中了logo_1.exe rundl132.exe病毒之后怎么办

icanyes

它感染电脑里面所有的可执行文件，很麻烦啊，我电脑备份了很多软件，有些很难找的
, L& F" C$ A6 w# U8 @) \8 S1 N% l; V. x2 J
5 x6 t" w8 N) L. k' Z) Y+ E求解决方法

icanyes

再补充一下，重装系统都没有用啊，重装后，只要运行了已经感染的exe文件，整个系统又重新中毒，有网络的，也会感染网络中其他机子

feiyong511

一、找到注册表中[HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW]删除DownloadWWW主键

二、找到
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\system.ini\boot]
   winlogo 项
把WINLOGO 项 后面的C:\WINNT\SWS32.DLL 删掉
- @3 D, u6 w5 s8 \# [6 g$ S: @接下来把HKEY_LOCAL_MACHINE]SOFTWARE/Microsoft/Windows/CurrentVersion/Run 键中  /RunOnce/RunOnceEx  两个中其中有个是也是
2 }6 c$ ?& k+ c
C:\WINNT\SWS32.dll
把类似以上的全部删掉 注意不要删除默认的键值（删了的话后果自负）
* x- F  ~" Q% J" B, d. H- k/ l; W
如果没有以上键值，则直接跳过此步骤
+ J4 X! _! J2 q. \( j　
三  结束进程

按“Ctrl+Alt+Del”键弹出任务管理器，找到logo1_.exe 等进程，结束进程，可以借助绿鹰的进程管理软件处理更方便。找到EXPL0RER.EXE进程，找到它后选中它并点击“结束进程”以结束掉（如果EXPL0RER.EXE进程再次运行起来需要重做这一步
# H5 a& H5 \. M! d9 F& I/ ]6 c装杀毒软件
" P% o) J4 f0 b5 |- |杀毒及重装系统后的防范
, i/ [: }  d# t运行 gpedit.msc  打开组策略
' P$ b- U5 I5 _- m依次单击用户配置- 管理模块- 系统-指定不给windows运行的程序
5 Y3 h5 y  Q* z8 u. ]( D
% C) H2 G9 ]1 ^$ N$ j点启用  然后 点显示 添加  logo1_exe   也就是病毒的源文件 。2000 是没有纯DOS的，如果要进 DOS 就得用 DOS启动盘进入，比如，光盘的，USB的，软盘的。而且得先进 BIOS 设置为 光驱启动，或者USB看你用什么来启动了。
2 i6 s6 G6 U- v" d3 T* Y) n进入DOS后，格式化的命令是：
2 G5 l( }/ |9 ~format c:/q
$ P! j4 C7 [8 S1 ?c代表C盘，格别的盘就换别的，参数Q代表快速格式化。XP需要使用98启动盘在开机后引导进入dos。 2000就在开始---运行,输入CMD即可。

kkkliu82

http://www.cdma5.com/user1/4gej/archives/2006/1057.html
网上多的是解决办法,上面是一个
你可以自己再找找看.

jin210

１.先要解决所有的被logo_1.exe rundl132.exe病毒捆绑的ＥＸＥ，这方面你需要下决心的，因为有的软件可能是你不想去除的
) W  C0 Y2 ~( ^5 c% j% K２．用ＮＯＤ３２杀与防（杀在安装模式下，防在正常运行的时候）
0 s! l$ F/ A' g) U6 B) m３．用ＧＨＯＳＴ来Ｇ一下就可以了

qch_2203

logo_1.exe和rundl132.EXE病毒捆绑所有的可执行文件,即使按照三楼的做法,虽然暂时能平息一阵,但是只要你运行任何一个*.exe可执行文件都会将该病毒激活,较为保守的办法,删掉所有*.exe可执行文件,重装系统,安装金山毒霸2007,更新病毒库定义文件至最新即可解决.

8 N, U& i0 ~* ^! y值得注意的是一些备份的安装文件也被感染,建议将此类文件以*.rar格式保存或其他压缩文件格式保存就不会受感染.

[ 本帖最后由 qch_2203 于 2007-1-2 13:27 编辑 ]

lizy323

去下“logo威金专杀”工具，瑞星 江民 金山都有，安全模式下杀就可以了，当然，如果是局域网的一定要断网，一起杀。

九个太阳

先在安全模式下杀，然后将染毒的源程序统统扔掉，重新拷贝新的程序。

icanyes

但是有很多软件我都想保留啊，很多软件现在都不容易找得到的啊！！！
5 K8 @; m6 k+ }" _; r
; \! ?8 A7 [) {: x2 H有没有简单一点，快捷一点的好办法呢
9 \8 y  B+ s1 P8 k) r; {' }. ?6 |
7楼的“威金专杀”是不是删除所有*.exe文件啊？

icanyes

难道真的要逼我格式化硬盘啊～～～～？？

江南有雪

我也中了

skywjm

小弟使用的win xp系统,不知为何中了logo_1.exe病毒,在进程当中出现logo_1.exe和1.exe两个进程,严重占用系统资源,请高人指教,如何除掉两个病毒,小弟在这里多谢了!

江南有雪

威金病毒:
" [" [2 Y8 P2 J
& Z2 B& x& P. p目前已感染两万名计算机用户、数十家企业用户，使其陷入瘫痪。这是近三个月内感染用户最多的新病毒之一。专家提醒，用户近期仍需要防范其变种侵袭。
+ ~- x  g0 k) S$ H% V. S
3 P$ i: J: ]- Z% q2 G/ X  W　　瑞星反病毒专家介绍，该病毒同时具有文件型病毒、蠕虫病毒、病毒下载器等类病毒的特点，利用计算机操作系统漏洞进行攻击。进入用户的电脑之后，它会从网上疯狂下载多个木马程序、QQ尾巴等安装在中毒电脑中，窃取用户的网络游戏密码，严重时造成系统完全崩溃。病毒进入局域网后，会扫描局域网中的所有共享计算机，尝试猜解它们的密码，并试图感染这些计算机。只要有一台机器中毒，就可能造成全网运行不正常，甚至造成网络堵塞。

　　专家建议，个人用户应使用杀毒软件“漏洞扫描”功能，给自己的电脑打上补丁，上网时应启用所有的实时监控功能，企业用户应及时对整个网络进行安全漏洞排查

9 |- j- z! i/ P' ~( H- n

1. 某些杀毒软件的实时监控无法启动(例如:瑞星的实时监控中心)
+ B5 W; f2 b- k0 B2 y
$ @! B/ `; j0 D2 ^! r9 }: O2 H2. 部分图标变得模糊
5 M7 N" P5 t2 S2 A; P
3. 进程里面出现例如  Logo_1.exe , 0Sy.exe等莫名其妙的东西

4. C盘隐藏文件出现  _desktop.ini(隐藏文件)
5 }  q6 `" `9 B$ X6 a
5. 磁盘的autorun被修改，以至于双击磁盘盘符时提示出错
4 Q# L. @9 q- b6 |; v* o
   随即用瑞星2006的杀毒软件进行杀毒，但是无法彻底清除。在查阅了相关的资讯以后确认：这是感染了"威金"病毒。

! _3 D, B  h3 d" i( b7 T' o) [以下是威金的相关档案：
' V- }3 s7 b& f3 G  u) a

    该病毒为Windows平台下集成可执行文件感染、网络感染、下载网络木马或其它病毒的复合型病毒，病毒运行后将自身伪装成系统正常文件，以迷惑用户，通过修改注册表项使病毒开机时可以自动运行，同时病毒通过线程注入技术绕过防火墙的监视，连接到病毒作者指定的网站下载特定的木马或其它病毒，同时病毒运行后枚举内网的所有可用共享，并尝试通过弱口令方式连接感染目标计算机。
运行过程过感染用户机器上的可执行文件，造成用户机器运行速度变慢，破坏用户机器的可执行文件，给用户安全性构成危害。
8 J2 |0 T4 m  ~0 [8 ?1 S4 X病毒主要通过共享目录、文件捆绑、运行被感染病毒的程序、可带病毒的邮件附件等方式进行传播。

1、病毒运行后将自身复制到Windows文件夹下,文件名为:
　　%SystemRoot%rundl132.exe

2、运行被感染的文件后，病毒将病毒体复制到为以下文件:
%SystemRoot%logo_1.exe
2 i. }' H/ @9 o5 z! e4 w$ J6 P! q
3、同时病毒会在病毒文件夹下生成:
5 |4 C) |; T* k& J  ^病毒目录vdll.dll

4、病毒从Z盘开始向前搜索所有可用分区中的exe文件，然后感染所有大小27kb-10mb的可执行文件，感染完毕在被感染的文件夹中生成:
0 u3 `8 r& `7 M- [3 V& K4 G8 O6 U. m9 n_desktop.ini (文件属性:系统、隐藏。)
- H9 Z: h& o3 m- q( E$ }
5、病毒会尝试修改%SysRoot%system32driversetchosts文件。
- V- U' X9 H0 f. o# ~; F3 u6 T9 Q% X
/ z+ M1 X0 e( S1 K/ E  X6、病毒通过添加如下注册表项实现病毒开机自动运行:
+ b2 h  s% _0 o9 ][HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
  x3 x# q) s, i"load"="C:WINNTrundl132.exe"
/ f: ^; a  `# h+ E- j+ W4 g[HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWindows]
"load"="C:WINNTrundl132.exe"

2 o' f. k0 ^: E7 @, u7、病毒运行时尝试查找窗体名为:"RavMonClass"的程序，查找到窗体后发送消息关闭该程序。

8、枚举以下杀毒软件进程名，查找到后终止其进程:
: i4 I' E) \4 v$ |7 B$ xRavmon.exe
% _0 }$ r1 N: ~" E* EEghost.exe
Mailmon.exe
KAVPFW.EXE
IPARMOR.EXE
Ravmond.exe

9、同时病毒尝试利用以下命令终止相关杀病毒软件：
# S+ V6 d% e- G* Inet stop "Kingsoft AntiVirus Service"
$ Y) e* j3 H& t( Y

10、发送ICMP探测数据"Hello,World"，判断网络状态，网络可用时，
枚举内网所有共享主机，并尝试用弱口令连接IPC$、admin$等共享目录，连接成功后进行网络感染。
+ e( {3 T  v1 F& C) X) R
11、感染用户机器上的exe文件，但不感染以下文件夹中的文件:
system
system32
! b/ G. Z. P3 Dwindows
Documents and settings
system Volume Information
$ ~: P1 R4 I  E/ H& PRecycled
winnt
Program Files
Windows NT
WindowsUpdate
, _, J1 y5 X! l6 k) xWindows Media Player
; ^% r1 V4 u& S: s- Z5 fOutlook Express
. k6 u* Q/ z' bInternet Explorer
% K  |" @* q3 h+ L( ?ComPlus Applications
- b2 L% H4 P$ a1 W, |NetMeeting
8 r3 M1 O( g# t& o: eCommon Files
2 W1 Z: z+ U' j* FMessenger
1 T& G- q! p$ B1 R: v# IMicrosoft Office
InstallShield Installation Information
& U: ^* h: ?6 `" a% i- {MSN
Microsoft Frontpage
Movie Maker
: y7 k2 }2 w' ?7 LMSN Gaming Zone
' N1 j) ]: O) n
' c3 T! T" `/ U" o; U4 V12、枚举系统进程，尝试将病毒dll(vdll.dll)选择性注入以下进程名对应的进程:
Explorer
* i$ i; v; ^; I: l+ T+ BIexplore
2 |  ~" c: n2 }" B& }, p6 E& x找到符合条件的进程后随机注入以上两个进程中的其中一个。

0 ]: U6 f) U5 R& ^" w% P5 w' w13、当外网可用时，被注入的dll文件尝试连接以下网站下载并运行相关程序:
8 O  C; s: x6 rhttp://www.17**.com/gua/zt.txt 保存为:c:1.txt
9 v: U# \+ G* d5 u1 j8 xhttp://www.17**.com/gua/wow.txt 保存为:c:1.txt
http://www.17**.com/gua/mx.txt 保存为:c:1.txt

) _9 ?) q3 @3 X9 a+ Ihttp://www.17**.com/gua/zt.exe 保存为:%SystemRoot%0Sy.exe
http://www.17**.com/gua/wow.exe 保存为:%SystemRoot%1Sy.exe
) T# {4 x# S9 ]$ P/ k/ ~http://www.17**.com/gua/mx.exe 保存为:%SystemRoot%2Sy.exe
注：三个程序都为木马程序
6 w' W- @/ T: L3 C, d  w4 s2 W! n
: z- F' ?' k6 Z6 q14、病毒会将下载后的"1.txt"的内容添加到以下相关注册表项：


[HKEY_LOCAL_MACHINESOFTWARESoftDownloadWWW]
- T  k8 F5 N0 F* V0 Y1 B7 u"auto"="1"
# ]3 B4 K* _- L5 I' J9 t
% N( }' r4 `$ a( P[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows]
; a+ |: p8 ~& q8 t- s; N"ver_down0"="[boot loader]+++++++++++++++++++++++"
"ver_down1"="[boot loader]
timeout=30
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)WINDOWS="Microsoft Windows XP Professional" ////"
"ver_down2"="default=multi(0)disk(0)rdisk(0)partition(1)WINDOWS
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)WINDOWS="Microsoft Windows XP Professional" /////"



9 D- E! i0 I  A" V/ [/ u  
$ M' U' F# u3 t- K2 A- `
中此病毒千万不能以瑞星杀毒查杀.因为它是专门针对它的.杀前做好备份!杀毒后如果出现系统无法正常进入是很正常的.因为它会捆绑系统文件,病毒杀死后系统文件也会被破坏!只要用安装盘修复就可以了!但要保证母盘"清洁"

: |: F3 t: c/ z% z; s5 Y0 {
+ v9 g0 ?2 x" C
# J. |9 x+ Q& \7 ?  U* ?  清除方法:
6 F5 ~% J7 \* }2 I" U% G
/ \: H8 v+ r2 H9 p    1 结束以下进程： logo1_.exe     rundl132.exe(注意第六个为数字1而不是L)  explorer.exe(该病毒会把vDll.dll加载到该系统进程中去，最好是用进程管理工具直接结束掉这个DLL)  另外有类似OS.exe的进程也一并结束掉~~！
: ~4 t& X3 r& u  Z    2.到windows目录删除"logo1_.exe"、"rundl132.exe"、"vdll.dll"文件！（注意这些进程都是隐藏的，需要把系统设置为“显示隐藏文件”，设置的方法：打开“我的电脑”； 依次打开菜单“工具/文件夹选项”；然后在弹出的“文件夹选项”对话框中切换到“查看”页； 去掉“隐藏受保护的操作系统文件(推荐)”前面的对钩，让它变为不选状态； 在下面的“高级设置”列表框中改变“不显示隐藏的文件和文件夹”选项为“显示所有文件和文件夹”选项； 去掉“隐藏已知文件类型的扩展名”前面的对钩，也让它变为不选状态；最后点击“确定”。 ）
   3 .运行 gpedit.msc 打开组策略,依次单击用户配置- 管理模块- 系统-指定不给windows运行的程序,点启用 然后 点显示 添加 logo1_exe 也就是病毒的源文件
   4  找到并删除%Windir%下的Logo1_.exe、rundl132.exe、vDll.dll文件，其中vDll.dll可能在其他目录中，%Windir%默认为C:\Windows或者C:\Winnt。
　　 打开注册表，索引到HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW，删除auto键值；
　　 打开注册表，索引到HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\WIndows，删除load键值；
　   打开%system%\drivers\etc下hosts文件，删除“127.0.0.1 localhost”一行后所有内容；

- k( T1 k9 Q7 G, b) X3 \
# x$ ?- V+ Z. ]; M.在windows目录下新建文件："logo1_.exe"、"rundl132.exe"、"vdll.dll"并把属性设为“只读”，这样病毒也就无法运行了
现在你的电脑基本上说可以对该病毒免疫了，既使中了该病毒，它也发作不了啦！最后这一点不怎么好办
  那些应用程序都被感染了病毒，如果中了病毒，下次重启后，就会弹出来“rundl132.exe不是有效的应用程序”和“无法加载注册表中c;\windows\rundl132.exe”的对话框
. w" }) k, N- }6 p. Z- P; j5 f要么删除所有被感染的应用程序，然后从其它地方复制没感染病毒的过来，要么就是在搜索里用“*.exe”找出所有的exe文件，然后每个运行一下最后从注册表里找出“rundl132.exe”的启动项，删掉就OK了
* }' d: n( ~' x6 ^& d7 ~# r+ @4 X' \没必要大惊小怪的.更不用什么扒网线关门杀毒.

江南有雪

http://it.rising.com.cn/Channels ... 3119832d22607.shtml

“威金（Worm.Viking）”病毒专杀工具”

& ?" B6 {: |6 m( B) m杀毒进行中~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

江南有雪

安全模式下又杀了一遍，不知道清理干净了没。正常模式下用卡巴6杀出来200多个病毒，威金和一些木马，安全模式下又用专杀工具扫出来2个威金，准备升级一下卡巴，再在安全模式下干一场，因为感觉任务管理器里面有多余的东东！

江南有雪

杀虫剂 ！！！好用，请仔细查看帮助文件先！

helloyf

原帖由 江南有雪 于 2007-1-4 17:26 发表
我也中了

" k# Q4 N5 E' E& ~
5 y/ j4 e. k: l& n( V2 r你开了防火墙+防毒软件中的标，还是裸奔时中的？

看见这个消息，有点怕怕……

江南有雪

不穿衣服不出门的，从不裸奔~~~~