【原创】【报告】发现新病毒-WincmdXP.exe-影响局域网共享

nello

版权所有,转载注明nello和专门网.


这两天被这个破病毒搞的够呛.

系统环境:
Windows 2000 Pro SP4 + IE6.0 + 全新补丁
杀毒软件:
McAfee 7.1 + 最新病毒库

现象:
1.进程中有WincmdXP.exe,无法结束
2.C:\winnt\下有WincmdXP.exe这个文件,正常模式下无法删除
3.别人无法访问你的共享,比如共享文件和共享打印机
4.还会伴随IE经常性的死机和非法操作被关闭.
5.服务里面有Windows Command 之类的服务,没有描述,执行的文件就是C:\winnt\WincmdXP.exe

由于现在绝大部分的杀毒软件都无法清除,我们只有手动清理了.
1.重启开机按F8进入安全模式.
2.运行Regedit.exe , 查找Run项目,清理WincmdXP.exe相关的启动项
3.运行services.msc , 查找那个Windows Command字样的服务,右键属性,选择已禁用
4.工具--文件夹选项--显示隐藏文件和文件夹,不隐藏系统保护文件;找到C:\winnt\WincmdXP.exe,并且删除.
5.打开本地连接的属性,删除TCP/IP协议(注意如果有IP设置的话,请记下你的IP设置),删除网卡驱动.重新启动.删除你的共享打印机
6.重新安装你的网卡驱动,设置共享文件夹和打印机

如上设置之后,一般就可以恢复你的局域网共享了.
病毒库报McAfee公司后,已经收到了附加病毒码,但是到今天升级后,附加码已经无效.但是新的病毒定义文件还是无法定义这个病毒,看来还需要等待一段时间了.

另:目前还没有发现在Windows XP SP2环境下发作.但是做测试的时候在一台XP中运行了这个病毒文件,现象和2000的差不多.只是路径不一样,在C:\windows\下.而且SP2的防火墙也遭受破坏,默认被关闭,而且无法设置.删除TCP/IP,重新设置访问组策略后,共享访问正常.但是防火墙的修复还需要在组策略中进行详细的设置.所有的选项都设置为未配置就可以了.还不行的话,试试命令行下的设置方法.

希望对大家有帮助.


[ 本帖最后由 nello 于 2005-12-6 11:10 编辑 ]

nello

命令行模式下配置SP2防火墙参考:

C:\Documents and Settings\nello>netsh
netsh>firewall
netsh firewall>help

The following commands are available:

Commands inherited from the netsh context:
..             - Goes up one context level.
abort          - Discards changes made while in offline mode.
add            - Adds a configuration entry to a list of entries.
alias          - Adds an alias.
bridge         - Changes to the `netsh bridge' context.
bye            - Exits the program.
commit         - Commits changes made while in offline mode.
delete         - Deletes a configuration entry from a list of entries.
diag           - Changes to the `netsh diag' context.
exit           - Exits the program.
firewall       - Changes to the `netsh firewall' context.
interface      - Changes to the `netsh interface' context.
offline        - Sets the current mode to offline.
online         - Sets the current mode to online.
popd           - Pops a context from the stack.
pushd          - Pushes current context on stack.
quit           - Exits the program.
ras            - Changes to the `netsh ras' context.
routing        - Changes to the `netsh routing' context.
set            - Updates configuration settings.
show           - Displays information.
unalias        - Deletes an alias.
winsock        - Changes to the `netsh winsock' context.

Commands in this context:
?              - Displays a list of commands.
add            - 添加防火墙配置。
delete         - 删除防火墙配置。
dump           - Displays a configuration script.
help           - Displays a list of commands.
reset          - 将防火墙配置重置为默认值。
set            - 设置防火墙配置。
show           - 显示防火墙配置。

To view help for a command, type the command, followed by a space, and then
type ?.

netsh firewall>

nello

在Google上没有搜索到相关的方法,所以写出来,希望对大家有帮助.写的不对的地方也请大家斧正.^_^

[ 本帖最后由 nello 于 2005-12-5 21:11 编辑 ]

recovery-ibm

谢谢,我这里没有,希望能提供更多信息

极度压抑

2000这个东西太容易中毒，我早就不用了，推荐2003或者xp,绝对安全方便多了！

jameschenhz

谢谢！～～～～～～～～～～

lzc

看来这病毒还基本能自己手动搞掂，还不是那种破坏性非常大的

Puppy_abc

卡巴斯基12月2日的病毒库已可查杀。

nello

QUOTE:

原帖由 Puppy_abc 于 2005-12-6 08:44 发表
卡巴斯基12月2日的病毒库已可查杀。

谢谢告知.网络共享的功能会自动修复么?

Puppy_abc

QUOTE:

原帖由 nello 于 2005-12-6 08:47 发表


谢谢告知.网络共享的功能会自动修复么?

这个不清楚，因为没遇到过该病毒。*.*lll