与感染性病毒“Synaptics.exe”战斗的24小时！

jefel

与感染性病毒“Synaptics.exe”战斗的24小时！
这就是病毒“Synaptics.exe”，其属于蠕虫类感染类病毒。

1、行动轨迹：[并行操作,不分先后]
一是：其在C:\ProgramData\Synaptics创建原始病毒文件夹，内含“WS”子文件夹[为空]和“Synaptics.exe”文件[大小：754KB]。
二是：其在C:\用户\***\AppData\Local\Temp中，释放文件“qk3296d7.exe”[大小：753KB，CRC32:7EB2AB4D]

2、上述二项特点：
①此程序图标显示为运行第一次感染的可执行程序，并使用其感染程序图标，其后随着使用者运行感染程序而改变；
②可执行程序被感染后，右键属性后发现“描述”内容被改变为：“Synaptics Pointing Device Driver”[被感染的文件属性改变相同，大小增大，且创建文件时间改变]；
③被感染文件首次执行时会在同文件夹内新产生一个和感染文件同名且前缀为：“._cache_”的病毒文件[此文件隐藏]；
④系统被感染后，对任何插入的U盘，都会被病毒搜索到，并立即采取遍历可执行文件的方式感染。[成为新的感染源，使用者在不知不觉中，只要在其它电脑上运行U说服力中的程序，就会感染其它电脑。]
⑤病毒只感染可执行文件，和网银相关的文件[目的明确]，无法感染压缩文件。
⑥病毒首次在硬盘或U盘被触发传染时，硬盘灯或U盘指示灯会狂闪[说明在病毒在疯狂感染文件--就是写文件的过程]，同时会莫名弹窗提示文件没有权限，这可能是病毒Bug，也是提醒我们系统已经异常的警报。
⑦其在注册表中创建2个启动项：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mydesk]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="mydesk"
"hkey"="HKCU"
"command"="C:\\Users\\WWH\\Desktop\\mydesk 1.0.7.0\\mydesk.exe"
"inimapping"="0"
"YEAR"=dword:000007e4
"MONTH"=dword:00000004
"DAY"=dword:00000002
"HOUR"=dword:00000017
"MINUTE"=dword:0000001e
"SECOND"=dword:0000001e

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Synaptics Pointing Device Driver]
"key"="SOFTWARE\\Wow6432Node\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="Synaptics Pointing Device Driver"
"hkey"="HKLM"
"command"="C:\\ProgramData\\Synaptics\\Synaptics.exe"
"inimapping"="0"
"YEAR"=dword:000007e4
"MONTH"=dword:00000004
"DAY"=dword:00000002
"HOUR"=dword:00000017
"MINUTE"=dword:0000001e
"SECOND"=dword:0000001e

3、处理方法：
①先删除病毒的自启动项；
②再删除病毒本体及复制体文件及文件夹；
③用火绒全盘剿杀，并重新启动系统，再次全盘在剿杀。
④保证系统干净情况下，再用火绒全盘查杀及修复被感染文件[此时文件的创建时间改变，大小会变小，恢复原来大小。]
⑤最后用火绒全盘查杀及修复被感染U盘内文件[此时文件的创建时间改变，大小会变小，恢复原来大小。][特别注意：执行此操作时，火绒所在盘预留20G病毒隔离空间，要不然无法查杀及修复。]
⑥最后系统正常，删除火绒隔离区内的备份的病毒文件。[我的有18G多。第一次不够，又花了一上午重新查杀修复]。


4、总结：
①感染型病毒，就是将自身隐藏在其它执行程序中，达到传播和作恶目的病毒，只要被感染的程序运行，病毒也就跟着激活了。病毒和被感染的程序就像宿主和寄居的关系，只要不破坏宿主，用户就很难发现程序确实中毒了，病毒也得以继续隐藏、作恶，比如窃取你的上网信息、回传系统信息、开后门下载其它病毒等等。更可恶的是，还能继续感染电脑上其它可执行的程序，影响甚大。
②感染型病毒具备寄生性、传染性、潜伏性，隐蔽性、破坏性、可触发性等等各种特征，确保不让用户发现还能做坏事。
③常在河边走，那有不湿脚，但要注意系统的异常，及时止损。
④能装还是装个杀毒软件，因为如果你不是喜好，你不可能座上24小时战斗的。


最后统一回复大家：
并按版规提供病毒源文件：密码：9
因特殊原因不能更改成52pj，还望管理和大家谅解！


还有一点提醒并且十分的 重要：


1、如果感染此病毒期间，电脑用过U盘，肯定已经感染。都须及时用火绒查杀及修复【不会有后遗症】，否则后期会反复感染，没有尽头！！！
2、如果已经感染此病毒【病毒会在正常的*.exe文件后追加一段代码，你一运行，它就会进行疯狂复制和感染】，请一定不要试着运行，按上述方法清除后，用火绒查杀及修复【可以修复感染的文件，时间会长。但文件能正常恢复过来。】

已经提醒病毒感染传播网站撤回程序！

Only1Studio

我这里有一个工具专门对付这个病毒的查杀

https://www.lanzouj.com/iayyyda

zuiai125520

感谢分享，教程写的很详细。之前中过一次，不过是通过易语言文件感染的，火绒马上拦截了下来，c盘占满最后还是火绒全盘一波结束的

JuncoJet

这个，好像是之前有人发论坛里的易语言蠕虫？

jefel

@细水流长，只要按步骤，全程取消系统文件和文件隐藏，先删除病毒的注册表项，再删除病毒文件，然后重启。就可以用火绒全盘查杀及修复被感染的文件了。修复后文件就正常了。除了火绒能够彻底查杀及修复，好像没有比这个简单了，查了下，也没有专门针对此病毒的专杀工具。当然有重要网银等，还是找机会重装下，保险点。

gxdxtmlq

有同感，谢谢指导

vethenc

头像好评

冰雪冬樱250

谢谢指导

丿凉城

卧槽 大佬！ 绝了 一定要点赞

Tony9193

加油大佬

xuxiangxi

我的前段时间也中了。这个病毒，所有的EXE日期全被更改了。我就是从论坛里下载了。感觉像是用了那个wps单文件版后感染的，最后用火绒全盘杀了一遍弄好了