清除“软告工作室”
--------------------------------------------------------------------------------
听说“软告工作室”很厉害,今天,有幸见到它。
现象:系统变慢,上不了网页。
分析如下:
1, 在 “开始—程序---启动”中有WNSO的快捷方式;
2,在c:\program files\common files\下有,RGGZS目录,手动删除,自动恢复;
3,在c:\windows\system32\driversh目录下,有FRONT.sys roreg.sys(其他文件没看到,可能是我杀毒时,已经清除了),他们保护着RGGZS文件夹和”启动“里的快捷方式;
4,注册表项控制着保护文件的运行 ,下面两项:
(HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROL\SERVICES\front)
(HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROL\SERVICES\roreg)
5,瑞星能杀掉,RGGZS的文件,不过,杀完后,再次杀毒,还有病毒。
通过分析,可以知道最关键的就是清除保护文件,然后再清除其他文件,及相关设置项。
解决方案:
1,首先用最新版的杀毒软件,杀掉系统中的其他病毒体,估计也能查到这个病毒,这么做是保证系统中病毒最少。
2,清除掉系统中的垃圾文件及恶意软件(网上工具很多)
3,由于软告的特点,要先清除保护文件,如果你的系统分区是FAT32,就是用启动光盘到DOS下,清除FRONT.SYS和ROREG.SYS,如果NTFS的话,就用安装光盘启动到控制台模式下,清除这两个文件。注意清除时,连RGGZS也一并删除,以绝后患。
4,启动到安全模式下,删除掉注册表项
(HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROL\SERVICES\front)
(HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROL\SERVICES\roreg)
让系统无法加载保护文件运行。
5,重启到安全模式下,删除快捷方式 WNSO。 至此,病毒的主体,清除完成。
以下注册表项删除
[HKEY_CLASSES_ROOT\CLSID\{197A85BC-BD97-4404-A702-95E556E4DAEB}\InprocServer32]
@="%ProgramFiles%\Common Files\RGGZS\SoBar.dll"
[HKEY_CLASSES_ROOT\SoBar.SBar]
[HKEY_CLASSES_ROOT\SoBar.SBar.1]
[HKEY_CLASSES_ROOT\Interface\{70D9715B-EFFA-4B20-9647-A4351DCFD894}]
[HKEY_CLASSES_ROOT\TypeLib\{97A1F0A2-14B4-4A80-BA2B-18FD571E8AC4}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars\{197A85BC-BD97-4404-A702-95E556E4DAEB}]
[HKEY_LOCAL_MACHINE\SOFTWARE\sepcompu]
联系客服