kissme病毒原理描述及python清除脚本

应该很多人都中过这样一个病毒，它是从U盘中毒的，中毒后的电脑文件夹都变成了exe格式，真正的文件夹都被隐藏掉了（如果隐藏了文件后缀名，根本看不出来文件夹是假的）。

这个病毒其实是一类病毒，有很多个修改版本，而kissme病毒（传奇天使病毒）是一个典型的例子。

@1.kissme病毒描述：

病毒在运行时，进程里有kissme.exe和kiss.exe，并且无法杀死这两个进程（这两个进程是互相保护的，单独杀死一个将没有足够权限）

症状有：复制自身并伪装成文件夹，隐藏原有的文件（狸猫换太子的招数）； kiss.exe 有时占用CPU达100% ；关机或重启时死机；服务项和启动项里没有；360和任务管理器都结束不了进程，也打不开所在目录，提示连接到系统上的设备没有发挥作用。

@2.这个病毒背后都干了什么：

这个病毒最初是被设计出来专门盗取传奇账号的。不过由于这个病毒是个老病毒了，目前它也只能是拿用户文件夹捣捣乱了，盗号的事基本上没有环境让它干了。

病毒要起作用，首先就要被启动，而它却不添加开机启动项、服务项，在Startup目录里也没有。它使用了更高明的一种办法：

在HKEY_LOCAL_MACHINE\Software\Classes\Exefile\Shell\Open\Command 添加键值 " 默认 "="%windir%winker.exe" 从而达到随系统启动的目的。

总之注册表还是要改的。

当你的电脑插入有毒U盘时，在打开里面的文件夹时，如果一不小心打开了里面的“文件夹”（已经被病毒替换成了exe），病毒就被启动了，然后它就会按上面的方法给自己添加一个随开机启动的途径。然后你的电脑里就会一直有kiss.exe和kissme.exe两个病毒进程了。只要这两个进程存在，只要你打开一个文件夹，它就会在背后把那个夹隐藏掉并且把自己的一份拷贝伪装成那个文件夹。

同时这个病毒为了使自己不容易被发现，会强制禁用掉“文件夹选项”里的“显示隐藏文件”和“显示已知文件扩展名”两个选项（如果显示隐藏文件或显示已知文件扩展名），用户将很容易发现自己的文件有问题，而隐藏掉，有利于病毒隐蔽。

@3.清除程序：

这个病毒在系统里存在一段时间后，会发现电脑里到处都是病毒文件，那些长得像文件夹的exe文件，如果手动清除显然不现实。

但是这些文件都有一个特点，后缀名为".exe"并且大小为 1100083 bytes，我们写一个简单的程序遍历所有文件夹，并且按这两个特点删除文件就行了。（其它文件满足这两个条件的概率很小）

import osvirSize = 1100083walkObj = os.walk(os.getcwd(), False)for root, dirs, files in walkObj:for name in files:if name[-4:] == '.exe':fullpath = os.path.join(root, name)size = os.path.getsize(fullpath)if size == virSize:os.remove(fullpath)print fullpath

将这段python脚本放到各个盘的根目录运行一次，就能删除掉所有病毒文件。但已经被感染的电脑经常是kiss.exe及kissme.exe已经在运行，删除掉的文件会很快被病毒恢复。为了保证在使用这个脚本时能够删除干净，应当重启进入安全模式，保证进程里没有kiss.exe及kissme.exe。

由于病毒修改了注册表，用户真正的文件显示不出来，所以还要进行注册表修复：

Windows Registry Editor Version 5.00[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30501"
"Type"="radio"
"CheckedValue"=dword:00000002
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51104"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden]
"Type"="checkbox"
"Text"="@shell32.dll,-30508"
"WarningIfNotDefault"="@shell32.dll,-28964"
"HKeyRoot"=dword:80000001
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"ValueName"="ShowSuperHidden"
"CheckedValue"=dword:00000000
"UncheckedValue"=dword:00000001
"DefaultValue"=dword:00000000
"HelpID"="shell.hlp#51103"[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Policy\DontShowSuperHidden]
@=""

将这段代码保存为一个.reg文件，导入注册表就把隐藏文件的问题修复了。重启后把所有被病毒隐藏掉的文件夹去掉隐藏属性就问题就解决了。

kissme病毒原理描述及python清除脚本相关推荐

kissme病毒解决办法(非原创）
kissme病毒解决办法(非原创) 几周前发现自己的回收站会莫名奇妙的被清空,在使用软件导入一些文件的时候也会出现找不到的情况,昨天发现一些文件夹莫名其妙变成了exe格式,D盘里一个名为qqpet的文 ...
python自动化脚本是什么意思_Python 自动化脚本学习(一)
Python 基础命令行:在http://www.python.org安装python3,Mac下输入python3进入命令行整数,浮点数,字符串类型:-1,0.1,'game' 字符串连接和复制 ...
一般杀毒软件检测病毒原理
一般杀毒软件检测病毒原理 2014年09月05日 ⁄ 综合 ⁄ 共 3171字 ⁄ 字号小中大 ⁄ 评论关闭常用的反病毒软件技术特征码技术:基于对已知病毒分析.查解的反病毒技术目前的大多数 ...
python自动化办公脚本下载-python自动化脚本
广告关闭腾讯云双11爆品提前享,精选热门产品助力上云,云服务器首年88元起,买的越多返的越多,最高满返5000元! 运维自动化,已经成为运维必不可少的一部分,下面附上自己写的监控nginx_stat ...
Appium环境的安装与配置，Python测试脚本测试
Appium自动化测试系列1 - Appium环境的安装与配置发表于4个月前(2015-01-27 14:34) 阅读(803) | 评论(0) 0人收藏此文章, 我要收藏赞0 寻找会'偷懒 ...
[网络安全自学篇] 四十五.病毒详解及批处理病毒原理分析（自启动、修改密码、定时关机、蓝屏、进程关闭）
这是作者的网络安全自学教程系列,主要是关于安全工具和实践操作的在线笔记,特分享出来与博友们学习,希望您们喜欢,一起进步.前文分享了Windows远程桌面服务漏洞(CVE-2019-0708),并详细讲 ...
python辅助脚本教程_微信跳一跳python辅助脚本实例分享
本文主要为大家整理了关于微信跳一跳的辅助脚本内容,这次我们给大家整理的是关于python的脚本内容,一起来学习下. 这段时间微信跳一跳这个游戏非常火爆,但是上分又非常的难,对于程序员来说第一个念头就是 ...
便携式三星mysql_三星集团某站点MySQL盲注一枚（附python验证脚本）
漏洞概要缺陷编号:WooYun-2014-082219 漏洞标题:三星集团某站点MySQL盲注一枚(附python验证脚本) 相关厂商:三星集团漏洞作者:lijiejie 提交时间:2014-11 ...
python运维脚本部署jdk_Jenkins 为Jenkins添加Windows Slave远程执行python项目脚本
测试环境 JAVA JDK 1.7.0_13 (jdk-7u13-windows-i586.exe) Jenkins Win764未 python项目环境实践操作 1.新建与配置结点 [系统管理]- ...

kissme病毒原理描述及python清除脚本

kissme病毒原理描述及python清除脚本相关推荐

最新文章

热门文章