瑞星发现可疑代码，可又发现不了病毒。。。

[bluecrystal78]

开机以后瑞星提示：发现可疑程序
"c:\winnt\system32\$win32$\win32sql.vbs"。。。然后IE主页被修改！

我修改了注册表的IE选项，重启以后，主页又被修改回来了！用瑞星杀毒也查不出来病毒，我在C盘也找不到它提示的可疑文件。

每次运行以后，注册表的Run里总是多一项："regedit -s:c:\winnt\system32\$win32$\win32sql.vbs"

用什么办法去掉这个文件呢？请高手指点：）

[rainbowinfog]

进入安全模式删除。

[二进制空间安全]

一、修改IE的标题栏

即在IE浏览器最上方的蓝色横条里做广告，而不是显示默认的“Microsoft Internet Explorer”。这种修改非常常见，有人也特意针对它编制了反修改的程序。

1.注册表法

HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main在注册表中找到以上两处主键，将其下的“Window Title”主键删除，并关闭所有打开的IE浏览器窗口再重新打开就能看到效果。

2.MagicSet法

点击“IE 4/5”，点击与“IE 标题”字体平行的“复原”按钮即可。


二、修改IE的首页

这个改回来很方便，在IE的设置里就有。比较麻烦的是某些网页在浏览者的硬盘里写入程序，使重启计算机后首页设置又被改了回去，这时可使用“系统配置实用程序”来解决。开始—运行，键入msconfig点击“确定”，在弹出的窗口中切换到“启动”选项卡，禁用可疑程序启动项。


三、在Windows启动时显示一个窗口，点确定才能进去

这个设置其实与IE无关，而是Windows的登录提示窗口，不过最近有些网页对它动上了脑筋，在这个窗口里做广告。

1.注册表法

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon在注册表中找到此主键，将其下的“LegalNoticeCaption”和“LegalNoticeText”主键删除即可。

2.MagicSet法

点击“安全与多用户”，再点击左上角的“+”切换窗口后，清除“启动时要显示的标题”和“启动时要显示的信息”两项内容即可。


四、在IE里点击鼠标右键。在弹出的菜单里显示网页广告

这种情况很少见，我还没碰到过，不过解决方法也不复杂。

1.注册表法

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt在IE中显示的附加右键菜单都在这里设置，常见的网络蚂蚁和网际快车点击右键下载的信息也存放在这里，只需找到显示广告的主键条目删除即可。

2.MagicSet法

点击“IE 4/5”，再点击左上角的“+”切换窗口后，在上方的列表窗口中即可修改、删除IE的附加右键菜单项。


五、禁止或允许用户修改IE首页:

运行注册表编辑器(开始菜单－运行－regedit-确定), 打开[HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel], 其实一般此键是不存在的, 只存在[HKEY_CURRENT_USER\Software\Policies\Microsoft], 所以后面一截你要自己建立, 主键建立完后在Control Panel键下新建一个DWORD值数据, 键名为HOMEPAGE(不分大小写), 键值为1. 此时你打开IE属性时可以发现它改首页设置的部分已经不可用了. 当然如果你想先指定主页的话可以把HOMEPAGE的值改为0或删除它, 然后修改主页设置, 再把HOMEPAGE改回来即可


六、去掉注册表编辑器被锁定问题


win2000系统

Windows Registry Editor Version 5.00

[Hkey_current_user\Software\microsoft\windows\currentversion\Policies\system]
"DisableRegistryTools"=dword:00000000


win98/me系统

REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"=dword:00000000


将以上代码copy到记事本中,然后将这个文件的名字改为*.reg双击运行可以解除你的锁定状态.
如果你对这个东西不是很了解可以点击这里下载reg文件2000系统的,98/me系统的


七、防范

1.因为修改注册表设置都是用的JavaScript脚本语言，所以只需禁用它即可。但这种脚本语言应用广泛，所以建议在IE的设置中将脚本设为“提示”。

2.建议使用一些单窗口多页面的浏览器如NetCaptor,myie等，因为它们往往能更方便地切换脚本设置，象我常用的NetCaptor，用工具栏中的“安全”按钮能很方便地设置脚本、ActiveX和Cookie的启用情况。

3.使用IE6.0，虽然迟迟看不到这个浏览器的正式版本，而且测试版问题很多，但据用过的人说使用它浏览网页，将无法再随意修改你的注册表。

4.使用Win2000的朋友，只需在“控制面板”—“管理工具”—“服务”中禁用Remote Registry Service服务，也无法通过浏览网页来修改你的注册表了。

5.使用Norton AntiVirus 最新版本杀毒软件，这个版本新增Script Blocking功能，将通过IE修改注册表的代码定义为Trojan.Offensive并予以拦截

[chinahdr]

建议把杀毒报告和病毒样本发给瑞星或江民公司(地址到网站上找),他们会很快答复并给出解决办法的.
我前段机子染上病毒,总是杀不尽重新分区了冒出来,就给他们发邮件说明情况,很快(24小时内)就有回信,并给出解决办法.按信上说的去做果然不再出现病毒了.
如果全部做到,就能解决问题.单纯靠杀可能不能解决有些问题.

[gameisover]

瑞星很烂的，原来我曾经看到有病毒从我面前遛走，但是瑞星对此没反应

中国的杀毒软件都不怎么样，个人认为~~

[sunraymorning]

使用Norton AntiVirus