公司所有机器都有sis.exe进程,共享上网其慢！

[LiJxin]

昨天开始公司机器都有sis.exe进程（有的有几十个sis.exe)，共享上网其慢，今天把sis.exe干掉了，网络稍微好些，但是还是没有恢复，大家谁遇到过，怎么解决的，在线等!

[xujie20023802]

学习下，帮你顶下！

[oyljerry]

估计杀毒不彻底

[linking_spider]

也许就是楼上说的啊

[jb99334]

检查是病毒,还是服务器程序?

[LiJxin]

防范 W32.HLLW.Gaobot 系列蠕虫病毒

最近一些单位出现了一个病毒，到处感染，明显症状是网络打印机无法打印。听说部分市局也中招，总是有个winnsvc.exe的文件感染了w32.hllw.gaobot病毒。

先请能上互联网的同事去研究这个病毒：

http://comic.sjtu.edu.cn/bbs/view.asp?TID=3258

http://software.tjfsu.edu.cn/soft/4320.asp

http://www.symantec.com/region/cn/techsupp/avcenter/venc/data/cn-w32.hllw.gaobot.removal.tool.html

介绍一下个人对此病毒的看法：

1，从处理的几台机看，中此病毒的机器administrator均没有口令。即使安装了黑冰的系统，黑冰的137，138，139端口全都拒绝，仍然中此病毒，间接导致网络打印拒绝了。具体原因由于没有时间深究，还不清楚，总之系统用户最好使用口令；

2，hosts文件并不是台台都会更改，中病毒的机器会有。起了什么异样进程都没记下来。

但是只要中招的机器一定要查看hosts文件

抛砖引玉
毛头补充：

该病毒还会在注册表：[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 中加入自启动信息，每次电脑重新启动登陆时都会自动运行该病毒程序；病毒同时也会在：[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices] 中加入启动信息。在杀这个病毒时建议手工把注册表中的这两个地方也修改一下，把病毒自启动键值直接删除就可以了。

最近还发现几种疑似病毒，病毒程序名为：sis.exe和iss.exe，这是同一种病毒；还有hkcmd.exe和igf*.*，是另一种病毒，病毒程序一般都存放在操作系统的主目录（如：Winnt等）中和system32中，中了这些病毒后，打开任务管理器会看到有这些病毒程序驻留在内存，同时这些病毒也会修改注册表（和上面提到的那个病毒类似），要手工处理注册表。

以上操作建议在安全模式下进行。