无忧启动论坛

标题: 一种顽固的PE病毒--DesktopLayer！ [打印本页]

作者: jianghui2010 时间: 2020-7-25 20:23
标题: 一种顽固的PE病毒--DesktopLayer！
今天给各位坛友谈一下一种不知何时，何处，来自哪款，植入于pe的病毒--DesktopLayer！这种病毒十分顽固，也十分坑，请大家注意！请看它是如何顽固的：
① 格式化U盘，无用
② Ghost恢复系统，无用
② 全新重装系统，无用
④ 影子系统8.5.5，无用，可以绕过还原系统
⑤ 文件夹图标全盘查杀，无用
⑥ 360专杀，无用
⑦ 金山毒霸专杀，无用
。。。。
无论采取什么形式，就是会死灰复燃！U盘始终是文件夹图标！
各种网络查询后，得知有一种病毒叫计算机端口病毒，攻击139、445端口等等，就是驻扎在某些端口上的病毒，也可能变种成勒索病毒，还有说中了超级工厂病毒，大家可以查询百度当年西门子和伊朗核电站就被超级工厂病毒干过，据说是美国官方研制出来的，对付西方国家的蠕虫病毒，很难杀除。看到这些，我也怕了，难道没有办法了吗，电脑扔了，重新更换？简直是又气又恨！

故事还得从1月初说起。当时，我浏览各大pe网站，pe论坛，当然也包括无忧，是想发掘几款好用的pe，不打算更新，意想长期使用，于是在以上网站以及论坛各种下载，然后使用自己的闪迪4G U盘进行一一制作和测试。然而，就在测试几款pe后，发现了一个问题：U盘图标变成了文件夹形式，所以第一时间怀疑是中了文件夹图标病毒，于是一不做二不休，使用pe的还原空间，将U盘恢复出厂值，拔掉，然后重新刻录，然而发现，不行！一重新插就就又成了文件夹图标，于是，我将系统文件隐藏功能全部关闭，查看U盘根目录到底是什么文件，发现U盘内有个RECYCLE文件夹，这个文件夹和正常的回收站是不一样的，文件夹里有一串字母，后缀是exe文件。于是删除，但是删除后又出来别的，而且1-2秒会增加一个，也就是说，如果不清除，会一直增加下去，一个文件就几kb，于是进入pe再次手动删除，还是如故。没有办法，上网各种查询，如何处理，有些复制党说了一堆，根本不管用，还有说是正常回收站或者系统文件，真的呵呵。

后来，下载了一个从没用过的火绒杀毒软件，断网，全盘查杀，查杀了将近2个小时，清除了5000多个病毒！！后来才知道，有个能人说叫DesktopLayer病毒！而且位置在：C:\Program Files (x86)\Microsoft里，但是我找了，没找到，查杀完，火绒显示是Raminit.ep病毒！蠕虫！后来又下载了一个赛门铁克的Raminit蠕虫专杀工具："FxRamnit"。彻底清扫了电脑。U盘再也不显示文件夹了！原来这种蠕虫病毒已经感染了电脑里很多文件！早就功成身退了。。。只要一打开感染的文件就激活，怪不得重装、格式化都没有用！

后来想想，终于明白了原因:
这种病毒的原理就像给你的文件穿了一身衣服，但是你的文件还在！
而且，这种病毒是潜藏在已经被感染的软件里，而且平常使用悄无声息，但只会通过U盘传播！很奇怪的是，有些电脑有反应，而有些电脑无任何征兆，这一点匪夷所思，大家也可以查询一些这方面的信息，有些网友和我说的是一种情况。其实一旦发现这种情况，证明电脑的许多文件已经不干净了，这时不建议删除文件，只推荐使用杀毒软件，全盘查杀，脱去病毒的衣服！至于选哪一家，自己斟酌吧。这里必须要吐槽一下360、金山毒霸，还有一些专杀工具，平时杀杀小毒，提个醒什么的刷刷存在感还行，一到关键时候真不顶用啊，只防君子不挡小人啊！

DesktopLayer病毒.JPG (35.38 KB, 下载次数: 142)

DesktopLayer病毒或称Raminit病毒

作者: Liberation 时间: 2020-7-25 20:24
无忧论坛的PE还是比较干净好用的，至少我试过的很多pe都无毒。不知道楼主说的病毒来自什么PE？

作者: jianghui2010 时间: 2020-7-25 20:31

Liberation 发表于 2020-7-25 20:24
无忧论坛的PE还是比较干净好用的，至少我试过的很多pe都无毒。不知道楼主说的病毒来自什么PE？

我也不清楚，在使用好几款pe后，中间都没发现，偶然发现U盘图标变成文件夹。但我也怀疑应该不是无忧里的，有可能是pe网站上的，至于是哪一家，感觉很难找到，这种传播一般不会发作，只在特定情况下会被激活。

作者: Liberation 时间: 2020-7-25 20:43

jianghui2010 发表于 2020-7-25 20:31
我也不清楚，在使用好几款pe后，中间都没发现，偶然发现U盘图标变成文件夹。但我也怀疑应该不是无忧里的 ...

我觉得找PE，无忧论坛足够了，一些不知名的或者带广告，页面不太正规的，我直接无视的

。楼主访问的其他网站大概能发来看看吗

作者: lyq1959 时间: 2020-7-25 20:47
太可怕了！

作者: rgy 时间: 2020-7-25 20:51
楼主是不是想告诉大家：电脑上要是没有靠谱的杀毒软件就不要在网上乱下什么软件PE的，不然只会惹毒上身，楼主就是例子。

作者: jianghui2010 时间: 2020-7-25 20:55

rgy 发表于 2020-7-25 20:51
楼主是不是想告诉大家：电脑上要是没有靠谱的杀毒软件就不要在网上乱下什么软件PE的，不然只会惹毒上身，楼 ...

是的，强烈建议大家安装杀毒软件，不要裸奔！当然，只要你足够自信！

作者: Liberation 时间: 2020-7-25 20:56

jianghui2010 发表于 2020-7-25 20:55
是的，强烈建议大家安装杀毒软件，不要裸奔！当然，只要你足够自信！

火绒还是比较好用的，比较安静，占用资源少

作者: jianghui2010 时间: 2020-7-25 20:56

Liberation 发表于 2020-7-25 20:43
我觉得找PE，无忧论坛足够了，一些不知名的或者带广告，页面不太正规的，我直接无视的。楼主访 ...

有的，稍晚点整理一下

作者: 2013ertert 时间: 2020-7-25 20:57
最后是如何杀了这个病毒？

作者: jianghui2010 时间: 2020-7-25 21:04

2013ertert 发表于 2020-7-25 20:57
最后是如何杀了这个病毒？

用的火绒全盘断网查杀，然后又用了赛门铁克专杀工具："FxRamnit"，二次查杀。所有病毒清除。再也没出现过。现在还保留在电脑上，以备不时之需。主要是非常安静，就像L大说的一样，欣赏她的安静！当然，不止这一款，各有所爱。自己斟酌，今天的目的是传播一下这种病毒的情况，深受其害，将经验分享给大家，留作参考。

作者: 不才 时间: 2020-7-25 21:18
嘿嘿，这种病毒忒常见了吧！不知与pe有个毛线关系？
想复习一下的话，偶可以给你一个再把玩一下哈。

作者: xiaojinglf 时间: 2020-7-25 21:27
他没有到我手里

作者: 2012andyle113 时间: 2020-7-25 21:43
说了一大堆，不就是自己不知道哪里中了个，古董威金病毒嘛，这玩意最大的问题就是感染的种类范围大，只要留下任何一个没清除干净，就要重新杀一逼

作者: jianghui2010 时间: 2020-7-25 21:58

2012andyle113 发表于 2020-7-25 21:43
说了一大堆，不就是自己不知道哪里中了个，古董威金病毒嘛，这玩意最大的问题就是感染的种类范围大，只要留 ...

大侠，膜拜！

作者: tars-chiu 时间: 2020-7-25 22:40
换块硬盘感觉最快

作者: fjzjk 时间: 2020-7-25 22:41
这种古董病毒了，各种大学机房里很多。
还有变种，一旦你打开带360字样的程序或者网页就给你强制关闭

，因为他知道360能杀。但是一般大学机房都带还原卡的，杀完又恢复回去了，机房都没网管去彻底杀一遍的。

作者: cjy110 时间: 2020-7-25 22:41
最好还是不要去网上乱下载

作者: ifreee 时间: 2020-7-25 23:19
病毒太多了麻烦

作者: sz_kent 时间: 2020-7-25 23:20
呵呵，楼主少见多怪，能杀死的已经不是病毒了，杀不死的才是病毒。

作者: 2010twinsram 时间: 2020-7-25 23:31
好吧，你试试diskgen删除所有分区，重新分区，重建MBR。一般来说，这是引导区病毒，硬盘常规的格式化无法清除。

作者: pewors 时间: 2020-7-26 02:10
360、金山毒霸、电脑管家确实不顶用，有时候还能和U盘病毒和谐共处。这种感染型的最好在安全模式下查杀才容易断根。

作者: 曹虎子 时间: 2020-7-26 02:55
发火绒论坛
试试

作者: FrostedGlass 时间: 2020-7-26 07:03
本帖最后由 FrostedGlass 于 2020-7-26 10:03 编辑

PE基本上坛子里的就够了。。。虽然我用的pe是我自己弄的。。

以前中过文件夹木马，熊猫烧香，维金，usp10.dll,lpk.dll，btb勒索者(这个是自己动手铲的)，后来留了个心眼，u盘在专门的机器上用，网上来源不明的exe在虚拟机先跑一遍，检测虚拟机环境的，直接删(除非软件真的是有需求必须实体机才能满足)

作者: lhc12399 时间: 2020-7-26 07:56
硬盘全格式化也不行？抹去所有硬盘数据也不行？

作者: 新建 时间: 2020-7-26 08:04
文件夹病毒，通过U盘传播。被感染的电脑的文件夹的名称不变，但大小变了，且后缀是exe可执行文件。真正的文件夹文件还在只是被隐藏了。显示所有文件夹，把exe的文件夹删除了就行了。（当有一个文件夹后缀exe时，不要双击打开这个文件夹，否则所有的文件夹就被感染了。）

作者: holley2008 时间: 2020-7-26 08:37
本帖最后由 holley2008 于 2020-7-26 08:43 编辑

格式化U盘并不是无用，，你这是被反复交叉感染而已。安全模式下格式化U盘拔掉，首先要断网确认系统干净了，再插入U盘测试，，第一次打开不要双击，右键的方式打开。一次操作不严谨就会中招。金山急救箱、360急救箱（担心感染可压缩加密额外保存一份，有问题时重新解压使用）都是有用呢，，只不过你后面连急救箱本身都再次被感染导致无效罢了。FxRamnit也是专门针对exe文件夹病毒的利器，可以留存一份的。还有一些针对U盘显示隐藏文件或免疫U盘的旧工具如USBCleaner、USBKiller等都有一定的疗效。

作者: yzw92 时间: 2020-7-26 09:00
稍晚点整理一下

作者: dkzzlf 时间: 2020-7-26 09:15
江湖险恶啊，且行且珍惜

作者: 2012meiliguo 时间: 2020-7-26 11:41
看看知乎上对各种杀软的评价
https://zhuanlan.zhihu.com/p/40563559

作者: ledu 时间: 2020-7-26 11:58
硬盘级一般吧。

作者: wsz2074480 时间: 2020-7-26 12:11
看来火绒还是有点用的啊

作者: jianghui2010 时间: 2020-7-26 14:28

tars-chiu 发表于 2020-7-25 22:40
换块硬盘感觉最快

关键是文件被感染了，即使换块新盘，只要存的文件一打开就又激活了，不能除根

作者: jianghui2010 时间: 2020-7-26 14:47
本帖最后由 jianghui2010 于 2020-7-26 14:51 编辑

holley2008 发表于 2020-7-26 08:37
格式化U盘并不是无用，，你这是被反复交叉感染而已。安全模式下格式化U盘拔掉，首先要断网确认系统干净了 ...

是的，确实是反复交叉感染
FxRamnit全盘查杀能杀出来，但是USBCleaner、USBKiller不行！全盘扫描压根就扫不出来病毒，试过了。免疫U盘时，USBCleaner、USBKiller不断的阻拦，提醒，病毒还是会冲破，不能从根本上解决问题。关键时候，还是能看出来某些杀毒软件的真实实力的，哈哈

作者: cnzb 时间: 2020-7-26 14:58
学习啦

作者: jianghui2010 时间: 2020-7-26 15:10
本帖最后由 jianghui2010 于 2020-7-28 20:54 编辑

也许有人会说，不下载不明软件，不乱安装不就行了吗？但是，作为肉眼凡胎，病毒何时出现、何时发作是无法预见的，不经意间也许就来到了身边。有些病毒是温柔型的，悄悄的来，悄悄的走，有些病毒是暴力的，措手不及，全盘文件沦丧（比如勒索病毒）。因噎废食，不可行，只能既来之则安之，自己多小心，虚心请教懂的人，解决问题才是关键。

作者: jianghui2010 时间: 2020-7-26 15:21
本帖最后由 jianghui2010 于 2020-7-26 15:56 编辑

作者: GSWong 时间: 2020-7-26 15:39
感谢提醒，找资源还是得留意。

作者: 进士小站 时间: 2020-7-26 16:17
以前中过文件夹病毒
所有的文件夹后面都有 .exe 后缀
也是好长时间才搞掉了

作者: dashan999 时间: 2020-7-26 16:42

这类文件夹病毒好处理的。首先它感染的是系统，这个系统不能用了。进PE处理：各个分区根目录下的回收站文件夹一定要清理，还有自动生成的SYS最长的文件名的文件夹（各分区都有也都是这个名字的），AUTORUN.INI然后把系统盘重做，进入系统后千万不要动其它分区的任何文件，下载火绒就可以，重启。各分区查杀。最后再用那个USBKiller专杀清理一下RAR及文件夹里的DLL文件。这样就基本能清理干净。

作者: 2010天月来了 时间: 2020-7-27 07:58
楼主只是不知道感染性病毒的处理原则而已，所以才反复出现

这个病毒处理起来还是很简单的

作者: tss3428 时间: 2020-7-27 09:29

太可怕了！只用论坛的PE.

作者: szwp 时间: 2020-7-28 10:11

jianghui2010 发表于 2020-7-26 15:10
也许有人会说，不下载不明软件，不乱安装不就行了吗？但是，作为肉眼凡胎，病毒何时出现、何时发作是无法预 ...

找到源头是哪个PE了么？

作者: 2011os_defend 时间: 2020-7-28 19:54
杀毒的时间成本太高，还不彻底，如果是自用电脑，建议使用Linux liveCD进去先备份自己的重要资料，再格系统，在PE下使用杀毒软件对备份的文件杀毒，然后重装系统，完事。

病毒没有那么可怕，总要有触发条件和运行环境才能工作吧。生命短暂，何苦拆腾。直接用LiveCD linux不是很好？

作者: jianghui2010 时间: 2020-7-28 20:34
本帖最后由 jianghui2010 于 2020-7-28 20:37 编辑

2011os_defend 发表于 2020-7-28 19:54
杀毒的时间成本太高，还不彻底，如果是自用电脑，建议使用Linux liveCD进去先备份自己的重要资料，再格系统 ...

兄台说Linux liveCD是Linux 系统吧，可是习惯了win系统，无奈linux很不熟悉。碰到这病毒，我又是重装又是恢复，实在是折腾，非常烦人。之前电脑一直裸机，从没安装杀毒软件，所以这次本也不想装杀软，结果就走了那么多弯路。病毒这东西真心不想去折腾，害人的东西！

作者: jianghui2010 时间: 2020-7-28 20:50

szwp 发表于 2020-7-28 10:11
找到源头是哪个PE了么？

没找到，不确定是哪款。经常浏览的pe网页：无忧论坛、IT天空、大白菜、老毛桃、小白、系统总裁、pcos技术论坛、一键U盘装系统、U启动、电脑店、微pe、杏雨梨云、天意u盘维护等等。。。也许在浏览网页的时候遇到假pe，浑水摸鱼pe、埋毒pe、带毒pe。不好确认。

作者: Mete0r 时间: 2020-7-29 00:31
okok icome on!i like it

作者: szwp 时间: 2020-7-29 10:27

jianghui2010 发表于 2020-7-28 20:50
没找到，不确定是哪款。经常浏览的pe网页：无忧论坛、IT天空、大白菜、老毛桃、小白、系统总裁、pcos技术 ...

不找到怎么预防复发啊？

作者: kappa01 时间: 2020-7-30 12:13
真的可怕，一般都不太注意啊

作者: cao123c 时间: 2020-8-3 11:31
我也中过此病毒，但没楼主说的这么可怕，360系统急救箱全盘杀毒后解决了！

作者: iask 时间: 2020-8-4 08:00
楼猪是头条出来的高手啊，标题党

作者: shanshan6060 时间: 2020-8-20 23:18
格式化U盘不是没用，只能怪你的系统已经感染了。

作者: xie365577375 时间: 2020-8-31 08:07
pe一万个就有九千九百九十九有木马病毒后门的，不然人家吃什么！

作者: hhh333 时间: 2020-8-31 08:37
说病毒就是了，与PE没半毛钱关系，有标题党嫌疑。

作者: 2010天月来了 时间: 2020-8-31 09:28
既然只要一打开感染的文件就激活。那么放弃所有文件，进行重装、格式化怎么可能没有用呢。

作者: gtc 时间: 2020-8-31 10:41
这个病毒是个老病毒了，你中毒不一定就是PE的关系，特别是在没有搞清楚怎么中的病毒情况下，建议不要说成是什么PE病毒，以免误导！

作者: mogui 时间: 2020-9-1 17:06
前段时间我的电脑也莫名其妙的中了病毒，用常用的杀毒软件都不管用。只要是插过这台电脑的U盘和硬盘秒中毒。后来实在没辙把电脑全盘低格式化再杀毒。可怜我那十来年的资料全没了

作者: imlym 时间: 2020-9-1 21:02
Win10自带杀毒的管用不?

作者: sanshen3 时间: 2021-2-7 10:09
发火绒论坛，工程师帮您解决

作者: wondaol 时间: 2021-2-7 11:09
不是写入硬盘或U盘引导区的病毒，还没有听说有格式化无效的。

作者: wdtx 时间: 2021-2-16 22:17
本帖最后由 wdtx 于 2021-2-16 22:22 编辑

只用本坛网友分享的pe，那些商业化靠pe挣钱的网站坚决不能用，他们给你午餐里加点调料也说不定

作者: ananpr2000 时间: 2021-2-19 14:36
防不胜防

欢迎光临无忧启动论坛 (http://bbs.wuyou.net/)