Lovgate病毒移除经验
这两天公司不少计算机感染了Lovgate病毒, 这是见过的最厉害的病毒, 我将自己的处理经验写出来。
病毒全名: W32.HLLW.Lovgate.?@mm (?代表Lovgate的各个变种)
传播途径: 网络共享、邮件
最大特点:
1、以administrator用户名访问目标计算机的管理员共享(admin$), 并进行密码的枚举，空密码、1234、test等都是枚举的范围，如果成功破解密码，就进行感染行动。普通everyone完全控制的共享更是它优先照顾的对象。
2、防病毒软件无法彻底实时防护，即时防病毒软件正常运行，只要有传播途径，还是会被感染，而且它能使防病毒软件失效。
处理方法:
1、阻断传播途径：
A、更改管理员密码
B、关闭everyone完全控制的共享, 最彻底的方法是禁用文件与打印共享
C、关闭%SystemRoot%\Media共享，是病毒自己创建的共享
2、检查并关闭病毒进程
A、关闭所有exploier.exe进程
B、关闭所有iexplore.exe进程
C、关闭所有iexplorer.exe进程
这三个进程是感染lovgate明显的症状。
3、删除%SystemRoot%\system32\下的iexplore.exe与iexplorer.exe, 如果不能删除，将它们重命名, 待处理完重启后再删除。
4、删除相应的注册表项:
A、[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
" Program In Windows"="C:\\WINNT\\System32\\IEXPLORE.EXE"
"WinHelp"="C:\\WINNT\\System32\\TkBellExe.exe"
"Hardware Profile"="C:\\WINNT\\System32\\hxdef.exe"
"Microsoft Associates, Inc."="iexplorer.exe"
"Shell Extension"="C:\\WINNT\\System32\\spollsv.exe"
B、[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\runServices]
"SystemTra"="C:\\WINNT\\CdPlay.EXE"
"COM++ System"="Exploier.exe"
C、从注册表中删除恶意程序服务项目
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet> Services>Windows Management Instrumentation Driver Extension
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet> Services>NetMeeting Remote Desktop (RPC) Sharing HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>Microsoft NetWork FireWall Services
4、下载专门的Lovgate病毒移除工具, 比如Symantec或瑞星的，清除系统中的病毒
5、重启计算机后，卸载旧的防病毒软件(感染lovgate后, 防病毒软件会被lovgate病毒破坏)，重新安装防病毒软件，更新病毒定义文件。
附: 病毒枚举的密码列表:
Guest
Administrator
zxcv
yxcv
xxx
win
test123
test
temp123
temp
sybase
super
sex
secret
pwd
pw123
Password
owner
oracle
mypc123
mypc
mypass123
mypass
love
login
Login
Internet
home
godblessyou
god
enable
database
computer
alpha
admin123
Admin
abcd
aaa
88888888
2600
2004
2003
123asd
123abc
123456789
1234567
123123
121212
11111111
110
007
00000000
000000
pass
54321
12345
password
passwd
server
sql
!@#$%^&*
!@#$%^&
!@#$%^
!@#$%
asdfgh
asdf
!@#$
1234
111
root
abc123
12345678
abcdefg
abcdef
abc
888888
666666
111111
admin
administrator
guest
654321
123456
321
123
病毒全名: W32.HLLW.Lovgate.?@mm (?代表Lovgate的各个变种)
传播途径: 网络共享、邮件
最大特点:
1、以administrator用户名访问目标计算机的管理员共享(admin$), 并进行密码的枚举，空密码、1234、test等都是枚举的范围，如果成功破解密码，就进行感染行动。普通everyone完全控制的共享更是它优先照顾的对象。
2、防病毒软件无法彻底实时防护，即时防病毒软件正常运行，只要有传播途径，还是会被感染，而且它能使防病毒软件失效。
处理方法:
1、阻断传播途径：
A、更改管理员密码
B、关闭everyone完全控制的共享, 最彻底的方法是禁用文件与打印共享
C、关闭%SystemRoot%\Media共享，是病毒自己创建的共享
2、检查并关闭病毒进程
A、关闭所有exploier.exe进程
B、关闭所有iexplore.exe进程
C、关闭所有iexplorer.exe进程
这三个进程是感染lovgate明显的症状。
3、删除%SystemRoot%\system32\下的iexplore.exe与iexplorer.exe, 如果不能删除，将它们重命名, 待处理完重启后再删除。
4、删除相应的注册表项:
A、[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
" Program In Windows"="C:\\WINNT\\System32\\IEXPLORE.EXE"
"WinHelp"="C:\\WINNT\\System32\\TkBellExe.exe"
"Hardware Profile"="C:\\WINNT\\System32\\hxdef.exe"
"Microsoft Associates, Inc."="iexplorer.exe"
"Shell Extension"="C:\\WINNT\\System32\\spollsv.exe"
B、[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\runServices]
"SystemTra"="C:\\WINNT\\CdPlay.EXE"
"COM++ System"="Exploier.exe"
C、从注册表中删除恶意程序服务项目
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet> Services>Windows Management Instrumentation Driver Extension
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet> Services>NetMeeting Remote Desktop (RPC) Sharing HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>Microsoft NetWork FireWall Services
4、下载专门的Lovgate病毒移除工具, 比如Symantec或瑞星的，清除系统中的病毒
5、重启计算机后，卸载旧的防病毒软件(感染lovgate后, 防病毒软件会被lovgate病毒破坏)，重新安装防病毒软件，更新病毒定义文件。
附: 病毒枚举的密码列表:
