Guter BT-Virus – Ghosting

Das Konzept des Ghost-Virus
Ghost-Virus bezieht sich auf einen Virus, der sich parasitär auf dem Disk Master Boot Record (MBR) befindet und nicht entfernt werden kann, selbst wenn das System formatiert und neu installiert wird. Beim erneuten Neustart des Systems wird der Virus vor dem Betriebssystemkern geladen. Wenn der Virus erfolgreich ausgeführt wird, können im Prozess oder in den Systemstart-Add-ons keine Anomalien festgestellt werden, und der Virus „spukt“ wie ein „Geist“ auf dem infizierten Computer um.
Einführung in die Quelle des Ghost-Virus
Der „Ghost“-Virus ist in den letzten Jahren ein relativ seltener technischer Virus. Der Virenautor verfügt über hervorragende Programmierkenntnisse. Aufgrund der Einschränkungen des WinXP-Systems werden allgemeine Methoden zum Umschreiben des MBR vom System als illegal erachtet. Dies ist auch ein wichtiger Faktor beim Untergang von Bootsektorviren. Diese Technologie zur Umgehung der Sicherheitsbeschränkungen von WinXP und zum direkten Umschreiben des MBR wird hauptsächlich in ausländischen Technologieforen verbreitet. Vor dem „Ghost“-Virus gab es nur wenige Fälle, in denen Hacker diese Technologie tatsächlich in großem Umfang nutzten. Die Ingenieure des Kingsoft Security Lab sagten, dass der „Ghost“-Virus derzeit nur auf WinXP-Systeme abzielt und dass der Virus Vista- und Windows 7-Systeme noch nicht beschädigen kann. Laut Forschern des Kingsoft Security Laboratory können unter den derzeitigen inländischen Sicherheitsherstellern und privaten Antiviren-Experten nur eine Handvoll Menschen den „Geister“-Virus vollständig analysieren. Da der Virus den Master Boot Record (MBR) der Festplatte parasitiert, kann der vom Virus freigegebene Treiber die meisten Sicherheitstools und Systemhilfstools zerstören. Wenn der Virus bereits infiziert ist, ist es schwierig, den Virus mit vorhandenen Tools zu entfernen. Kingsoft hat ein Tool zum Töten von Geistern auf den Markt gebracht. Kingsoft Antivirus wurde aktualisiert, um die übergeordneten Dateien, die den „Ghost“-Virus verbreiten, zu erkennen und zu töten, um zu verhindern, dass mehr Benutzer durch den „Ghost“-Virus geschädigt werden. Benutzer müssen lediglich online ein Upgrade durchführen, um die entsprechenden Verteidigungsfähigkeiten zu erhalten. Kingsoft Network Shield hat die schädlichen Webseiten, die den Virus verbreiten, zur Liste der blockierten Zugriffe hinzugefügt, um zu verhindern, dass mehr Benutzer diesen mysteriösen „Geister“-Virus herunterladen.
Eigenschaften von Geisterviren
Kein Host erforderlich. Beendet alle Antivirensoftware.
Sobald dieser Virus in den Computer eindringt, ist er wie ein Dämon, der sich außerhalb des Systems versteckt. Es enthält keine Dateien, keine Systemstartelemente und keine Prozessmodule. Es beendet sämtliche Antivirensoftware, bevor das System ausgeführt wird. Es kann AV-Terminatoren, Account-stehlende Trojaner, IE-Homepage-Modifikationen und viele andere Viren herunterladen.
Untergräbt die Tradition und kann nicht durch eine Neuinstallation des Systems gelöscht werden.
Allgemeine Computerviren sind Anwendungen unter dem Windows-System und werden nach dem Laden von Windows ausgeführt. Der Hauptcode des „Ghost“-Virus ist parasitär im Master Boot Record (MBR) der Festplatte. Selbst wenn der Benutzer das System neu installiert, kann es immer noch nicht vollständig entfernt werden. Beim erneuten Neustart des Systems wird der Virus vor dem Betriebssystemkern geladen. Wenn der Virus erfolgreich ausgeführt wird, können im Prozess oder in den Systemstart-Add-ons keine Anomalien festgestellt werden, und der Virus „spukt“ wie ein „Geist“ auf dem infizierten Computer um. Der „Ghost“-Virus ist der erste Bootsektor-Downloader-Virus in China. Es untergräbt die Infektionseigenschaften herkömmlicher Viren und die Art und Weise, wie Benutzer mit Virenproblemen umgehen. Es erreicht nicht nur die „drei Nein“-Merkmale – keine Dateien, keine Systemstartelemente und keine Prozessmodule –, sondern auch wenn der Benutzer das System neu installiert, dringt der Virus dennoch erneut in das neue System des Benutzers ein.
Sicherheitssoftware schlägt fehl und der Computer wird erheblich langsamer
Nachdem der „Ghost“-Virus eingedrungen ist, gibt er den Treiber frei, um den MBR (Master Boot Record) der Festplatte neu zu schreiben. Der Treiber greift während des Startvorgangs viele Antivirensoftware an, macht die Antivirensoftware unwirksam und lädt dann den herkömmlichen AV-Terminator-Trojaner-Downloader herunter. Das ultimative Ziel besteht immer noch darin, den Account-Diebstahl-Trojaner zu verbreiten und das virtuelle Eigentum des Benutzers aus Profitgründen zu stehlen. Nach einer Vergiftung besteht das intuitivste Phänomen darin, dass die Sicherheitssoftware nicht normal ausgeführt werden kann, der Computer erheblich langsamer wird und die IE-Homepage geändert wird.
Mögliche Symptome nach einer Computerinfektion
1. Der Computer steckt fest, das Betriebsprogramm stagniert deutlich und gängige Antivirensoftware kann nicht normal geöffnet werden. Gleichzeitig wird festgestellt, dass das Problem auch nach mehrmaliger Neuinstallation des Systems immer noch nicht gelöst werden kann. 2. Nachdem die Systemdatei durch ein Antivirenprogramm infiziert wurde, wird die Meldung angezeigt, dass die entsprechende DLL nicht gefunden werden kann oder die Systemfunktion abnormal ist. Derzeit rpcss. dll, ddraw. dll ist eine System-DLL, die häufig durch Trojaner, die Konten stehlen, verändert wird. 3. QQ-Nummern werden gestohlen und können von Hackern zum Verbreiten von Werbung usw. verwendet werden.Spielkonten wie World of Warcraft, DNF, Tian Long Ba Bu, Fantasy Westward Journey usw. wurden gestohlen. 4. iexplor ist im Prozess vorhanden. exe-Prozess und verweist auf eine abnormale Website. 5. Das gemeinsame Merkmal von Geistern ist nun, dass es sich dabei um Ali handelt. exe 6. Auf Ihrem Computer-Desktop erscheint eine lästige „Player“-Verknüpfung, die nicht gelöscht werden kann.
Wie Geisterviren funktionieren
Geisterviren tarnen sich als Shareware und verleiten Benutzer dazu, diese herunterzuladen und zu installieren. Nachdem der Virus ausgeführt wurde, werden 2 Treiber auf dem Computer des Benutzers freigegeben und geladen. Der Treiber ändert den Bootsektor (MBR) des Systems und schreibt den B-Treiber auf die Festplatte, um sicherzustellen, dass der Virus vor dem System startet und die Virendateien außerhalb des Systems gespeichert werden. Nachdem der Virus auf diese Weise in das System gelangt ist, wird er in den Speicher geladen, es können jedoch keine Startobjekte, Virendateien oder Prozessmodule im Prozess gefunden werden. Nach dem Neustart des Systems überwacht der im Bootsektor vorhandene Schadcode den gesamten Startvorgang des Windows-Systems. Es wurde festgestellt, dass beim Laden der ntldr-Datei durch das System der Schadcode eingefügt wird, der dazu führt, dass der b-Treiber geladen wird, der in den fünften Sektor des Bootsektors geschrieben wurde. Nachdem der b-Treiber geladen wurde, überwacht er alle Prozessmodule im System. Wenn ein Sicherheitssoftwareprozess vorhanden ist, wird dieser direkt beendet. Der b-Treiber lädt den AV-Terminator auf den Computer herunter und führt ihn aus. AV Terminator verändert Systemdateien, fügt Sicherheitssoftwareprozessen eine große Anzahl von Image-Hijacks hinzu und lädt eine große Anzahl von Trojanern herunter, die Konten stehlen. Darüber hinaus wird das virtuelle Eigentum der Benutzer gestohlen. Dieser Virus zielt nur auf WinXP-Systeme ab und kann Vista- und Win7-Systeme noch nicht beschädigen.
Ghost-Virus-Behandlungsmethode
System neu installieren
Formatieren Sie das Laufwerk C, wechseln Sie in den DOS-Status und führen Sie den Befehl fdisk/mbr aus, um den Virus-Bootcode im Hauptbootbereich zu löschen. Zu diesem Zeitpunkt können Sie das System neu installieren, dies ist jedoch erst nach einer vollständigen Installation wirksam. Wenn Sie GHOST zum Installieren des Systems verwenden, müssen Sie die folgenden Schritte ausführen: 1. Rufen Sie das PQ/PM-Partitionstool über die GHOST-Systemfestplatte auf, die im Allgemeinen in der GHOST-Systemfestplatte enthalten ist. 2. Klicken Sie mit der rechten Maustaste auf das Laufwerk C und wählen Sie „Erweitert – Als Funktion festlegen“. Dadurch wird die MBR-Boot-Schicht neu geschrieben, sodass die Viren in der Boot-Schicht auf natürliche Weise entfernt werden. 3. Es ist in Ordnung, das System direkt über die GHOST-Systemdiskette zu installieren.
Manuelle Tötungsmethode unter DOS
Der erste Schritt: Finden Sie ein spezielles Tötungstool: Es wird empfohlen, „One-Click GHOST“ zu verwenden, bei dem das kleine Tool DISKRW, das mit der DOS-Toolbox geliefert wird, das Problem perfekt lösen kann. Schritt 2: Töten Sie den MBR-Virus. 1. Löschen Sie die reservierten Festplattensektoren außer MBR. Installieren oder erstellen Sie „One-Click GHOST“ und starten Sie One-Click GHOST. Wenn schließlich die rote Schnittstelle erscheint, drücken Sie die ESC-Taste, um zum Hauptmenü zurückzukehren. Drücken Sie die Pfeiltasten, um „DOS Toolbox“ -> „DISKRW“ -> „3. Clear“ -> „Clear (2)“ -> OK auszuwählen. (Hinweis: Versuchen Sie, die Version 2010 zu verwenden. Bei früheren Versionen kann diese Funktion nicht garantiert werden.) 2. Reparieren Sie den MBR (ein wichtiger Schritt, der durchgeführt werden muss). Wählen Sie dann im nächsten Schritt „4. Reparieren“ -> „Reparieren (F)“ -> OK. Schritt 3: Installieren Sie das System neu oder stellen Sie es wieder her. Nachdem der zweite Schritt abgeschlossen ist, starten Sie den Computer nicht neu und rufen Sie WINDOWS auf, da er sonst erneut infiziert wird. Die richtige Methode besteht darin, die Systeminstallations-CD in das CD-ROM-Laufwerk einzulegen und das System neu zu installieren. Oder wenn Sie über ein lokales System-Backup verfügen (natürlich das Backup, das Sie vor der Infektion mit dem Virus erstellt haben), können Sie es auch mit der Funktion „Systemwiederherstellung mit einem Klick“ wiederherstellen. Schritt 4: Komplettes Antivirenprogramm. Nach der Rückkehr zu WINDOWS müssen Sie Ihre Antivirensoftware auf die neueste Version (die neueste Virendatenbank) aktualisieren und dann einen „vollständigen Scan und Kill“ durchführen. Dadurch können die Virus-Hostdateien, die auf Nicht-Systemfestplatten (z. B. Laufwerk D, E-Laufwerk, F-Laufwerk) verbleiben, abgetötet werden, um so „die Wurzeln zu beseitigen“.
Diesen Absatz bearbeiten MBRFix arbeitet mit 360 Security Guard zusammen, um unter Windows OK nach dem Neustart zu töten
Spezielles Tötungstool für Ghost-Viren
Eines der Merkmale des „Ghost“-Virus ist, dass die Sicherheitssoftware nicht normal ausgeführt werden kann. Die kumulierte Zahl der Infektionen mit diesem Virus beträgt etwa 300.000. Wenn Internetnutzer feststellen, dass die auf ihren Computern installierte Sicherheitssoftware ohne ersichtlichen Grund nicht normal ausgeführt werden kann und gängige Reparaturtools nicht normal ausgeführt werden können, versuchen Sie bitte, das vom Kingsoft Security Center veröffentlichte „Ghost“-Virustötungstool zu verwenden, um den Virus zu überprüfen und zu reparieren. Derzeit ist dieses Tool für Geisterviren geeignet, die noch nicht mutiert sind. Sobald das Virus mutiert, ist die Spezialtötung wirkungslos. Ich möchte alle daran erinnern, beim Surfen im Internet auf den Netzwerkschutz zu achten und regelmäßig Anti-Software-Scans zu aktivieren. Derzeit ist Kingsoft Antivirus in der Lage, den Körper der Geistermutter zu töten. Analyse der Ausbreitungsbreite des „Ghost“-Virus. Das Kingsoft Cloud Security System analysierte die Download-Häufigkeit der Malware, kombiniert mit der Analyse des Website-Verkehrs, der den Virus verbreitet, und schätzte, dass das tägliche Download-Volumen des Virus etwa zwischen 20.000 und 30.000 liegt.