威金Worm.Viking病毒分析及处理（图）(1)

前言：

本文针对最近一段时间非常流行且破坏性较大的威金worm.viking病毒做一些浅显的分析，并综合本人的处理经验，希望对各位有所启发。在此谢谢ID“还是马褂”给予的鼓励。不尽之处，多谢指点。（文中所提相关软件，若有读者希望测试使用，请留下电子邮箱等联系方式）

威金Worm.Viking病毒分析及处理现象：
1.       中毒后所有.exe执行文件均发生异常；
2.       中毒后系统分区生成很多垃圾文件；
3.       中毒后网络共享打印机生成“远程下层文档”异常队列；
4.       中毒后网络共享打印机自动打印内容为一行日期的空白页面；
5.       在所有文件夹下生成纯文件_desktop.ini，内容为一行日期；
6.       生成病毒文件
a)         Program Files\svhost32.exe
b)        Program Files\micorsoft\svhost32.exe
c)        Windows\explorer.exe
d)        windows\logo1_exe
e)        windows\rundll32.exe
f)         windows\rundl132.exe
g)        windows\intel\rundl132.exe
h)    windows\dll.dll

受影响的系统:
    Windows 95, 98, ME, NT, 2000, XP_SP2和Server 2003_SP1

传播途径：
    扫描administrator和guest帐号口令为空的计算机，并通过共享迅速传播。

病毒查杀：
采用Mcafee + Ewido + Logkill组合查杀；并手工免疫。

处理步骤：
1.         禁用系统还原，并删除相关备份文件；
2.         在安全模式下，使用已更新的Mcafee和Ewido扫描并查杀全盘；
3.         对被破坏的exe文件，使用Logkill尝试修复；
4.         为administrator和guest帐号设置非弱口令。

威金Worm.Viking病毒查杀及手工免疫
----------------------------------------
（以下描述可能对有经验的读者略显烦琐，请选择跳过或略读。）
第一步：安装Ewido v4.0.172
1.       解压缩Ewido v4.0.172 绿色汉化版.rar；
2.       执行并安装ewidoantispyware400172.exe；
3.       执行并汉化ewidoantispyware400172yywj_v2_kaci.exe；
4.       激活并注册，注册码70EW-TH17Q1-PM-C01-S1W2QD-MEM-NUYY
请参考“使用说明.txt”。

第二步：升级Ewido v4.0.172
       打开Ewido主程序，选择第二个标签“更新”，点击“开始更新”，待更新完成。