作者junorn (威廉華勒斯)
看板AntiVirus
標題[軟體] EFix 的無差別刪除登錄值位置
時間Fri Jun 6 16:33:26 2008
EFix會對一些平常不可能會有地方寫入其他數值的登錄值作無差別還原的動作
而這些地方有：
1.[hklm\software\microsoft\windows nt\currentversion\winlogon]
"userinit"=x:\windows\userinit.exe,
"shell"=explorer
2.[hkcu\software\microsoft\windows nt\currentversion\windows]
"load"=""
上面兩個地方是一定會還原成預設值的地方
註1：USERINIT那邊因為有大陸人要對付機器狗然後將他故意改成對應到其他檔案
並將原本的位置建立資料夾，為避免這種情形所以會先做檔案檢查，確定他是檔案才
會還原成預設值。
註2：x:\為系統磁碟
再來是滿足某一些條件之後會還原預設值的
1.
[hklm\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
部分
這邊會比對過白名單之後，將其底下對應的CLSID值
EX:
{xxxx-xxxxxx-xxxxxxxxx-xxxx}
寫入到
CLSID刪除清單內
然後會去尋找
[HKCR\CLSID\{xxxx-xxxxxx-xxxxxxxxx-xxxx}
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"xxxx"="{xxxx-xxxxxx-xxxxxxxxx-xxxx}
[hklm\software\..\explorer\browser helper objects\{xxxx-xxxxxx-xxxxxxxxx-xxxx}
這幾個地方是否有對應到的值
有就帶入到刪除清單內刪除
2.
[hklm\software\microsoft\windows nt\currentversion\windows]
"appinit_dlls"
這邊appinit_dlls有可能寫入病毒的值，也有可能寫入防毒的值。
但通常不會兩者並存，就我目前從沒看過...
但要怎麼辨識？
首先這邊會抓寫入超過五個以上對應的dll值
EX:
"appinit_dlls"="
1.dll,
2.dll,
3.dll,
4.dll,
5.dll,
6.dll"
像上面滿足了超過五個對應的dll的值的時候
會將他還原成預設值（如果還是會有就表示有病毒讓他重生）
如果是像底下這樣
EX:
"appinit_dlls"="
1.dll,
2.dll,
3.dll,
4.dll"
這邊只有四個，那就不會去動他，需手動自己處理
另外還有一個條件
前面提到的
[hklm\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
如果他底下的CLSID值有對應到檔案的話
EX:
[hklm\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{xxxx-xxxxxx-xxxxxxxxx-xxxx}"="3.dll"
而appinit_dlls的值為
[hklm\software\microsoft\windows nt\currentversion\windows]
"appinit_dlls"="a.dll,b.dll,
3.dll"
這樣可以看出 3.dll也被寫入到appinit_dlls中
那這樣appinit_dlls也會還原（同樣病毒沒再生的話）
以上是會無差別或有條件還原登錄值的地方
補充：
還有每一個啟動登錄值
EX: hklm\...\run
hkcu\...\run
裡面有偽裝成系統檔案名稱的檔案將其清除
EX: svchost.exe
winlogon.exe
lsass.exe
csrss.exe
smss.exe
spoolsv.exe
userinit.exe
explorer.exe
大致上就是這樣。
上面提到的是自動清除部分，手動部分就是和combofix一樣加哪個刪哪個而已
===========================================================
這樣應該算是對應行為清除了吧....所以效果會比部分工具要來的強。
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 210.68.130.155
※ 編輯: junorn 來自: 210.68.130.155 (06/06 16:34)
※ 編輯: junorn 來自: 210.68.130.155 (06/06 16:34)
※ 編輯: junorn 來自: 210.68.130.155 (06/06 16:35)
※ 編輯: junorn 來自: 210.68.130.155 (06/06 16:38)
※ 編輯: junorn 來自: 210.68.130.155 (06/06 16:46)
※ 編輯: junorn 來自: 210.68.130.155 (06/06 16:47)
※ 編輯: junorn 來自: 210.68.130.155 (06/06 16:48)
1F：推 cclai:喔喔～感謝解說^^ 06/06 16:53
喔忘了在補充說明一下
這樣的刪除方式基本上是從4.66版開始使用的。(CLSID部分)
※ 編輯: junorn 來自: 210.68.130.155 (06/06 17:19)