正常情况下,系统最重要的扩展名:EXE 、COM 、PIF 、BAT 、SCR 、TXT 、INI 、INF 、CHM ,它们的值(打开方式)是不变的。而很多病毒木马会修改它们的打开方式,这样可以达到病毒木马程序跟随您打开的那种文件类型一起启动,而你根本不会知道。现在有很多工具可以查看这些扩展名是否被修改,如下图,这是 SRENG 程序显示的文件关联,当我们发现某一扩展名的状态是错误的时候,我们可以直接勾选上它,然后修复。
当我们发现的时候可能已经迟了。举个例子,exe文件的打开方式是 "%1"%* 。如果被修改成trogan.exe "%1"%*, 那么你每次运行程序的时候,这个trogan.exe就会被执行。我们在使用安全辅助软件(比如说sreng)清除病毒的时候经常会建议朋友
当sreng.exe不能打开,请将它修改为dgs.com;仍然打不开,请修改为dss.pif;仍然打不开,请修改为fwa.bat;还不行吗,那请你修改为daews.scr;还不行......
难道这么多扩展名的打开方式都被修改了吗..靠!
REGEDIT4
[HKEY_CLASSES_ROOT\.axa]
@="axafile"
"Content Type"="application/x-msdownload"
[HKEY_CLASSES_ROOT\.axa\PersistentHandler]
@="{098f2470-bae0-11cd-b579-08002b30bfeb}"
[HKEY_CLASSES_ROOT\axafile]
@="应用程序"
"EditFlags"=hex:38,07,00,00
"TileInfo"="prop:FileDescription;Company;FileVersion"
"InfoTip"="prop:FileDescription;Company;FileVersion;Create;Size"
[HKEY_CLASSES_ROOT\axafile\DefaultIcon]
@="%1"
[HKEY_CLASSES_ROOT\axafile\shell]
[HKEY_CLASSES_ROOT\axafile\shell\open]
"EditFlags"=hex:00,00,00,00
[HKEY_CLASSES_ROOT\axafile\shell\open\command]
@="\"%1\" %*"
[HKEY_CLASSES_ROOT\axafile\shell\runas]
[HKEY_CLASSES_ROOT\axafile\shell\runas\command]
@="\"%1\" %*"
[HKEY_CLASSES_ROOT\axafile\shellex]
[HKEY_CLASSES_ROOT\axafile\shellex\DropHandler]
@="{86C86720-42A0-1069-A2E8-08002B30309D}"
[HKEY_CLASSES_ROOT\axafile\shellex\PropertySheetHandlers]
[HKEY_CLASSES_ROOT\axafile\shellex\PropertySheetHandlers\PifProps]
@="{86F19A00-42A0-1069-A2E9-08002B30309D}"
[HKEY_CLASSES_ROOT\axafile\shellex\PropertySheetHandlers\ShimLayer Property Page]
@="{513D916F-2A8E-4F51-AEAB-0CBC76FB1AF8}"
[HKEY_CLASSES_ROOT\axafile\shellex\PropertySheetHandlers\{B41DB860-8EE4-11D2-9906-E49FADC173CA}]
@=""
将上面代码保存为reg文件,导入注册表后,你将某SRENG程序扩展名修改为AXA,可以启动,这样病毒木马修改了所有重要的扩展名,它也不可能想到AXA,要是你问,它想到怎么办..........哎,再想办法吧。
使用sreng查看启动项发现appinit_dlls.