鬼影病毒，隱藏性比較好，其編寫思路另辟捷徑，也許有助于未來的病毒編寫，但其危害性是不容忽視，TA寄生于磁盤主引導(dǎo)記錄（MBR）中，我們所常用的“治百病（重裝系統(tǒng)）”對(duì)其毫無影響，形同“鬼影”一般“陰魂不散”。閱讀下文了解判斷電腦是否感染鬼影病毒以及徹底清理鬼影病毒的方法。

　　據(jù)金山安全實(shí)驗(yàn)室工程師說，“鬼影”病毒是較為罕見的技術(shù)型病毒，直接改寫MBR的技術(shù)主要在國(guó)外技術(shù)論壇傳播，在“鬼影”病毒之前，這一技術(shù)少有被黑客實(shí)際大規(guī)模利用的案例。

　　另?yè)?jù)金山安全實(shí)驗(yàn)室研究人員透露，在目前國(guó)內(nèi)安全廠商和民間反病毒高手中，能夠完整分析“鬼影”病毒的人屈指可數(shù)。因病毒寄生于硬盤的主引導(dǎo)記錄（MBR），病毒釋放的驅(qū)動(dòng)程序能夠破壞大多數(shù)安全工具和系統(tǒng)輔助工具，在已經(jīng)中毒的情況下，很難使用現(xiàn)有工具完成病毒清除，金山已經(jīng)推出了鬼影專殺工具。

　　金山毒霸已經(jīng)升級(jí)，可查殺傳播“鬼影”病毒的母體文件，避免更多用戶受“鬼影”病毒之害，用戶只需要在線升級(jí)即可獲得相應(yīng)防御能力。金山網(wǎng)盾已將傳播該病毒的惡意網(wǎng)頁(yè)加入阻止訪問的列表，防止更多用戶下載這個(gè)神秘的“鬼影”病毒。

　　病毒特征

　　1、無需寄主 結(jié)束所有殺毒軟件。

　　該病毒一旦進(jìn)入電腦，就像惡魔一樣，隱藏在系統(tǒng)之外，無文件、無系統(tǒng)啟動(dòng)項(xiàng)、無進(jìn)程模塊，比系統(tǒng)運(yùn)行還早，結(jié)束所有殺毒軟件，下載av終結(jié)者，盜號(hào)木馬，ie主頁(yè)修改等大量多品種病毒。

　　2、顛覆傳統(tǒng) 重裝系統(tǒng)無法清除。

　　一般的電腦病毒是Windows系統(tǒng)下的應(yīng)用程序，在Windows加載之后才運(yùn)行。而“鬼影”病毒的主要代碼是寄生在硬盤的主引導(dǎo)記錄（MBR），即使用戶重裝了系統(tǒng)，仍無法將其完全清除。當(dāng)系統(tǒng)再次重啟時(shí)，該病毒會(huì)早于操作系統(tǒng)內(nèi)核先行加載。而當(dāng)病毒成功運(yùn)行后，在進(jìn)程中、系統(tǒng)啟動(dòng)加載項(xiàng)里找不到任何異常，病毒就象“鬼影”一樣在中毒電腦上“陰魂不散”。“鬼影”病毒是國(guó)內(nèi)首個(gè)引導(dǎo)區(qū)下載者病毒，顛覆了傳統(tǒng)病毒的感染特點(diǎn)以及用戶處理病毒問題的思維定勢(shì)，不僅做到了“三無”特性——無文件、無系統(tǒng)啟動(dòng)項(xiàng)、無進(jìn)程模塊，而且即使用戶重裝了系統(tǒng)，該病毒依然會(huì)再次進(jìn)入用戶新系統(tǒng)。

　　3、安全軟件失效 電腦明顯變慢

　　“鬼影”病毒入侵后，會(huì)釋放驅(qū)動(dòng)程序改寫硬盤MBR（主引導(dǎo)記錄），驅(qū)動(dòng)程序在開機(jī)過程中攻擊眾多殺毒軟件，令殺毒軟件失效，再下載傳統(tǒng)的AV終結(jié)者木馬下載器，最終目的依然是通過傳播盜號(hào)木馬，竊取用戶虛擬財(cái)產(chǎn)牟利。中毒后，最直觀的現(xiàn)象是安全軟件無法正常運(yùn)行，電腦明顯變慢，IE主頁(yè)被改。

　　工作原理

　　1、“鬼影”病毒母體運(yùn)行后，會(huì)釋放兩個(gè)驅(qū)動(dòng)到用戶電腦中，并加載。和母體病毒捆綁在一起其它流氓軟件會(huì)修改桌面快捷方式，嘗試修改IE屬性。

　　（分析：病毒傳播者這樣做的目的可能是為了轉(zhuǎn)移安全廠商的目標(biāo)，便于病毒的真正母體隱藏得更好）

　　2、a驅(qū)動(dòng)會(huì)修改系統(tǒng)的主引導(dǎo)記錄（mbr），并將b驅(qū)動(dòng)寫入磁盤，保證病毒是優(yōu)先于系統(tǒng)啟動(dòng)，且病毒文件保存在系統(tǒng)之外。這樣進(jìn)入系統(tǒng)后，病毒加載入內(nèi)存，但找不到任何啟動(dòng)項(xiàng)、找不到病毒文件、在進(jìn)程中找不到任何進(jìn)程模塊。

　　3、病毒母體自刪除。

　　4、重啟系統(tǒng)后，主引導(dǎo)記錄（MBR）中的惡意代碼會(huì)對(duì)Windows系統(tǒng)的整個(gè)啟動(dòng)過程進(jìn)行監(jiān)控，發(fā)現(xiàn)系統(tǒng)加載ntldr文件時(shí)，插入惡意代碼，使其加載b驅(qū)動(dòng)。

　　5、b驅(qū)動(dòng)加載起來后，會(huì)監(jiān)視系統(tǒng)中的所有進(jìn)程模塊，若存在安全軟件的進(jìn)程，直接結(jié)束。

　　6、b驅(qū)動(dòng)會(huì)下載av終結(jié)者到電腦中，并運(yùn)行。

　　7、下載的av終結(jié)者病毒會(huì)修改系統(tǒng)文件，對(duì)安全軟件進(jìn)程添加大量的映像劫持，下載大量的盜號(hào)木馬。進(jìn)一步盜取用戶的虛擬財(cái)產(chǎn)。

　　8、該病毒只針對(duì)WinXP系統(tǒng)，尚不能破壞Vista和Win7系統(tǒng)。（目前最新的變種可以感染Vista、Win7和Win8，但在Win8/Win8.1無法破壞MBR，無法注入病毒驅(qū)動(dòng)程序，比較容易處理）

　　病毒癥狀

　　1、電腦非常卡，操作程序有明顯的停滯感，常見殺毒軟件無法正常打開，同時(shí)發(fā)現(xiàn)反復(fù)重裝系統(tǒng)后問題依舊無法解決。

　　2、系統(tǒng)文件被感染殺毒查殺以后提示找不到相應(yīng)的dll或者系統(tǒng)功能不正常。rpcss.dll，ddraw.dll是盜號(hào)木馬常修改的系統(tǒng)dll。

　　3、QQ號(hào)碼被盜，可被黑客用來傳播廣告等。魔獸、DNF、天龍八部、夢(mèng)幻西游等游戲賬號(hào)被盜。

　　4、進(jìn)程中存在iexplore.exe進(jìn)程并指向一個(gè)不正常的網(wǎng)站。

　　5、鬼影共同特征就是進(jìn)程里有ali.exe

　　6、你的電腦桌面上出現(xiàn)了一個(gè)討厭的“播放器”快捷方式，而且刪不掉。

　　7、鬼影病毒還有一個(gè)特征就是任何軟件（有些例外如360急救箱），會(huì)在7——12秒內(nèi)自動(dòng)關(guān)閉，一些鬼影病毒可以屏蔽一些“純鬼影專殺”，當(dāng)啟動(dòng)專殺時(shí)，會(huì)發(fā)現(xiàn)專殺驅(qū)動(dòng)無法成功啟動(dòng)。只有一些強(qiáng)制性的殺毒軟件（如金山系統(tǒng)急救箱），才可以清除。

　　8、還有一個(gè)共同點(diǎn)就是中了該病毒之后，電腦如果只裝有一塊硬盤可以啟動(dòng)系統(tǒng)，如果電腦裝有兩塊硬盤以上，或者插了U盤。進(jìn)入系統(tǒng)時(shí)就會(huì)出現(xiàn)藍(lán)屏。（藍(lán)屏原因是分區(qū)錯(cuò)誤）

　　鬼影病毒處理方法：

　　一、重建引導(dǎo)并重裝系統(tǒng)

　　格式化C盤，進(jìn)入dos狀態(tài)，運(yùn)行：

　　命令，用以清除掉主引導(dǎo)區(qū)的病毒引導(dǎo)代碼，這時(shí)候重裝系統(tǒng)就可以了，但是這是在完全安裝起作用的，如果你用是啟動(dòng)盤那么還要多做以下幾步：

　　1、通過啟動(dòng)盤（U大俠啟動(dòng)盤 下載）進(jìn)入PQ/PM分區(qū)工具，一般啟動(dòng)盤都帶的。

　　2、 右擊c盤，選擇進(jìn)階-設(shè)為作用，這樣就把MBR引導(dǎo)層重新寫了一遍，這樣在引導(dǎo)層中的病毒也自然被剔除了。

　　3、 之后直接用啟動(dòng)盤安裝系統(tǒng)就OK了。

　　二、DMS手動(dòng)查殺方法

　　DOS下手動(dòng)查殺方法

　　1、找專殺工具：這里推薦使用“一鍵GHOST 下載“，其中的DOS工具箱自帶的小工具DISKRW就可以完美解決。

　　2、殺除MBR病毒

　　①、清除MBR以外的硬盤保留扇區(qū)。安裝或制作好“一鍵GHOST”，開機(jī)進(jìn)入一鍵GHOST，最終出現(xiàn)紅色界面時(shí)按ESC鍵退回到主菜單，按方向鍵選擇“DOS工具箱”-->“DISKRW“ --> ”3.清除“ --> ”清除（2）“ --> 確定。（注意，盡量使用最新版，更早的版本不能保證有此功能）。

　　②、修復(fù)MBR（關(guān)鍵一步，必須做），接著下一步，選擇“4.修復(fù)”--> “修復(fù)（F）“ --> 確定。

　　3、重裝或恢復(fù)系統(tǒng)。在第二步完成后，千萬不要重啟電腦進(jìn)入Windows了，否則會(huì)二次感染。正確的方法是，使用啟動(dòng)盤（U大俠啟動(dòng)盤 下載）重裝系統(tǒng)。或者如果你有本地的系統(tǒng)備份（當(dāng)然是沒感染病毒之前做過的備份），也可以用“一鍵恢復(fù)系統(tǒng)”功能進(jìn)行恢復(fù)。

　　4、全盤殺毒。返回Windows后，需要升級(jí)你的殺毒軟件到最新版本（最新病毒庫(kù)），然后進(jìn)行“全盤查殺”，這樣可以把殘留在非系統(tǒng)盤（比如D盤、E盤、F盤）里的病毒寄主文件殺掉，以做到“斬草除根”。

　　三、MBRFix配合360安全衛(wèi)士查殺

　　1、開機(jī)打開任務(wù)管理器，結(jié)束（nat.exe）

　　2、打開360安全衛(wèi)士 下載，選擇系統(tǒng)修復(fù)來修復(fù)系統(tǒng)

　　3、在WinXP環(huán)境下運(yùn)行“CMD”進(jìn)入DOS模式，運(yùn)行：

　　重啟后OK。

　　四、鬼影病毒專殺工具

　　“鬼影”病毒的特征之一是安全軟件不能正常運(yùn)行，該病毒累計(jì)感染量約30萬臺(tái)。若網(wǎng)民發(fā)現(xiàn)自己電腦上安裝的安全軟件莫名其妙不能正常運(yùn)行，常見的修復(fù)工具也不能正常運(yùn)行，請(qǐng)嘗試使用金山安全中心發(fā)布的“鬼影”病毒專殺工具檢查修復(fù)。此工具適用于尚未變種的鬼影病毒，一旦該病毒變種，該專殺將會(huì)無效，這里提醒大家要注意上網(wǎng)時(shí)的網(wǎng)絡(luò)防護(hù)，要定期開啟殺軟掃描，金山毒霸已能夠殺滅鬼影母體。“鬼影”病毒傳播的廣度分析金山云安全系統(tǒng)分析該惡意軟件的下載頻率，結(jié)合傳播病毒的網(wǎng)站流量分析，評(píng)估該病毒的日下載量大約為2-3萬之間。

　　五、鬼影病毒金山查殺

　　金山毒霸 下載 查殺后手動(dòng)善后

　　1、開始-運(yùn)行-msconfig；

　　2、選擇“啟動(dòng)”，把a(bǔ)li前面的勾去掉，單擊應(yīng)用；

　　3、開始-運(yùn)行-win.ini，內(nèi)容已病毒被更改為類似下文：

　　替換為

　　以上便是關(guān)于判斷電腦是否感染鬼影病毒以及徹底清理鬼影病毒的方法，鬼影病毒開啟了惡意程序編寫的先河，將來可能會(huì)有更多“有心人士”利用鬼影病毒制作出新的變種病毒，用戶切勿怠慢。