送走了让人闻风丧胆的“熊猫烧香”，近日又有一种超破坏力的病毒“AV终结者”大肆席卷互联网，不到一个月时间，变种就已达数百个之多，波及人群超过十几万人。由于这款病毒破坏力十分霸道，一旦感染就很难清除。那么“AV终结者”到底是什么？其实它就是由随机8位数字和字母组合而成的病毒，是闪存寄生病毒，其传播是通过闪存等存储介质或者注入服务器来实现的。我们要如何预防这颗互联网超级炸弹？万一被它攻陷了电脑，重装系统后仍无法清除，我们又该怎么办？本文将为您消除所有的疑惑，打造一个安全的操作系统，保障您的财产安全以及机密信息不会受到损失。“AV终结者”凭什么这么“跩”1.生成随机文件名对“AV终结者”的样本文件进行分析后，可以发现其手段相当的毒辣。病毒运行后会在系统中生成如下几个文件：C:\program files\Common Files\Microsoft Shared\MSInfo\随机生成病毒名.dat、C:\Program Files\Common Files\Microsoft Shared\MSInfo\随机生成病毒名.dll（图1）、C:\windows\随机生成病毒名.hlp、C:\windows\help\随机生成病毒名.chm。“AV终结者”的病毒名是由大写字母+数字随机组合而成的，其长度为8位，可以说生成相同病毒名的概率是极小的。tw.WInGwiT.COM因此即使我们知道了这是病毒生成的文件，也别指望通过病毒名在网络上找到病毒的清除方法。2.通过“自动播放”传播病毒运行后会在本地磁盘和移动磁盘中复制病毒文件和anuorun.inf文件，当用户双击盘符时就会激活病毒，即使重装系统，也是无法将病毒彻底清除的。这是目前很多病毒热衷的传播方法，不少用户也懂得需要删除病毒生成的anuorun.inf文件，但是当我们进入“文件夹选项”，想显示隐藏文件时，可以发现这里已经被病毒给禁用了。3.干掉杀毒软件针对杀毒软件的攻击，是“AV终结者”的特点。病毒会终止大部分的杀毒软件和安全工具的进程。国内绝大多数的杀毒软件和安全工具都被列入了黑名单。当杀毒软件暂时失去作用时，病毒就会乘胜追击，通过一种“映像劫持”技术将杀毒软件彻底打入死牢。“映像劫持”会在注册表的“HKEY_LOCAL_MACHINE\SOFTWAR E\Microsoft\Windows NT\CurrentVersion\ Image File Execution Options”位置新建一个以杀毒软件和安全工具程序名命名的项。建立完毕后，病毒还会在里面建立一个Debugger键，键值为“C:\PROGRA~1\COMMON~1\MICROS~1\MSINFO\05CC73B2.dat”（图2）。这样当我们双击运行杀毒软件的主程序时，运行的其实是病毒程序。4.注入系统进程为了避免在“任务管理器”中露出破绽，病毒会将自己的进程注入到系统的资源管理器进程explorer.exe中，这样我们就无法通过“任务管理器”发现病毒的进程了。病毒进程的主要作用是监视系统中的用户操作，例如你想手动清除病毒，修改注册表，病毒每隔一段时间就会把注册表改回去，让你白费劲。另一个作用是监视IE窗口，发现用户搜索病毒资料时，立即关闭网页。此外，病毒还会破坏Windows防火墙和安全模式，封堵用户的后路。最重要的是，病毒会从网络上下载大量的盗号木马，盗取用户的游戏账户信息，这才是“AV终结者”的真正目的。彻底清除“AV终结者”手动查杀“AV终结者”相对于其他病毒来说比较困难，因为它有不少保护措施。但保护措施做得再好还是有破绽可寻的，清除病毒可以按照以下步骤：Step1：运行“任务管理器”，结束其中的“explorer.exe”进程。单击“任务管理器”的“文件”菜单，选择“新建任务”，输入“regedit”运行“注册表编辑器”。定位到HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\advanced\folder\hidden\showall处，将Check edValue的键值改为“1”（图3）。Step2：在“注册表编辑器”定位到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options，将以杀毒软件和安全工具命名的项删除。Step3：在“资源管理器”中单击“工具”菜单→“文件夹选项”，切换到“查看”标签，取消“隐藏受保护的操作系统文件”前面的钩，然后选中“显示所有文件和文件夹”选项。根据上文中提供的路径删除所有病毒文件。删除其他分区中的病毒，注意不要双击进入盘符，而要用右键点击进入。如何预防“AV终结者”首先，要禁止自动播放功能，并及时更新最新系统补丁，尤其是MS06-014和MS07-017这两个补丁。其次，要限制IFEO的读写权，达到限制病毒通过IFEO劫持杀毒软件的目的。操作方法如下：单击“开始→运行”，在命令行中输入regedit32 ，找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execu tion Options，右键单击此选项，在弹出的菜单中选择“权限”，然后把Administrors用户组和Users用户组的权限全部取消即可（图4）。最后，要限制SAFEBOOT的读写权，达到限制“AV终结者”修改或删除Drives，保护安全模式正常运行的目的。操作方法如下：同样是在32位注册表中找到 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D3 6E967-E325-11CE-BFC1-08002BE 10318}和HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\ Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}，将Administrors用户组和Users用户组的权限全部取消即可。 编后：本文介绍的清除方法需要手动操作，对注册表不熟悉的朋友可以用“AV终结者”专杀工具，并配合SREng、Autoruns、IFEO映像劫持修复工具、修复安全模式.REG、恢复显示隐藏文件.REG使用，也可以彻底清除病毒,这些软件都可以到http://www.cpcw.com/bzsoft下载。
