Question

病毒杀不死

文件:C:\WINDOWS\Logo1_.exe
病毒:可能是未知的NewHeur_PE病毒

Answer 1

logo1_.exe病毒免疫方法

最近看到好多关于logo1_.exe病毒的求助帖。所以觉得有必要发此帖。

最近疯狂的LOGO1_EXE病毒不知道毒害了多少网吧,此病毒特征是，所有的EXE文件变色，进程中多了一个logo1_.exe，此病毒主要是盗取游戏帐号，至于如何查杀，我试了几种杀毒软件都很不理想，也看了网上流传的一些免疫方法,但是都是过于麻烦,而且在已感染机器之上无效，经研究发现一种比较简单的方法.不过要求系统盘为NTFS, 在C盘WINDOWS或WINNT目录下建立一个名叫logo1_.exe的文件,把文件的读写权限全部设成拒绝便可以了,此时你发现,你无法删除此文件了,也无法改写它,到这里我们已经可以免疫了,但是为了以防万一,我们在组策略中,再指定拒绝运行logo1_.exe这个文件,至此,就算机器感染此病毒,也无法发作了,
假如你的机器已经不幸感染了,那就在进程中关闭logo1_.exe这个进程,再到C盘下的WINDOWS或WINNT下把这个文件删除，再建立一个拒绝访问的logo1_.exe文件，这样，就可以完全的防止这个病毒的再次发作了
还有，最好是删除默认共享
此方法的原理就是，不让病毒发作时生成主文件．通过组策略不让文件运行，通过删除默认共享来防止病毒通过网络传染

附其它病毒信息及防预方法：

详细技术信息：

病毒运行后，在%Windir%生成 Logo1_.exe 同时会在windws根目录生成一个名为"virDll.dll"的文件。

%WinDir%\virDll.dll
该蠕虫会在系统注册表中生成如下键值：

[HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW]
"auto" = "1"

盗取密码

病毒试图登陆并盗取被感染计算机中网络游戏传奇2的密码，将游戏密码发送到该木马病毒的植入者手中。

阻止以下杀毒软件的运行
病毒试图终止包含下列进程的运行，这些多为杀毒软件的进程。 包括卡八斯基，金山公司的毒霸。瑞星等。98%的杀毒软件运行。
国产软件在中毒后都被病毒杀死，是病毒杀掉-杀毒软件。如金山，瑞星等。哪些软件可以认出病毒。但是认出后不久就阵亡了。

通过写入文本信息改变"%System%\drivers\etc\hosts" 文件。这就意味着，当受感染的计算机浏览许多站点时（包括众多反病毒站点），浏览器就会重定向到66.197.186.149。

病毒感染运行windows操作系统的计算机，并且通过开放的网络资源传播。一旦安装，蠕虫将会感染受感染计算机中的.exe文件。

该蠕虫是一个大小为82K的Windows PE可执行文件。

通过本地网络传播

该蠕虫会将自己复制到下面网络资源：

ADMIN$
IPC$

症状

蠕虫会感染所有.exe的文件。但是，它不会感染路径中包含下列字符串的文件：

\Program Files

Common Files

ComPlus Applications

Documents and Settings

NetMeeting

Outlook Express

Recycled

system

System Volume Information

system32

windows

Windows Media Player

Windows NT

WindowsUpdate

winnt
蠕虫会从内存中删除下面列出的进程：

EGHOST.EXE
IPARMOR.EXE
KAVPFW.EXE
KWatchUI.EXE
MAILMON.EXE
Ravmon.exe
ZoneAlarm

网吧遭此病毒破坏造成大面积的卡机，瘫痪。危害程度可以和世界排名前十的爱情后门变种相比。该病毒可以通过网络传播，传播周期为3分钟。如果是新做的系统处于中了毒的网络环境内，只要那个机器一上网，3分钟内必定中招。中招后你安装 rising SkyNet Symantec McAfee Gate Rfw.exe RavMon.exe kill NAV 等杀毒软件 都无法补救你的系统，病毒文件 Logo1_.exe 为主体病毒，他自动生成病毒发作所需要的的 SWS32.DLL SWS.DLLL KILL.EXE 等文件。这些文件一但衍生。他将迅速感染系统内EXPLORE 等系统核心进程 及所以.exe 的可执行文件，外观典型表现症状为 传奇 ，泡泡堂，等游戏图标变色。 此时系统资源可用率极低，你每重新启动一次，病毒就会发作一次。
该病毒对于防范意识较弱，还原软件未能及时装到位的网吧十分致命，其网络传播速度十分快捷有效。旧版的杀毒软件无法检测，新版的无法彻底根杀。一但网吧内某台机器中了此病毒，那么该网吧所有未中毒的机器都处于危险状态。由于病毒发作贮留于内存。且通过EXPLORE.exe 进行传播。因此即使是装了还原精灵，还原卡的机器也同样会被感染。你重新启动后系统可以还原。但是你一但开机还是会被感染。

病毒发作会生成另外病毒 PWSteal.Lemir.Gen 和 trojan.psw.lineage 等等。都是些非常厉害的后门程序。和外挂病毒相似，但是其威力是外挂病毒的50倍以上。在WIN98平台下，改病毒威害比较小。在WIN2000 /XP/2003 平台对于网吧系统是致命的

运行系统极度卡机。你重新启动后你会发现你所有游戏的.EXE 程序全部都感染了

最新杀毒软件杀完后。除了系统可以勉强运行。其他的你也别想运行了。

病毒清理办法

如果在病毒没有发作情况下杀毒是可以完全搞定的。如果发作了也不要杀毒了。直接克盘恢复吧。

一、找到注册表中[HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW]
"auto" = "1"
删除DownloadWWW主键

二、找到
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\system.ini\boot]
winlogo 项
把WINLOGO 项 后面的C:\WINNT\SWS32.DLL 删掉
接下来把HKEY_LOCAL_MACHINE]SOFTWARE/Microsoft/Windows/CurrentVersion/Run 键中 /RunOnce/RunOnceEx 两个中其中有个是也是

C:\WINNT\SWS32.dll
把类似以上的全部删掉 注意不要删除默认的键值（删了的话后果自负）

如果没有以上键值，则直接跳过此步骤

三 结束进程

按“Ctrl+Alt+Del”键弹出任务管理器，找到logo1_.exe 等进程，结束进程，可以借助绿鹰的进程管理软件处理更方便。找到EXPL0RER.EXE进程（注意第5个字母是数字0不是字母O），找到它后选中它并点击“结束进程”以结束掉（如果EXPL0RER.EXE进程再次运行起来需要重做这一步）。

杀毒及重装系统后的防范

有些网友在处理病毒的时候可能有这样的感觉好不容易清除了，或者没办法重新装了系统，但是没多长时间有中了同样的病毒，所以说有免疫程序实最好的了。下面就将免疫程序公布如下，供网友们下载使用：
建议做系统的时候把默认共享关闭。关闭IPC$ ADMIN$ 关闭554 关闭ICMP路由。给ADMINISTRATOR 组所有成员设置密码。最好数字加英文
下载地址可以到http://www.e169.net的软件下载中?... ü�旅娴耐�废略兀?/a>
http://www.e169.net/softdown/list.asp?id=151
文件说明下载解压后有3个文件
dellogo.bat放在winnt目录下，98的用户放到windows目录下
delshare.bat放到开始菜单--程序---启动项中，目的能让计算机启动后就删除默认共享，从而阻止病毒对外传播和再次感染的桥梁。
ljl.reg下载后直接运行这个文件，提示，信息导入注册表后，说明写入注册表成功，目的是让计算机重新启动后能立刻删除病毒主题文件
logo1_.exe文件。要注意的实这个注册表导入文件是针对win2000系统的，如果您是其他的操作系统，请参考修改一下就可以。

以上操作只是阻断传播，如果怕在使用中感染此病毒，您还需要按照如下操作，这样即使病毒感染，也不能运行主体病毒程序。
当然这里说的操作实针对win2000系统的，其他的系统可以参考操作：

运行 gpedit.msc 打开组策略
依次单击用户配置- 管理模块- 系统-指定不给windows运行的程序

点启用 然后 点显示 添加 logo1_exe 也就是病毒的源文件 。

Answer 2

前两天也中了病毒。会在C盘window下自动生成 N 个 exe文件，其中有一个就是logo1_.exe。经过两天的努力，终于将病毒杀干净了。

需要的东西有，
国外的杀毒软件：如 卡巴斯基、诺顿等。
木马清理： 如，木马清道夫（绿色版带注册机的，升级时，只升病毒库，不要升版本，否则，升级后版本不同，注册机注册不了）
注册表修复工具： 如 黄山IE修复专家

这些用百度找到，下载，升级。
重启到安全模式，先杀木马，再杀病毒。杀完重启到安全模式下，再杀。
一般就好了，完了之后修复一下注册表。如果不行，就重装系统。

注：这个应该是木马，好像叫做 Infostealer 。

PS:国产的杀毒软件，很多时间会被木马、病毒干掉，成了病毒杀软件...
所以，还是国外的好用一点。

Answer 3

下载个麦咖啡的杀毒软件就可以杀掉NewHeur_PE.
我最近就用它杀掉NewHeur_PE的.
把原来的杀毒软件卸掉,下载后安装下在运行就可以了.
没楼上的麻烦.
或者找个DON32杀毒软件也可以.

Answer 4

安全模式下，用杀毒软件杀！如果杀不了，记下路径，在安全模式下直接删除！