|
一台电脑最近两天系统运行速度变慢，重启时屏幕上会出现以下内容的信息：
NOTICE：
Illegal Microsoft Windows license detected!
You are in violation of the Digital Millennium Copyright Act!
Your unauthorized ficense has been revoked．
for more information，please call us at：
1-888-NOPIRACY
On our website，at：
www.bsa.org
Business Software Alliance
Promoting a safe＆legal online world．
分 析
根据故障提示信息可以判定是中了“硬盘杀手(Worm.OpaSoft)”病毒，该病毒有以下特
点。
(1)是全球第一个可以覆盖硬盘分区的蠕虫病毒，没有采取防护措施的计算机一口．被感
染，硬盘分区将被覆盖，导致硬盘被锁死，硬盘无法使用、所有数据全部被封存。
(2)该病毒运行时会首先将自己复制到系统目录下，然后修改注册表进行白启动。
(3)该病毒会通过Windows 9x系统的漏洞和共享文件夹进行疯狂网络传播，即使网络共
享文件夹有共享密码，病毒也能传染。
(4)如果是NT系列系统，则病毒会通过共享文件夹感染网络。
(5)病毒会获取当前时间，如果病毒已经运行两天，则病毒会在C盘下写入病毒文件。
(6)该病毒文件会改写硬盘分区表，当系统重启时，会出现病毒信息，并将硬盘上所有
数据都破坏掉，并且不可恢复。
排除过程
由于病毒发现太晚，当重新启动出现上面的提示时，所有数据已经被毁坏且不可恢复，
如果用户所在局域网还有其他计算机，可以通过下面方法进行查找并清除病毒。
(1)病毒运行时会将自己复制到Windows安装目录下(如果是默认安装则病毒拷贝的目
录为：C：\Windows)，命名为：mqbkup.exe。可以用DOS盘引导系统，在DOS下直接删除此
文件，或者在Windows系统中用杀毒软件进行内存杀毒。
(2)病毒会改写Windows安装目录下的Win.ini文件，在其中加入run=c：\Windows
\mqbkup.exe，用户可以用编辑软件直接编辑此文件，将此内容删除。
(3)病毒会在C盘创建19字节的msdos.sys文件、1706字节的Mslicenf.com文件、88
字节的Boot.ini文件、4096字节的Boot.exe文件、15字节的Autoexe.bat文件，用户可以直
接将这5个文件删除。
(4) 病毒会在注册表的自启动项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中加入
键值mqbkup或者mqbkupdbs，用户可以用注册表编辑工具直接将该键值直接删除。
|
