记最近分析的一个锁屏幕病毒 - qysh

1.病毒运行后现象：病毒程序占满屏幕。鼠标依然在，但是无论点击哪儿都没反应。快捷键（例如ctrl+alt+delete,alt+f4（关闭当前窗口）,alt+tab（切换窗口）等）全部失效。

                         关闭电源，用普通安全模式或带网络连接的安全模式启动，病毒程序依然占满屏幕。

                         但是dos命令行安全模式可以启动。

2.分析：根据上述现象分析，病毒很有可能是替换了os中负责界面的explorer.exe文件。

3.确定分析结果：

（1）对比antoruns在染毒前后对于系统启动项的显示，发现在染毒后多了一个winlogon启动项：explorer.exe。

（2）进入dos安全模式，删除system32目录下的explorer.exe文件。重启进入正常模式，发现无任务栏、无开始菜单等。可以确定是病毒不仅替换了system32目录下的explorer.exe，而且删除了dllcache目录下的系统备份的explorer.exe。

4.系统修复方案：

（1）进入dos安全模式，删除explorer.exe。

（2）启动IE浏览器，下载一个安全的explorer.exe到system32目录下。

（3）重启计算机进入正常模式，系统恢复正常。