pcMing工作室 Y&_q.oF+m是一个可以通过移动存储传播的恶性病毒，具有反病毒软件和下载木马的功能，且病毒采用了向svchost.exe注入病毒代码的方法保护自身，使其发现和删除更加困难，因其主文件名“ShuiNiu.exe”，因此称病毒为“水牛”病毒。
HP4Lp} _7m0
NM$O/QL }#@%Q0file: ShuiNiu.exepcMing工作室&n4w l2l,E [9r9_[ {
Size: 22069 bytespcMing工作室-Ba$[3Q[wP8|
Modified: 2007年11月5日, 10:13:38
g5Xa.E#Z#Z3zA L0MD5: 1FA97A5E1766D6E668321838A6F3E536pcMing工作室v4e%D kN a
SHA1: 94388083FB1CDD3003FE13046BC817AB0F6D7FD0
c{ pP'`/?,s5p(`(~6o0CRC32: 1D66BFAB
.rM
@[s}8KX0N5g0pcMing工作室&k4W
LV-n
pcMing工作室0Y/h p'sZl vb
技术细节：
Yt A#B[2Y/h.\7C7d01.病毒运行后，释放如下副本：pcMing工作室.^?9LX8z
k
}
%systemroot%\system32\ShuiNiu.exepcMing工作室6p+HO$H^~2F6F^
并向可移动存储中写入ShuiNiu.exe和autorun.inf达到通过U盘等移动存储传播的目的
sZT1@6e
F A ]0pcMing工作室D0K;x ej)Sc
2.调用Cmd，把系统时间改为2005-10-31
6[/X/r,| b4ls0
%anq+d,S
Y*|l03.删除如下键pcMing工作室n n{@rNN6I
SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\pcMing工作室7] d H(P/z,vg
SYSTEM\ControlSet001\Control\SafeBoot\Network\pcMing工作室 ?E k4WC$y9d
SYSTEM\ControlSet001\Control\SafeBoot\Minimal\
&N1ECk9X'G pV
?0pcMing工作室 gk s J/yc |V.h
破坏安全模式
3gA
o5S\'n,`@
y
v te0
9k,qJx}/[04.添加映像劫持项目劫持一些安全软件到%systemroot%\system32\ShuiNiu.exepcMing工作室/r q;~;Uw`G&Z
360rpt.exepcMing工作室 q.l,Y%@Mi ~5Z
360Safe.exepcMing工作室6s0M/K(A
p;u{h [f G
360tray.exe
U FJ q.m zD?6Z X0adam.exepcMing工作室3u&V2CM$Ef
^
AgentSvr.exe
QPv e/~kkm/SV0AppSvc32.exepcMing工作室 g q'H[
fm{
autoruns.exe
8uY7zf[@\ Q!z@0avgrssvc.exe
!@ z0@@`)kvt;@#A0AvMonitor.exepcMing工作室I Uo9s5a_$ft
avp.com
y%]"T K'Q
q&f0avp.exe
E^0a0V ]'vhI"R7c0CCenter.exepcMing工作室Y6f#Q;[X6PpI D
ccSvcHst.exepcMing工作室
I'|-IFv:Cxp%ZH"c3d
FileDsty.exe
:~a B(`SH0FTCleanerShell.exe
Wz2b*C4v'Ir1| e0HijackThis.exe
V @d nwcGr0IceSword.exepcMing工作室.m4ZHl;X n4Rt0h
iparmo.exepcMing工作室
y"ycIm
Iparmor.exepcMing工作室,Y
t5S)h0y"B `C f4v2[;E4S
isPwdSvc.exepcMing工作室"m$JR9p$AL0I
u2z.QCA
kabaload.exe
g,R!?Qfu|6J0KaScrScn.SCR
A4C c] Sqi A0KASMain.exe
7U7ZC3HX s N-W0KASTask.exe
f8_
r0G H!D J%Qc/]0KAV32.exe
?~9]:X&S)Z%^0KAVDX.exepcMing工作室:Q Y(F+Hv6yw
KAVPFW.exe
x-K#yXM w@J8Y0KAVSetup.exepcMing工作室
x:fzc J3[,| \+}
KAVStart.exepcMing工作室1[z2o\
l#M D'M
KISLnchr.exe
5a:B.P"C N.O
I]'y0KMailMon.exepcMing工作室({
} pz!S(H+P h
KMFilter.exe
DA J n0Cj0KPFW32.exeKPFW32X.exepcMing工作室7y2@ T*LVj
KPFWSvc.exe
t6Dr U2?7~0KRegEx.exe
+fn7PI4M6I G0KRepair.COM
x+G"S F'L;S0KsLoader.exe
/QSv:WK ^ \\ rm%z0KVCenter.kxp
'xG O4[-iW0KvDetect.exe
Y2?oT'i*FF _ r Z
I0KvfwMcl.exepcMing工作室6N8EC R1DA ?W%T
KVMonXP.kxp
3x!_Q9E~0KVMonXP_1.kxppcMing工作室o;pv"zSmF/\
kvol.exe
3|!_[)c/Pa*w5^x0kvolself.exepcMing工作室2M&MyQ qgDx$h
KvReport.kxppcMing工作室W6@0bno%i5y \'H/H m
KVScan.kxp
C [ g$UuW4K0KVSrvXP.exe
e M
g mz^ mY;X9]k!K0KVStub.kxppcMing工作室5s M M"k8fl ?
kvupload.exepcMing工作室 P5n&cG ws
kvwsc.exepcMing工作室)F2L"a k1vR
KvXP.kxp
9R K4G
N\pQ0KvXP_1.kxp
1wo g7hd*j0KWatch.exe
a3TG?r Xr i?0KWatch9x.exepcMing工作室7d!x,NN]1^!v
KWatchX.exepcMing工作室;l9}$sW:L4uW
loaddll.exepcMing工作室^MR(E"Wv
MagicSet.exe
x&\dj i6C5E'E[0mcconsol.exepcMing工作室u \k/f/j
mmqczj.exepcMing工作室XT3^K.}(a-~
mmsk.exepcMing工作室;d3x$y@Jf%b
NAVSetup.exepcMing工作室0U0~? N Fpg
P ?
nod32krn.exepcMing工作室(b%t(f)s%xEoEJ]
nod32kui.exe
V3X |2R3u{_9Q5? D\"A0PFW.exepcMing工作室9}%l?Fb-g0a
PFWLiveUpdate.exepcMing工作室!Q R$H/jlr)T
QHSET.exe
u9M;sXy]0Ras.exe
|B4D ] H\"xg0Rav.exepcMing工作室9f O9yHL2Vg
RavMon.exe
.q8C*`/fJ!Bh+]AON0RavMonD.exe
kA)t4kk:XX w0RavStub.exepcMing工作室n.} n t
J a)E)w
RavTask.exepcMing工作室o-B bPgW Am%k
RegClean.exepcMing工作室C;D XvL3F-J
rfwcfg.exe
,B x O2]
Fh4e ^$_T v0RfwMain.exepcMing工作室1z)egm-U$j
rfwProxy.exe
M,r~(Z2b PI:f0rfwsrv.exepcMing工作室0H v ^Wd
b0a
RsAgent.exepcMing工作室/q T Y2[(IzNCy
Rsaupd.exe
BJo4b[ ILi y0runiep.exepcMing工作室3e;C7z#Yw#L
safelive.exepcMing工作室4])Q i @4au:{
scan32.exe
Q)|6W'f TQ_0shcfg32.exe
}y ew
o` [?8K0SmartUp.exepcMing工作室.N Y!M2`1t4S sM
SREng.exe
)GZCz{
u0symlcsvc.exe
Cv ^-Uq[6K0SysSafe.exe
!D U |Z4I c u-~mMZ
s0TrojanDetector.exepcMing工作室%Um&Jy~;Q&D*d9Nw.]z
Trojanwall.exepcMing工作室1Mf2O#c)y3?
H
TrojDie.kxp
2KO,NxSP0UIHost.exepcMing工作室k#Z&q(| E
lf
UmxAgent.exepcMing工作室K#][i%c b-D3aa8o
UmxAttachment.exe
6A1r O }.r(D0UmxCfg.exe
'@U;DI(u@%?Y*Gv0UmxFwHlp.exepcMing工作室$o?:w
@ |E
UmxPol.exepcMing工作室 s
w ~ wa_0U
UpLive.exe
(A0T,f#kR6q0WoptiClean.exepcMing工作室)R W?-Mo"B/E#Z
?5?'A,J jAf_P0pcMing工作室Njx$s2F/J'^7D动手删除方法如下：pcMing工作室A
i&b/UAu2?~3]
1、重启电脑，按F8进入选择界面，选择【带命令符的安全模式】，进入安全模式；
Y\-{8a;u
r&xVz0
%C:H7B+k;Y!p02、在里面输入：cd \windows\system32【将system32设为当前目录，cd与\之间有一空格】pcMing工作室Av T M.}6s
pcMing工作室zz9^ zZ_}C&n8es h
3、输入：attrib shuiniu.exe -s -r -h 【去掉shuiniu的隐藏，只读属性】pcMing工作室 Vu-t @*X5U T
_0tlP*r KzX04、输入：del shuiniu.exe 【删除shuiniu】
aJ;tT4o4G#K JJ0pcMing工作室8A-Ic8f%FC+w1f nd4D+z|
5、插入U盘，之后继续输入：H: ，回车【将H盘设为当前目录，我的移动盘的盘符是H，灵活待之】pcMing工作室9iw9fu4X H&Cc
7d g`Czmnn06、输入：dir /a 【展开H盘里所有文件，包括隐藏的】，会看见：shuiniu.exe和autorun.inf文件pcMing工作室+{-M?m ~
g'?fpI7N0|3e07、重复步骤3、4，换掉其中的文件名。干掉完后，重启电脑，修改系统时间，大功告成！！pcMing工作室3c+s|$tP|K6NKn
