Question

请问VIRUS.win32.Magister.a木马怎么解决

这个木马整天都有杀毒软件提示.之前我用360杀毒和安全卫士.听网上的朋友说是杀毒软件问题.我就删了.但是没用.还有玩LOL的时候.每次选完英雄开始游戏.右下角每次都会有个什么安检.加载不到一半就卡住然后蓝屏.这木马怎么也修复不来.请帮忙解决一下

Answer 1

如果遇到这类隐藏性很高的、又释放驱动的病毒，很难处理。所以要先对病毒灭活，杀掉活体病毒之后就很容易查杀了
如果遇到木马或病毒杀不掉，一般是由于木马病毒正在运行，或者有其他的病毒进程守护，造成的。

1、电脑杀毒建议安装专业的杀毒软件，用杀毒软件在安全模式下全盘查杀处理病毒应当可以清理彻底，推荐试试腾讯电脑管家，它是免费专业安全软件，杀毒管理二合一(只需要下载一份），占内存小，杀毒好，防护好，无误报误杀。拥有云查杀引擎、反病毒引擎、金山云查杀引擎、AVIRA查杀引擎、小红伞和查杀修复引擎等世界一流杀毒软件内嵌杀毒引擎！保证杀毒质量。如果遇到顽固木马，可以用首页——工具箱——顽固木马克星，强力查杀，效果相当不错的。

2、安全模式下，将该目录的所有文件按修改时间重新排列，将该病毒以及修改时间和病毒一样的文件删除（先纪录名字）。安全模式下，在运行中输入msconfig，在“启动”中将除了ctfmon之外的所有项目的勾去掉。在安全模式下，把刚才的名字一个一个在注册表中查找一遍，一样路径和名称的键都删除

3、如果遇到所有安全类软件打不开，就可以用安全模式试试。如果安全模式下也进入不了的话没有太好的办法了，可以尝试挂盘杀毒，也可以制作一个引导杀毒的工具，很多杀毒软件都有引导杀毒工具，或者是重装系统。

建议你在用杀毒软件检测出木马病毒后，第一时间进行清除。一般当扫描出木马后，都会帮您勾选好所有木马，只需要点击“立即清除”就可以了。有些木马需要重启电脑，为了彻底清除危害千万不要嫌麻烦哦。

Answer 2

这种病毒应该是名称为: Worm.Magistr.g的一种感染型病毒，但是由于

　　病毒是由C语言编写的感染型病毒，感染后缀名为EXE的32位PE可执行程序，病毒源的大小为40KB。

　　病毒源文件为boot.exe，由用户从U盘上提取。

　　病毒源文件流程:

　　boot.exe运行后检查自己是否在驱动器根目录下，如不是退出。

　　检查是否存在"C:\WINNT\linkinfo.dll",如果不存在则建立该文件。
　　检查驱动文件是否存在，如不存在则生成驱动文件%SystemRoot%\system32\drivers\IsDrv118.sys(加载后删除)，并调用ZwSetSystemInformation加载驱动。

　　装载该dll，然后查找病毒调用序号为101的导出函数。

　　DLL流程:

　　DLL被装载时：

　　1、获得系统sfc.dll中的SfcIsFileProtected函数地址，以便在感染时调用以防止感染受系统保护的文件。
　　2、获取系统的linkinfo.dll(%system32%目录下)的下列导出函数，使自己导出的同名函数指向正常的linkinfo.dll中正确的函数，以便转接这些函数。

　　ResolveLinkInfoW
　　ResolveLinkInfoA
　　IsValidLinkInfo
　　GetLinkInfoData
　　GetCanonicalPathInfoW
　　GetCanonicalPathInfoA
　　DisconnectLinkInfo
　　DestroyLinkInfo
　　CreateLinkInfoW
　　CreateLinkInfoA
　　CompareLinkInfoVolumes
　　CompareLinkInfoReferents

　　3、检查自己是否在explorer.exe进程中，如不是则启动病毒主线程。

　　4、启动病毒主线程

　　病毒首先通过VMWare后门指令检查是否是在VMWare下运行，如果是直接重启机器，以此来防止自己在虚拟机中被运行。

　　生成名称为"PNP#DMUTEX#1#DL5"的互斥量，以保证只有一个实例在运行。

　　然后开始启动各工作线程

　　5、工作线程1(生成窗口和消息循环)

　　生成隐藏的窗口和消息循环，并通过调用RegisterDeviceNotificationA注册设备通知消息，当发现插入可移动磁盘时，向可移动磁盘写入病毒源boot.exe。

　　6、工作线程2(遍历并感染所有磁盘)

　　从"C:\"开始感染所有磁盘中后缀名为"exe"的文件。

　　病毒在感染时，不感染"QQ"、"winnt"和"windows"目录下的程序文件，并通过调用SfcIsFileProtected来检查是否为系统文件，如是则不感染。
　　同时，病毒不感染以下程序：

　　wooolcfg.exe
　　woool.exe
　　ztconfig.exe
　　patchupdate.exe
　　trojankiller.exe
　　xy2player.exe
　　flyff.exe
　　xy2.exe
　　大话西游.exe
　　au_unins_web.exe
　　cabal.exe
　　cabalmain9x.exe
　　cabalmain.exe
　　meteor.exe
　　patcher.exe
　　mjonline.exe
　　config.exe
　　zuonline.exe
　　userpic.exe
　　main.exe
　　dk2.exe
　　autoupdate.exe
　　dbfsupdate.exe
　　asktao.exe
　　sealspeed.exe
　　xlqy2.exe
　　game.exe
　　wb-service.exe
　　nbt-dragonraja2006.exe
　　dragonraja.exe
　　mhclient-connect.exe
　　hs.exe
　　mts.exe
　　gc.exe
　　zfs.exe
　　neuz.exe
　　maplestory.exe
　　nsstarter.exe
　　nmcosrv.exe
　　ca.exe
　　nmservice.exe
　　kartrider.exe
　　audition.exe
　　zhengtu.exe

　　7、工作线程3(禁止其它病毒、破坏卡卡助手和感染网络)

　　枚举进程，如果进程的程序文件名(包括目录)是如下程序(常见的病毒程序)，将终止该进程

　　realschd.exe
　　cmdbcs.exe
　　wsvbs.exe
　　msdccrt.exe
　　run1132.exe
　　sysload3.exe
　　tempicon.exe
　　sysbmw.exe
　　rpcs.exe
　　msvce32.exe
　　rundl132.exe
　　svhost32.exe
　　smss.exe
　　lsass.exe
　　internat.exe
　　explorer.exe
　　ctmontv.exe
　　iexplore.exe
　　ncscv32.exe
　　spo0lsv.exe
　　wdfmgr32.exe
　　upxdnd.exe
　　ssopure.exe
　　iexpl0re.exe
　　c0nime.exe
　　svch0st.exe
　　nvscv32.exe
　　spoclsv.exe
　　fuckjacks.exe
　　logo_1.exe
　　logo1_.exe
　　lying.exe
　　sxs.exe

　　病毒通过修改卡卡助手的驱动"%system32%\drivers\RsBoot.sys"入口，使该驱动在加载时失败。

　　枚举网络资源，并尝试对网络资源中的文件进行感染。

　　枚举并尝试向局域网中计算机的隐藏共享文件夹"%s\\IPC$"、"C$"等写入名称为"setup.exe"的病毒源文件，尝试连接时使用"Administrator"作为用户名，并使用下列密码尝试。

　　password1
　　monkey
　　password
　　abc123
　　qwerty
　　letmein
　　root
　　mypass123
　　owner
　　test123
　　love
　　admin123
　　qwer
　　!@#$%^&*()
　　!@#$%^&*(
　　!@#$%^&*
　　!@#$%^&
　　!@#$%^
　　!@#$%
　　asdfgh
　　asdf
　　!@#$
　　654321
　　123456789
　　12345
　　admin

　　8、工作线程4(修改host文件并下载)
　　备份host文件为host.txt，并下载文件代替。
　　查找系统html文件的关联程序，启动并注入dll以便穿过防火墙的拦截。
　　尝试连接以下地址并下载文件
　　http://top.cn372*****rg/c.asp
　　http://top.cn37****rg/top.dat

　　9、工作线程5(监视并禁止其它病毒)

　　通过调用驱动获得新生成的进程，如果进程的文件是指定程序(见工作线程3)，终止该进程

　　驱动：

　　该驱动加载后首先通过替换 SDT 的中的函数地址挂钩
　　ZwSaveKey
　　ZwQueryDirectoryFile
　　ZwClose
　　ZwEnumerateKey
　　ZwLoadDriver
　　...
　　等 API 来保护病毒的注册表键值不被发现和修改，并隐藏病毒文件（boot.exe, linkinfo.dll, nvmini.sys等）,
　　以及禁止一些安全软件的驱动加载。

　　然后，驱动创建一个名为 DL5CProc 的设备。用户进程可以通过 ioctl = 25270860 来获得最后一个创建进程的进程 ID。
　　这个进程 ID 是通过调用 PsSetCreateProcessNotifyRoutine 得到的通知获得。

　　该驱动还会通过 PsSetLoadImageNotifyRoutine 设置映像加载通知，如果加载的映像文件在以下子目录中：
　　COMMON FILES, WINDOWS\SYSTEM32, WINNT\SYSTEM32
　　并且名为：
　　DLLWM.DLL
　　WININFO.RXK
　　RICHDLL.DLL
　　WINDHCP.DLL
　　DLLHOSTS.DLL
　　NOTEPAD.DLL
　　RPCS.DLL
　　RDIHOST.DLL
　　RDFHOST.DLL
　　RDSHOST.DLL
　　LGSYM.DLL
　　RUND11.DLL
　　MDDDSCCRT.DLL
　　WSVBS.DLL
　　CMDBCS.DLL
　　UPXDHND.DLL
　　该驱动会通过修改物理内存修改模块入口是这些模块返回失败，无法成功加载。这些动态库多是一些盗密码的
　　病毒以及Worm.Viking的动态库，所以被 Magister 感染的系统不会再感染这些病毒。

　　被感染的文件:

　　病毒感染文件时，会将原文件最后一个节增大，将病毒代码写入被感染文件的代码节，修改入口点指向病毒代码并保存原来的入口点地址，然后将被覆盖的原来文件的代码、病毒的dll、sys文件压缩保存在文件最后一个节中增大的地方。被感染的文件运行时，病毒代码先被运行，释放C:\WINNT\linkinfo.dll和%SystemRoot%\system32\drivers\IsDrv118.sys并加载，然后调用linkinfo.dll的序号为101的函数。病毒代码最后会恢复原文件被覆盖的代码并跳回原文件的入口开始运行原来的文件。

　　如果想使用比较简单的方法，建议你使用腾讯电脑管家进行全盘查杀和顽固木马克星进行深度查杀。

Answer 3

你可以下个360急救箱进入安全模式扫描查杀一下，看看是否行得通。如果再不行的话，那就要重做系统，如果问题依旧存在，那就请格式化你的硬盘，再重做系统。

Answer 4

马吉斯（Worm.Magistr）
病毒是由C语言编写的感染型病毒，感染后缀名为EXE的32位PE可执行程序，病毒源的大小为40KB。病毒源文件为boot.exe，由用户从U盘上提取。病毒感染文件时，会将原文件最后一个节增大，将病毒代码写入被感染文件的代码节，修改入口点指向病毒代码并保存原来的入口点地址，然后将被覆盖的原来文件的代码、病毒的dll、sys文件压缩保存在文件最后一个节中增大的地方。被感染的文件运行时，病毒代码先被运行，释放C:\WINNT\linkinfo.dll和%SystemRoot%\system32\drivers\IsDrv118.sys并加载，然后调用linkinfo.dll的序号为101的函数。病毒代码最后会恢复原文件被覆盖的代码并跳回原文件的入口开始运行原来的文件。

建议用大蜘蛛或金山顽固木马专杀试试吧