鬼影病毒，隱藏性比較好，其編寫思路另辟捷徑，也許有助于未來的病毒編寫，但其危害性是不容忽視，TA寄生于磁盤主引導記錄（MBR）中，我們所常用的“治百�。ㄖ匮b系統(tǒng)）”對其毫無影響，形同“鬼影”一般“陰魂不散”。閱讀下文了解判斷電腦是否感染鬼影病毒以及徹底清理鬼影病毒的方法。

　　據(jù)金山安全實驗室工程師說，“鬼影”病毒是較為罕見的技術型病毒，直接改寫MBR的技術主要在國外技術論壇傳播，在“鬼影”病毒之前，這一技術少有被黑客實際大規(guī)模利用的案例。

　　另據(jù)金山安全實驗室研究人員透露，在目前國內(nèi)安全廠商和民間反病毒高手中，能夠完整分析“鬼影”病毒的人屈指可數(shù)。因病毒寄生于硬盤的主引導記錄（MBR），病毒釋放的驅(qū)動程序能夠破壞大多數(shù)安全工具和系統(tǒng)輔助工具，在已經(jīng)中毒的情況下，很難使用現(xiàn)有工具完成病毒清除，金山已經(jīng)推出了鬼影專殺工具。

　　金山毒霸已經(jīng)升級，可查殺傳播“鬼影”病毒的母體文件，避免更多用戶受“鬼影”病毒之害，用戶只需要在線升級即可獲得相應防御能力。金山網(wǎng)盾已將傳播該病毒的惡意網(wǎng)頁加入阻止訪問的列表，防止更多用戶下載這個神秘的“鬼影”病毒。

　　病毒特征

　　1、無需寄主 結束所有殺毒軟件。

　　該病毒一旦進入電腦，就像惡魔一樣，隱藏在系統(tǒng)之外，無文件、無系統(tǒng)啟動項、無進程模塊，比系統(tǒng)運行還早，結束所有殺毒軟件，下載av終結者，盜號木馬，ie主頁修改等大量多品種病毒。

　　2、顛覆傳統(tǒng) 重裝系統(tǒng)無法清除。

　　一般的電腦病毒是Windows系統(tǒng)下的應用程序，在Windows加載之后才運行。而“鬼影”病毒的主要代碼是寄生在硬盤的主引導記錄（MBR），即使用戶重裝了系統(tǒng)，仍無法將其完全清除。當系統(tǒng)再次重啟時，該病毒會早于操作系統(tǒng)內(nèi)核先行加載。而當病毒成功運行后，在進程中、系統(tǒng)啟動加載項里找不到任何異常，病毒就象“鬼影”一樣在中毒電腦上“陰魂不散”。“鬼影”病毒是國內(nèi)首個引導區(qū)下載者病毒，顛覆了傳統(tǒng)病毒的感染特點以及用戶處理病毒問題的思維定勢，不僅做到了“三無”特性——無文件、無系統(tǒng)啟動項、無進程模塊，而且即使用戶重裝了系統(tǒng)，該病毒依然會再次進入用戶新系統(tǒng)。

　　3、安全軟件失效 電腦明顯變慢

　　“鬼影”病毒入侵后，會釋放驅(qū)動程序改寫硬盤MBR（主引導記錄），驅(qū)動程序在開機過程中攻擊眾多殺毒軟件，令殺毒軟件失效，再下載傳統(tǒng)的AV終結者木馬下載器，最終目的依然是通過傳播盜號木馬，竊取用戶虛擬財產(chǎn)牟利。中毒后，最直觀的現(xiàn)象是安全軟件無法正常運行，電腦明顯變慢，IE主頁被改。

　　工作原理

　　1、“鬼影”病毒母體運行后，會釋放兩個驅(qū)動到用戶電腦中，并加載。和母體病毒捆綁在一起其它流氓軟件會修改桌面快捷方式，嘗試修改IE屬性。

　�。ǚ治觯翰《緜鞑フ哌@樣做的目的可能是為了轉移安全廠商的目標，便于病毒的真正母體隱藏得更好）

　　2、a驅(qū)動會修改系統(tǒng)的主引導記錄（mbr），并將b驅(qū)動寫入磁盤，保證病毒是優(yōu)先于系統(tǒng)啟動，且病毒文件保存在系統(tǒng)之外。這樣進入系統(tǒng)后，病毒加載入內(nèi)存，但找不到任何啟動項、找不到病毒文件、在進程中找不到任何進程模塊。

　　3、病毒母體自刪除。

　　4、重啟系統(tǒng)后，主引導記錄（MBR）中的惡意代碼會對Windows系統(tǒng)的整個啟動過程進行監(jiān)控，發(fā)現(xiàn)系統(tǒng)加載ntldr文件時，插入惡意代碼，使其加載b驅(qū)動。

　　5、b驅(qū)動加載起來后，會監(jiān)視系統(tǒng)中的所有進程模塊，若存在安全軟件的進程，直接結束。

　　6、b驅(qū)動會下載av終結者到電腦中，并運行。

　　7、下載的av終結者病毒會修改系統(tǒng)文件，對安全軟件進程添加大量的映像劫持，下載大量的盜號木馬。進一步盜取用戶的虛擬財產(chǎn)。

　　8、該病毒只針對WinXP系統(tǒng)，尚不能破壞Vista和Win7系統(tǒng)。（目前最新的變種可以感染Vista、Win7和Win8，但在Win8/Win8.1無法破壞MBR，無法注入病毒驅(qū)動程序，比較容易處理）

　　病毒癥狀

　　1、電腦非�？�，操作程序有明顯的停滯感，常見殺毒軟件無法正常打開，同時發(fā)現(xiàn)反復重裝系統(tǒng)后問題依舊無法解決。

　　2、系統(tǒng)文件被感染殺毒查殺以后提示找不到相應的dll或者系統(tǒng)功能不正常。rpcss.dll，ddraw.dll是盜號木馬常修改的系統(tǒng)dll。

　　3、QQ號碼被盜，可被黑客用來傳播廣告等。魔獸、DNF、天龍八部、夢幻西游等游戲賬號被盜。

　　4、進程中存在iexplore.exe進程并指向一個不正常的網(wǎng)站。

　　5、鬼影共同特征就是進程里有ali.exe

　　6、你的電腦桌面上出現(xiàn)了一個討厭的“播放器”快捷方式，而且刪不掉。

　　7、鬼影病毒還有一個特征就是任何軟件（有些例外如360急救箱），會在7——12秒內(nèi)自動關閉，一些鬼影病毒可以屏蔽一些“純鬼影專殺”，當啟動專殺時，會發(fā)現(xiàn)專殺驅(qū)動無法成功啟動。只有一些強制性的殺毒軟件（如金山系統(tǒng)急救箱），才可以清除。

　　8、還有一個共同點就是中了該病毒之后，電腦如果只裝有一塊硬盤可以啟動系統(tǒng)，如果電腦裝有兩塊硬盤以上，或者插了U盤。進入系統(tǒng)時就會出現(xiàn)藍屏。（藍屏原因是分區(qū)錯誤）

　　鬼影病毒處理方法：

　　一、重建引導并重裝系統(tǒng)

　　格式化C盤，進入dos狀態(tài)，運行：

　　命令，用以清除掉主引導區(qū)的病毒引導代碼，這時候重裝系統(tǒng)就可以了，但是這是在完全安裝起作用的，如果你用是啟動盤那么還要多做以下幾步：

　　1、通過啟動盤（U大俠啟動盤 下載）進入PQ/PM分區(qū)工具，一般啟動盤都帶的。

　　2、 右擊c盤，選擇進階-設為作用，這樣就把MBR引導層重新寫了一遍，這樣在引導層中的病毒也自然被剔除了。

　　3、 之后直接用啟動盤安裝系統(tǒng)就OK了。

　　二、DMS手動查殺方法

　　DOS下手動查殺方法

　　1、找專殺工具：這里推薦使用“一鍵GHOST 下載“，其中的DOS工具箱自帶的小工具DISKRW就可以完美解決。

　　2、殺除MBR病毒

　�、�、清除MBR以外的硬盤保留扇區(qū)。安裝或制作好“一鍵GHOST”，開機進入一鍵GHOST，最終出現(xiàn)紅色界面時按ESC鍵退回到主菜單，按方向鍵選擇“DOS工具箱”-->“DISKRW“ --> ”3.清除“ --> ”清除（2）“ --> 確定。（注意，盡量使用最新版，更早的版本不能保證有此功能）。

　　②、修復MBR（關鍵一步，必須做），接著下一步，選擇“4.修復”--> “修復（F）“ --> 確定。

　　3、重裝或恢復系統(tǒng)。在第二步完成后，千萬不要重啟電腦進入Windows了，否則會二次感染。正確的方法是，使用啟動盤（U大俠啟動盤 下載）重裝系統(tǒng)�；蛘呷绻�你有本地的系統(tǒng)備份（當然是沒感染病毒之前做過的備份），也可以用“一鍵恢復系統(tǒng)”功能進行恢復。

　　4、全盤殺毒。返回Windows后，需要升級你的殺毒軟件到最新版本（最新病毒庫），然后進行“全盤查殺”，這樣可以把殘留在非系統(tǒng)盤（比如D盤、E盤、F盤）里的病毒寄主文件殺掉，以做到“斬草除根”。

　　三、MBRFix配合360安全衛(wèi)士查殺

　　1、開機打開任務管理器，結束（nat.exe）

　　2、打開360安全衛(wèi)士 下載，選擇系統(tǒng)修復來修復系統(tǒng)

　　3、在WinXP環(huán)境下運行“CMD”進入DOS模式，運行：

　　重啟后OK。

　　四、鬼影病毒專殺工具

　　“鬼影”病毒的特征之一是安全軟件不能正常運行，該病毒累計感染量約30萬臺。若網(wǎng)民發(fā)現(xiàn)自己電腦上安裝的安全軟件莫名其妙不能正常運行，常見的修復工具也不能正常運行，請嘗試使用金山安全中心發(fā)布的“鬼影”病毒專殺工具檢查修復。此工具適用于尚未變種的鬼影病毒，一旦該病毒變種，該專殺將會無效，這里提醒大家要注意上網(wǎng)時的網(wǎng)絡防護，要定期開啟殺軟掃描，金山毒霸已能夠殺滅鬼影母體。“鬼影”病毒傳播的廣度分析金山云安全系統(tǒng)分析該惡意軟件的下載頻率，結合傳播病毒的網(wǎng)站流量分析，評估該病毒的日下載量大約為2-3萬之間。

　　五、鬼影病毒金山查殺

　　金山毒霸 下載 查殺后手動善后

　　1、開始-運行-msconfig；

　　2、選擇“啟動”，把ali前面的勾去掉，單擊應用；

　　3、開始-運行-win.ini，內(nèi)容已病毒被更改為類似下文：

　　替換為

　　以上便是關于判斷電腦是否感染鬼影病毒以及徹底清理鬼影病毒的方法，鬼影病毒開啟了惡意程序編寫的先河，將來可能會有更多“有心人士”利用鬼影病毒制作出新的變種病毒，用戶切勿怠慢。