[病毒查杀] [转帖]查杀"灰鸽子2"木马病毒

察看进程，发现iexplore.exe进程中被注入了cpoiuyk.dll —— (图02)

进入"文件夹选项"，切换到"查看"标签，按照下图所示进行设置 —— (图03)

修改察看方式以后就可以在 c:\windows\ 和 c:\windows\system32\ 目录下看到上文叙述的病毒体，由于当前病毒正处于激活状态，所以对这两个文件进行操作的话，会提示该文件被锁定。
下面是注册表添加的四个项：
key_local_machine\system\controlset001\enum\root\legacy_graypigeonserver2.0 —— (图04、05、06)

hkey_local_machine\system\currentcontrolset\enum\root\legacy_graypigeonserver2.0 —— (图07、08、09)

hkey_local_machine\system\controlset001\services\graypigeonserver2.0 —— (图10、11、12)

hkey_local_machine\system\currentcontrolset\services\graypigeonserver2.0 —— (图13、14、15)

二、手动杀毒操作演示：

【1】"开始菜单"——"运行"——"services.msc"——回车，将出现系统服务配置窗口。 —— (图16)

【2】找到名为"graypigeonserver2.0"的服务项(图17)，如图所示：启动类型为"自动"，状态显示为空白。在该服务项上点击右键，选择"属性"(图18)，更改启动类型为"已禁用"。点击"确定"以后，重新启动计算机。

【3】重启计算机进入windowsxp操作界面以后，该病毒处于非激活状态。
这时候可以顺利的删除
c:\windows\g_server2.0.exe
c:\windows\system32\cpoiuyk.dll
两个病毒体。
【4】"开始菜单"——"运行"——"regedit"——回车，将出现注册表编辑窗口。
找到下面两项并删除：
hkey_local_machine\system\controlset001\services\graypigeonserver2.0
hkey_local_machine\system\currentcontrolset\services\graypigeonserver2.0

到这一步，"灰鸽子2"木马病毒已经被顺利手动清除掉了。


〖5〗我们看可以看到，病毒在注册表的下面两个位置也添加了项：
hkey_local_machine\system\controlset001\enum\root\legacy_graypigeonserver2.0
hkey_local_machine\system\currentcontrolset\enum\root\legacy_graypigeonserver2.0
但是当我们找到这两个键值删除的时候，会显示错误信息对话框 —— (图19)

说明：我尝试了使用msconfig.exe配置诊断模式、系统安全模式两种环境下操作，依旧报错。
该项处于锁定状态。（百思不得其解，希望高手指点！！！）
经过测试发现，这两个键值保留在注册表中，不会有影响正常使用，也不会激活病毒。
也许这是杀毒过后残余的系统垃圾吧！
〖6〗抛开现有的windowsxp操作系统，借助功能强大的光盘版操作系统erd commander，
可以很轻易的清除掉这两项注册表项。
但并不是每一个计算机用户都有必要拥有erd commander工具光盘。
对于一般用户，建议手动清除"灰鸽子2"木马病毒到本文叙述的第四步就可以了。
对于拥有erd commander工具光盘的用户，可以按照下文的方式操作：
重启计算机，更改bios设置为从cd-rom引导计算机，放入erd commander光盘，
(这里我采用的是erd commander 2005 英文版进行演示)
光盘引导，进入erd commander登陆界面 —— (图20)

〖7〗选择当前操作系统系统目录，这里是"c:\windows\"，点击"ok"。
引导进入系统以后，点击"start"——"administrative tools"——"regedit"， —— (图21)

启动注册表编辑窗口，找到下面两项并删除：
hkey_local_machine\system\controlset001\enum\root\legacy_graypigeonserver2.0
hkey_local_machine\system\currentcontrolset\enum\root\legacy_graypigeonserver2.0

至此，"灰鸽子2"木马病毒已经完全被顺利手动清除掉了。(包括残余垃圾)