Question

Hack.SuspiciousAni是什么病毒,为什么总杀不掉呢?

公司的机子昨天中了病毒了,总是一开机就卡的很，要开半天，然后就跳出来几个莫名其妙的网站,卡的要死,关也要关半天才能把它关上。但是瑞星的监控总是有这个病毒,提示重启后删除,可是我重启还是那个样子,我下了安全卫士360，在安全模式在清除了所有的恶意软件，都显示完全清除了，然后又用杀毒软件杀毒，也显示没有病毒了。我很开心的重启回到正常模式下，可是还是卡，开机还是开半天才开开了，还是先跳了几个网站，而且还是有这个病毒。总是不断的提示我。唯一有所变化的就是，先前经常出现有东西要修改注册表的信息，现在暂时没有了，病毒的发现量也少了点，但是就是卡，还有这个讨厌的病毒总是时不时出来。平时我一般都是固定浏览我喜欢的几个网站，几乎不乱下东西的。我现在没有系统盘来重装系统，也没有U盘来备份文件，我们老板对电脑不懂，他总觉得杀毒软件是万能的，如果出现问题他就问我是怎么搞的，态度很恶劣，好像电脑出现任何故障都是我弄坏的一样，讲他也听不懂。无论是电脑还是打印机出现了故障，他都让我想办法解决，搞得我这个小文员好像是万能的一样，从起草文件到电脑维修得无所不通。所以他这次肯定也是让我自己解决，不会请人来重装系统的，所以大家帮我啊，机子很卡啦，就不要提换个杀毒软件试试了，很难在装啦。

Answer 1

这个病毒的表现为无论你上什么网页瑞星监控一直提醒C:\Documents and Settings\“用户名”\Local Settings\Temporary Internet Files\Content.IE5下某些文件夹有病毒,病毒名称为MyTest2[n].jpg并且无法删除!还会造成网页显示不正常!

解决方法:先下载MSMS07-017漏洞补丁!清空IE临时文件夹,就是在IE的工具-Internet选项-常规里选择删除文件。如果还不会清除,可以重启电脑后在地址栏输入C:\Documents and Settings\“用户名”\Local Settings\Temporary Internet Files\Content.IE5删除里边的所有文件夹

如果你删除后打开网页瑞星还提示有病毒并且你是通过局域网来上网的,这说明你受到了其它中毒机器的ARP地址欺骗的攻击!解决方法,安装ARP防火墙,下载地址:http://hera.divshare.com/launch.php?f=761480&s=fc9然后在清空IE临时文件夹!

至此,搞定此病毒!

成功例子:http://zhidao.baidu.com/question/27130714.html
http://zhidao.baidu.com/question/26695689.html
http://zhidao.baidu.com/question/26635262.html

Answer 2

关于Hack.SuspiciousAni的简要解释2007-05-19 09:11来源瑞星
所谓Hack.SuspiciousAni，其实就是利用微软MS07-017中的动态光标处理漏洞的畸形ANI文件，一般由被挂马的网页的相关恶意代码下载。
该 漏洞存在于系统关键文件user32.dll中。当用户进入带有相关恶意代码的网页时，浏览器将会把这种畸形ANI文件下载到本机临时文件夹中，并依照网 页脚本执行，将其设置为浏览此页面时鼠标的光标图案。如果这整个过程完成，则对于没有打上MS07-017补丁的电脑，此漏洞将被触发，黑客将可远程执行 任意代码（一般是下载木马）。

针对此情况，瑞星把这种畸形ANI文件列入查杀范围，命名Hack.SuspiciousAni。

有 了瑞星监控的电脑上，当用户的浏览器打开带有相关恶意代码的网页，将畸形ANI文件下载到本机临时文件夹中时，瑞星文件监控和（或）网页监控将报警，提示 发现Hack.SuspiciousAni。如果该文件在被下载到临时文件夹时即被瑞星查出，一般处理结果为“清除成功”，而如果该文件在被浏览器调用过 程中被发现，瑞星一般将跳过相关代码并提示用户必须“重启电脑后删除文件”。无论是哪种情况，此畸形ANI文件都将不起作用，也就不会下载真正的病毒木马 了。

然而有时就因为“重启后删除”这个提示，有可能会令不明就理的用户们十分紧张。因为他们会发现，重启后再扫描时，瑞星仍然会提示……

其实如果仅仅就这个“病毒”本身而言，处理方法非常简单：
关闭浏览器，然后清空IE临时文件夹。
但是，如果浏览任何网页都会出现此报毒提示，那么真正的根源就不在Hack.SuspiciousAni本身了，详情请看下面的补充说明。

另 外，由于MS07-017漏洞目前被黑客在网页挂马上利用得比较频繁，强烈建议用户到windows update上打上相关补丁，补丁详情可参考http://forum.ikaka.com/topic.asp?board=28&artid =8292648或直接参考http://www.microsoft.com/technet/security/bulletin/ms07- 017.mspx

4月24日补充：

这个帖子出来之后，又发现新情况：
某些病毒（如http: //forum.ikaka.com/topic.asp?board=28&artid=8302447中所述的病毒），利用ARP欺骗等手 段，在用户收到的网络数据包中自动插入iframe代码，代码指向利用MS07-017漏洞的网址。使得中毒用户，以及局域网中受到此中毒电脑的欺骗攻击 的用户，在上任意网站的时候，均会出现Hack.SuspiciousAni的报警。
如果用户上任意网站时都会出现Hack.SuspiciousAni的报警，即可能属于这种情况，必须采取的措施：
1.无论如何先把补丁打上。
2.查实是自己的电脑中了毒，还是别人的电脑中毒后攻击自己。
如果是自己的电脑中了毒，应及时处理；如果是别人的电脑中毒后攻击自己，应联系相关网管人员协调处理。

对于此类情况，用户要有清醒的头脑，因为这类情况下，Hack.SuspiciousAni只不过是一种“表现”，而绝不是病毒的实质，死盯着Hack.SuspiciousAni这个病毒名是没有意义的。

如果还不明白，再举一例：
威 金病毒会下载“落雪”木马。如果杀毒软件对“落雪”木马报毒并清除，但是却没有查到或杀不净威金病毒，那么，“落雪”木马仍然会被一次又一次地下载下来。 于是就造成了用户“落雪木马杀不死”的错觉。这种状况，对于落雪木马本身来说，的确是“重复中毒”。只不过，如何找到根由，杜绝“重复中毒”，相对于落雪 木马本身的查杀来说，就又是另外一个问题了。

如何处理Hack.SuspiciousAni，是一码事，如何处理自动导致连接恶意这种网页的病毒，又是另一码事。就像下载器和被下载的木马，其功能和原理都是“可分”的。所以请绝对不要把两者混淆在一起。

Answer 3

到这里看看http://hi.baidu.com/xzs520xx/blog/item/c5bef335619a2e8aa61e1286.html

Answer 4

这个漏洞在四月初就被发现了，赶紧补
windows的ANI漏洞被人利用来传木马，
有更新windows的安全更新
用卡巴能阻止其下载木马
http://zhidao.baidu.com/question/23742350.html?si=1
赶紧下载补丁。
微软官方鼠标漏洞发布ANI补丁(下载)
http://kaba.91fox.cn/read-htm-tid-1991.html

针对微软的发的漏洞补丁的光标漏洞蠕虫专杀工具
http://kaba.91fox.cn/read.php?tid=2468