小心最近的新病毒sxs.exe

深渊

这是一个盗取QQ帐号密码的木马病毒，特点是可以通过可移动磁盘传播。该病毒的主要危害是盗取QQ帐户和密码；该病毒还会结束大量反病毒软件，降低系统的安全等级。
7 }+ n: ~/ L: C/ T, Y
8 s6 f) O0 {- Q5 a% F  h7 x1，生成文件
%system%\SVOHOST.exe
%system%\winscok.dll

% L8 c2 N+ U& o- A' U$ m3 x2，添加启动项
& s! G3 W( |0 U7 }" g# AHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
3 j" i0 y, X5 A# ~6 F"SoundMam" = "%system%\SVOHOST.exe"
) W5 h6 D1 q) i( v6 a, e
/ G+ G5 W; O, ?* R. P3，盗取方式
. V! p8 s8 h- H9 n/ ^9 \: p键盘记录，包括软件盘；将盗取的号码和密码通过邮件发送到指定邮箱。

1 ~8 z' w/ B; |3 z. Q6 s3 g4，传播方式
" Z" f+ n- y& \7 P) j/ P9 j; p检测系统是否有可移动磁盘，是则拷贝病毒到可移动磁盘根目录。
sxs.exe
, P: u5 T. _' v) cautorun.inf
( @! R# p: y3 V0 }4 C
5，autorun.inf添加下列内容，达到自运行的目的。
[AutoRun]
open=sxs.exe
shellexecute=sxs.exe

: r4 l  |9 T  ?/ F+ @3 [8 P( N2 ?8 ^6，关闭窗口名为下列的应用程序
QQKav
雅虎助手
( v1 ?1 S+ R% ^8 O" M6 {8 f防火墙
6 V: X2 O! H  i( M5 i+ _4 R( f9 A网镖
5 D# w4 U- [* S% W杀毒
- ?' l) z; X/ u病毒
木马
& s: h+ Z4 w( |. m  }9 Y恶意
: g# `- H" e- g, K5 eQQAV
噬菌体
8 N/ n% @' w. F' U- G* Q$ Z' o1 N
7，结束下列进程
. i" Q( T9 Z2 ^0 o5 r8 z: M9 `! Zsc.exe
' l) L, v  l( Q' p* p- mnet.exe
sc1.exe
net1.exe
PFW.exe
1 B, D4 Q# {/ v7 r6 P, z+ AKav.exe
  Z, b, o+ y. C0 nKVOL.exe
4 P- Y. O+ \: W; U% P: cKVFW.exe
TBMon.exe
! Z& d; b# H$ b* e* _5 P, Ekav32.exe
2 A4 `1 |! b0 e, Qkvwsc.exe
CCAPP.exe
; W; g# T4 G7 I, ZEGHOST.exe
2 y& o4 o' v# g. J# A7 fKRegEx.exe
1 a' W) Q$ K8 N& x5 I1 W: fkavsvc.exe
8 x: L+ r! b$ PVPTray.exe
RAVMON.exe
KavPFW.exe
* w; h5 }8 P" j$ t$ BSHSTAT.exe
. P3 ?4 W  d/ }' a4 a" u. ARavTask.exe
TrojDie.kxp
Iparmor.exe
1 a3 _8 r: z8 T! @9 VMAILMON.exe
MCAGENT.exe
KAVPLUS.exe
2 O0 {1 ]' t0 @- t+ m$ y+ \( xRavMonD.exe
* k* M/ O2 u9 G7 Q7 J+ f) nRtvscan.exe
% }' [9 K: z: C1 I9 `Nvsvc32.exe
- W/ p2 W, F& I% b  b& X* kKVMonXP.exe
& y+ ?+ [3 ?0 i: g' r/ c8 k5 EKvsrvxp.exe
CCenter.exe
2 W) B: f8 G3 {  \* o* m0 IKpopMon.exe
* S* [  G4 P" GRfwMain.exe
KWATCHUI.exe
" P/ {1 |& r- k$ _3 B: A4 \3 w- HMCVSESCN.exe
6 ?# e, D. x1 f; N4 Q' C6 n1 \MSKAGENT.exe
kvolself.exe
! ^4 U  `7 y5 w3 bKVCenter.kxp
0 v# p- _; U) h6 w' P3 e3 ^/ g7 wkavstart.exe
! c: d3 }" [9 P) ]0 wRAVTIMER.exe
0 Q# h' ^; l- i" `& e  URRfwMain.exe
FireTray.exe
UpdaterUI.exe
* M6 F1 [/ v2 G" e" G2 d* oKVSrvXp_1.exe
5 j$ _; _" j6 m0 h) fRavService.exe

8，删启动项
- ]! J1 @3 A" v4 lHKLM\Software\Microsoft\Windows\CurrentVersion\Run
4 L6 t  @9 W+ e- \, lRavTask
7 Z* x9 _* R  \% Z5 u# O4 m' jKvMonXP
. ]1 p% C; i6 t0 y: X% @6 TYLive.exe
0 R9 V- H3 W2 R5 P/ |: Q) cyassistse
KAVPersonal50
- d- J- k; }# I& R; LNTdhcp
WinHoxt
* u: A2 T, C; c8 v7 g9 N( d
查杀方法：

; t. q7 Y5 I. l( J- S; i' H首先，要显示隐藏文件
) {0 s' g% W; H; x# b
$ ?  a) w1 K7 c, [' D
在这个：HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\


Advanced\Folder\Hidden\SHOWALL，将CheckedValue键值修改为1


' w# h1 \3 o# f# d* D* t% f还是没有用，隐藏文件还是没有显示，仔细观察发现病毒它有更狠的招数：它在修改注册表达到隐藏文件目的之后，为了稳妥起见，把本来有效的DWORD值CheckedValue删除掉，新建了一个无效的字符串值CheckedValue，并且把键值改为0！这样你以为把0改为1就会万事大吉，可是故障依旧如此！也就难怪出现以上的现象了。
3 ]( f7 Y9 ]: j* L) h$ M

正确的方法是：先检查CheckedValue的类型是否为REG_DWORD，如果不是则删掉“李鬼”CheckedValue。然后单击右键“新建”--〉“Dword值”，并命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”。


" x2 x; M6 \) h; o& c% Y经过刚才一番操作，我的电脑里的隐藏文件可以看到了，假如上述方法无效，那么可能是 HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden的数据丢失或损坏，遇到这种情况，请在Windows XP安装光盘中找到Hidden.reg，双击它，然后单击“确定”按钮，将该完整的注册表数据添加到当前系统的注册表中即可
6 d+ B9 y) ~2 q( Z0 f3 i
- i; o1 T  A! ?: [6 }
4 w  ?6 l2 n2 o' N

. K* ~# }6 O" i. g  j" @. k6 Q你这是修改过的ROSE病毒
8 s2 k0 R$ f: K' O% l% u& X3 U
: B% n" P5 m% s可以结束SXS的进程删除，记住，用鼠标右键进入硬盘
; ^; i1 m5 N* A) @  t6 v
  q6 y% ^# v6 B) D5 k同时按下Ctrl+Shift+Esc三个键 打开windows任务管理器
4 ^- c3 s: V; v% k  A7 N& h4 s
5 F" s; r5 Y: N选择里面的“进程”标签

# s1 [4 o; P9 Z1 S. B3 d4 i+ E在“映像名称”下查找“sxs.exe” 但击它 再选择“结束进程”
! ~) s/ |* L+ n* o/ E
; h9 Z! h$ z6 B4 J一定要结束所有的“sxs.exe”进程

打开我的电脑 单击 工具菜单下的“文件夹选项”

+ v" H: @, [/ X9 A* w& i/ L单击“查看”标签 把“高级设置”中的
0 {. v8 W2 E6 Z8 _- `& l* E- Q
“隐藏受保护的操作系统文件（推荐）”前面的勾取消

5 c0 R: T: ]  L' X% g并选择下面的“显示所有文件和文件夹”选项

单击“确定”

/ w" f# D" U% J5 k0 K9 [0 J用鼠标右键点C盘（不能双击！） 选择 “打开”
! E$ U4 W9 v. R$ `7 e6 i! C  ~5 W# n. k
删除C盘下的 “autorun.inf”文件 和“sxs.exe”文件

- @1 e) @. B1 a) y用鼠标右键点D盘 选择 “打开”

0 i8 X: T& d2 @% ^# e4 }2 x删除D盘下的 “autorun.inf”文件 和“sxs.exe”文件（另外有个文件也是，是个.exe 同样删了它）

% X  V. P+ }4 S9 z* w. X4 e9 N+ ~……
+ G1 t  C( W* _0 ]3 [
) z& X0 n* o3 j- Q8 a以此类推 删除所有盘上的 AUTORUN.INF文件 和“rose.exe”文件

单击开始 选择“运行” 输入 "regedit"(没有引号) ，回车

& s  l2 }: r8 B3 n8 U' D6 H依次展开注册表编辑器左边的 我的电脑>HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run

5 P9 |5 Q# B2 \/ n. T1 _: b# x9 n$ w删除Run项中的 ROSE （c:\windows\system32\SXS.exe)这个项目

1 M" U( A0 s3 w/ I/ \关闭注册表编辑器
) @1 Y! L% O& X: t$ W1 l2 x# @
然后重新启动计算机
& z2 X% V0 y( g: K! ]0 [- b
删除硬盘上是ROSE：
, b: ~! u7 @: n$ ?. b6 o1 v8 U
) e6 O3 u% i3 C) K5 v1 h* K* z6 B" N按下shift键不放 插入U盘 直到电脑提示“新硬件可以使用”

打开我的电脑

: s% N+ \  v, H这时在U盘的图标上点鼠标右键 选择“打开” （不要点自动播放或者是双击！）

  U3 O/ ~0 @: U# V9 y) i' [( R删除 SXS.exe和autorun.inf文件 病毒就没有了
/ l$ h- V) L$ F$ }3 }( I- v) H& s
+ H4 Z0 W! U& n
sxs.exe没有专杀,现在只能通过注册表杀毒
3 n) j7 _+ Z! V: J' m
! L# @& \4 M  l# U1 n
打开注册表“regedit”,找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
8 H8 d7 x/ o9 Q8 ?% `

7 a0 G: m" @. G9 \6 w) T! Y有些网友说删除Run项中的 ROSE （c:\windows\system32\SXS.exe)这个项目
% r& h! k+ E4 Q$ r0 a1 R, S" _
% k0 S5 j& ^$ D7 I3 X5 |5 C& H
我找了一下没找到这个Run项目，但是我看了一下在Run里面有两个"SoundMam"，而且后面给的数值不一样，一个给的是“C:\\WINDOWS\\system32\\SVOHOST.exe”另一个是“SOUNDMAN.EXE”我想大家也发现了，肯定有问题，我看了一下，只有后面一个是正确的，前一个是豪杰超级解霸的“自动播放伺服器”的程序，看来病毒是加到这个里面了，借助自动播放到处传播！（这是我认为的，不知道对不对）于是就删除了这个项，退出注册表，打开杀毒软件，可以使用了，只是在一般杀毒时，还是找不到sxs.exe的。


那还剩下autorun.inf，直接到各个硬盘删就可以了，再清空回收站就可以了，其他的都正常了，可能还有些网友系统可能出现些问题，如豪杰超级解霸的“自动播放伺服器”不能使用了，我的建议是：不要用了，就是他坏的事！要是你非要用就重新装吧！最后重新启动，可以了