来源：http://zhidao.baidu.com/question/85094826.html
' [$ T7 R$ ?% K/ D/ ?+ _6 {; o7 }这是个病毒，它伪装得实在太好了，连360和卡巴都没扫到他。
& c3 m8 `8 d2 {" d
+ {1 s+ M9 W: p! r& N- q7 L8 R症状：最近经常跳出“CTHELPER.exe应用文件错误”的警报，启动组和服务里都没有这个项目，可他总是在进程里，关了他还是会自己启动，然后不定时得跳出警报，时间一长，咚咚咚的警报声听得我都担惊受怕的- L8 L7 R% o( t" k- P9 l
- K* p) D( ~" T8 e2 @# B( h
经谷歌搜索，终于找到cthelper.exe是创新Creative公司Soundblaster系列的独立声卡的驱动应用程序- D6 T$ R. {! H {. ~: S) x" Y
$ s: R8 `$ e5 }' C5 o2 S
于是我重装了声卡驱动，根本没有变化，显然此cthelper.exe非彼cthelper.exe，经文件搜索，发现隐蔽于C:\program files\common files\和C:\program files\common files\microsoft\，留着老警报就干脆删了，于是在任务管理器里结束该进程然后删除这个两个位置的相同文件，可是过一会错误报警又出来了，再进common files文件夹，那个文件还在，我再做了遍删除，没急着把窗口关了，看着他又奇迹般得自动恢复了，调用以前的系统的Ghost备份文件，用Ghost explorer查看系统的Ghost备份文件（gho后缀）。发现原来这个common files下的CTHELPER.EXE、Ravstub.exe、com.run、krnln.fnr以及Microsoft文件都是以前没有的，再禁止CTHELPER.EXE进程后，我冒险把这几个文件删了，为什么冒险，因为还有Microsoft，别的我不认识，这个谁都认识吧，会不会误删呢，很快，Ravstub.exe先恢复了，其他几个删除的文件紧接着全部自动恢复了。
# J8 M7 i2 F' u5 j5 P$ k% u# P+ s' J4 H7 D. R, }9 r. J
至此，可以完全判断是病毒了，竟然还打着Microsoft的幌子。
0 i' \1 W: q6 o' l6 }! F% \1 k1 x" h( [! W3 H
在注册表里搜了CTHELPER.EXE和Ravstub.exe，把相关的值全删了，又赶快把common files下的删了，可是没用，很快那些文件又恢复了，cthelper.exe应用程序错误又不断警报了，说明还没有斩草除根，晚上熊仔介绍了我一个查看进程的软件ProcessExplorer，用这个工具我发现cthelper.exe的上一级是smss.exe8 b! C5 E7 U; M' O7 d- F- f# o1 l% L
! a2 U, E Z" V# x& v& l5 n1 m
该进程为会话管理子系统用以初始化系统变量，MS-DOS驱动名称类似LPT1以及COM，调用Win32壳子系统和运行在Windows登陆过程。
& z9 o. U* c/ V! A7 Q$ n: I2 u6 B" X, L" e6 {! n) J
那么这个smss.exe又是不是那个smss.exe呢？
% U6 c7 [* [. j% u' z2 J3 l5 r, A
3 ~- w. V- n0 W, L经注册表搜索，发现该smss.exe的位置是C:\program files\realtek，又挺象那么回事的，里面有之前见过面的krnln.fnr，这回应该找到病毒的老窝了，把复制的源头找到了，先删除了这个realtek文件夹，然后把common files文件夹下的那几个文件删了，再删注册表+ Q6 }2 K: z0 n0 y7 n2 O
, G" e( j7 n& g$ B1 E重启后一切正常了，摸索了累计6小时终于解决了问题，欣慰
4 O1 d: w0 F* L" h( C5 ^& q. F
总结，这个cthelper.exe从警报上看似内存问题的，其实是打着Microsoft（微软）、 Realtek（瑞利）等著名品牌的伪装smss.exe病毒 |
|
发表于 2009-6-22 23:25:44
