"AV终结者"是怎么回事?
作者&投稿：茶泥 （联系方式在网页底部的电邮联系）
什么是AV终结者~
“A V终结者”病DU发作症状
1.生成很多8位数字或字母随机命名的病DU程序文件，并在电脑开机时自动运行。
2.绑架安全软件，中DU后会发现几乎所有杀DU软件，系统管理工具，反间谍软件不能正常启动。
3.不能正常显示隐藏文件，其目的是更好地隐藏自身不被发现。
4.禁用windows自动更新和Windows防火墙，这样木马下载器工作时，就不会有任何提示窗口弹出来。
5.破坏系统安全模式，使得用户不能启动系统到安全模式来维护和修复。
6.当前活动窗口中有杀DU、安全、社区相关的关键字时，病DU会关闭这些窗口。假如你想通过浏览器搜索有关病DU的关键字，浏览器窗口会自动关闭。
7.在本地硬盘、U盘或移动硬盘生成autorun.inf和相应的病DU程序文件，通过自动播放功能进行传播。很多用户格式化系统分区后重装，访问其他磁盘，立即再次中DU。
8.最终目的是下载更多木马、后门程序。用户最后受损失的情况正是取决于此。
■传播方式及解决办法：
1.通过U盘、移动硬盘的自动播放功能传播。
2.A V终结者最初的来源是通过大量劫持网络会话，利用网站漏洞下载传播。和前一段时间ARP攻击的病DU泛滥有关。
你中的这个病DU是“A V终结者”，也就是帕虫病DU，或者8位随机数字字母病DU
“A V终结者”中DU后5步解决方案-以及最新4.2版本专杀工具下载[屏蔽DU字]http://hi.baidu.com/qwwwl/blog/item/2c55a8eff3c93234adafd5df.html
■防范措施
对于病DU而言，良好的防范措施，好过中DU之后再绞尽脑汁去寻找查杀方法，而且一旦感染该病DU，清除过程相当复杂，因此，在采访中，金山、江民、瑞星等几家公司的反病DU专家们向记者提供了针对该病DU防范措施：
1.保管好自己的U盘，MP3、移动硬盘等移动储存的使用，当外来U盘接入电脑时，请先不要急于双击打开，一定要先经过杀DU处理，建议采用具有U盘病DU免疫功能的杀DU软件，如KV2007独有的U盘盾技术，可以免疫所有U盘病DU通过双击U盘时运行。
2. 给系统打好补丁程序，尤其是MS06-014和MS07-17这两个补丁，目前绝大部分的网页木马都是通过这两个漏洞入侵到计算机里面的。
3. 即时更新杀DU软件病DU库，做到定时升级，定时杀DU。
4.安装软件要到正规网站下载，避免软件安装包被捆绑进木马病DU。
5.关闭windows的自动播放功能。
AV终结者：Anti Virus killer(杀毒软件终结者)这是一类病毒，并不是某一个具体的病毒，江民称之为“U盘寄生虫”、金山称之为“AV终结者”、瑞星称之为“帕虫”。
名词解释:
1、AV终结者：Anti Virus killer(杀毒软件终结者)
这是一类病毒，并不是某一个具体的病毒，江民称之为“U盘寄生虫”、金山称之为“AV终结者”、瑞星称之为“帕虫”。
2、映像劫持：Image File Execution Options(IFEO)
位于注册表的 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 由于这个项主要是用来调试程序用的，对一般用户意义不大。默认是只有管理员和local
病毒解析
详尽分析：AV终结者采用重定向劫持技术
该病毒利用了IFEO重定向劫持技术，使大量的杀毒软件和安全相关工具无法运行；会破坏安全模式，使中毒用户无法在安全模式下查杀病毒；会下载大量病毒到用户计算机来盗取用户有价值的信息和某些帐号；能通过可移动存储介质传播。
安全基础知识：认识病毒的映象劫持技术通俗一点来说，就是比如我想运行QQ.exe，结果运行的却是FlashGet.exe，也就是说在这种情况下，QQ程序被FLASHGET给劫持了，即你想运行的程序被另外一个程序代替了。虽然映像劫持是系统自带的功能，对我们一般用户来说根本没什么用的必要，但是就有一些病毒通过映像劫持来做文章，表面上看起来是运行了一个程序，实际上病毒已经在后台运行了。
病毒本源
“AV终结者”病毒呈企业化运作 疑是人为纵毒
经过对近段时间“AV终结者”病毒传播特点以及危害程度的分析，金山毒霸反病毒专家戴光剑推测，在“AV终结者”病毒的背后极有可能隐藏着一个巨大的集团化运做链条，而链条的第一步就是人为纵毒。
追本溯源揭秘“AV终结者”病毒的生态链
我在思考另一个问题——“AV终结者”病毒，是否和“熊猫烧香”一样，是盗号集团的杰作？？首先来看一下“AV终结者”病毒程序本身设计的传播功能——程序自身仅能通过U盘或移动硬盘传播。一个具备如此简单传播方式的病毒，如何能引起这样大规模的传播呢？仅仅靠病毒程序的自然衍生，显然不能做到这一点。那么，这个病毒极可能是人为操纵的结果。
专家称“AV终结者”破坏过程被精心策划
近日，被称为“安全杀手”的AV终结者病毒愈演愈烈，截止到6月12日，变种数已达500多个，波及人群超过10万人。金山毒霸反病毒专家戴光剑指出，“AV终结者”病毒的破坏过程被精心策划，用户一旦感染，几乎所有的解决途径均遭破坏，很难清除。
病毒散播
“AV终结者”大量破坏杀毒软件与防火墙
AV终结者是一个有相当破坏力和危害力的病毒，它能破坏大量的杀毒软件和个人防火墙的正常监控和保护功能，导致用户电脑的安全性能下降，容易受到病毒的侵袭。
“AV终结者”融合最流行病毒技术于一身
“AV终结者”新变种，集合目前最流行的病毒技术于一身，它能破坏大量的杀毒软件和个人防火墙的正常监控和保护功能，造成电脑无法进入安全模式，反病毒网站无法打开。普通用户一旦感染该病毒，格式化系统盘后病毒仍无法清除。
病毒清除
专家谈手工查杀AV终结者病毒详解
“AV终结者”病毒泛滥成灾，身边不断有朋友的电脑倒在“AV终结者”的刀下。但是，我们现在面对的敌人不再是散兵游勇，而是一群分工合作的病毒生产、传播、盗号工作室，其从业人数可能比杀毒软件公司更多。
手动清除那些利用了映像劫持技术的病毒
一媒体朋友的笔记本染毒，杀毒软件起不来。开机就弹出若干个窗口，总也关不掉，直到系统内存耗尽死机，安全模式也是同样的现象。无奈之下，尝试重装系统，不过，因为不少人都知道的原因，她只是格式化了C分区，系统重装后，访问其它分区后，再次出现重装前的中毒症状。
PS:病毒能够利用映象劫持，我们为什么就不可以反其道而行之，同样利用映象劫持干掉病毒呢！如果我们把病毒程序给重定向了，是不是病毒就不能运行了，答案是肯定的！下面就自己试着玩吧！
==================================================
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File
Execution Options\sppoolsv.exe]
"Debugger"="123.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File
Execution Options\logo_1.exe]
"Debugger"="123.exe"
==================================================
上面的代码是以金猪报喜病毒和威金病毒为例，这样即使这些病毒在系统启动项里面，即使随系统运行了，但是由于映象劫持的重定向作用，还是会被系统提示无法找到病毒文件（这里是logo_1.exe和sppoolsv.exe）。
当然你也可以把病毒程序重定向到你要启动的程序中去，如果你想让QQ开机自启动，你可以把上面的123.exe改为你QQ的安装路径即可，但前提是这些病毒必须能随系统的启动而启动。
近日，被称为“安全杀手”的“AV终结者”愈演愈烈，截止6月12日，变种数已达500多个，波及人群超过10万人。金山毒霸反病毒专家戴光剑指出“AV终结者”的破坏过程被精心策划，用户一旦感染，几乎所有的解决途径均遭破坏，很难清除。
破坏杀毒软件，电脑无安全，相当于得了“艾滋病”
无法进入安全模式
有关杀毒的页面，一进入就关闭
最近“AV”被控制住啦^_^
相关视频
一个流行病毒,可以使用金山专杀清除
AV终结者指的是一批具备以下破坏性的病毒、木马和蠕虫。
“A V终结者”，也就是帕虫病DU，或者8位随机数字字母病DU，这种病毒重装系统也没有用。“A V终结者”病DU发作症状
1.生成很多8位数字或字母随机命名的病DU程序文件，并在电脑开机时自动运行。
2.绑架安全软件，中DU后会发现几乎所有杀DU软件，系统管理工具，反间谍软件不能正常启动。
3.不能正常显示隐藏文件，其目的是更好地隐藏自身不被发现。
4.禁用windows自动更新和Windows防火墙，这样木马下载器工作时，就不会有任何提示窗口弹出来。
5.破坏系统安全模式，使得用户不能启动系统到安全模式来维护和修复。
6.当前活动窗口中有杀DU、安全、社区相关的关键字时，病DU会关闭这些窗口。假如你想通过浏览器搜索有关病DU的关键字，浏览器窗口会自动关闭。
7.在本地硬盘、U盘或移动硬盘生成autorun.inf和相应的病DU程序文件，通过自动播放功能进行传播。很多用户格式化系统分区后重装，访问其他磁盘，立即再次中DU。
8.最终目的是下载更多木马、后门程序。用户最后受损失的情况正是取决于此。
■传播方式及解决办法：
1.通过U盘、移动硬盘的自动播放功能传播。
2.A V终结者最初的来源是通过大量劫持网络会话，利用网站漏洞下载传播。和前一段时间ARP攻击的病DU泛滥有关。
你中的这个病DU是“A V终结者”，也就是帕虫病DU，或者8位随机数字字母病DU
“A V终结者”中DU后5步解决方案-以及最新4.2版本专杀工具下载[屏蔽DU字]http://hi.baidu.com/qwwwl/blog/item/2c55a8eff3c93234adafd5df.html
■防范措施
对于病DU而言，良好的防范措施，好过中DU之后再绞尽脑汁去寻找查杀方法，而且一旦感染该病DU，清除过程相当复杂，因此，在采访中，金山、江民、瑞星等几家公司的反病DU专家们向记者提供了针对该病DU防范措施：
1.保管好自己的U盘，MP3、移动硬盘等移动储存的使用，当外来U盘接入电脑时，请先不要急于双击打开，一定要先经过杀DU处理，建议采用具有U盘病DU免疫功能的杀DU软件，如KV2007独有的U盘盾技术，可以免疫所有U盘病DU通过双击U盘时运行。
2. 给系统打好补丁程序，尤其是MS06-014和MS07-17这两个补丁，目前绝大部分的网页木马都是通过这两个漏洞入侵到计算机里面的。
3. 即时更新杀DU软件病DU库，做到定时升级，定时杀DU。
4.安装软件要到正规网站下载，避免软件安装包被捆绑进木马病DU。
5.关闭windows的自动播放功能。
AV终结者：Anti Virus killer(杀毒软件终结者)这是一类病毒，并不是某一个具体的病毒，江民称之为“U盘寄生虫”、金山称之为“AV终结者”、瑞星称之为“帕虫”。
名词解释:
1、AV终结者：Anti Virus killer(杀毒软件终结者)
这是一类病毒，并不是某一个具体的病毒，江民称之为“U盘寄生虫”、金山称之为“AV终结者”、瑞星称之为“帕虫”。
2、映像劫持：Image File Execution Options(IFEO)
位于注册表的 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 由于这个项主要是用来调试程序用的，对一般用户意义不大。默认是只有管理员和local
病毒解析
详尽分析：AV终结者采用重定向劫持技术
该病毒利用了IFEO重定向劫持技术，使大量的杀毒软件和安全相关工具无法运行；会破坏安全模式，使中毒用户无法在安全模式下查杀病毒；会下载大量病毒到用户计算机来盗取用户有价值的信息和某些帐号；能通过可移动存储介质传播。
安全基础知识：认识病毒的映象劫持技术通俗一点来说，就是比如我想运行QQ.exe，结果运行的却是FlashGet.exe，也就是说在这种情况下，QQ程序被FLASHGET给劫持了，即你想运行的程序被另外一个程序代替了。虽然映像劫持是系统自带的功能，对我们一般用户来说根本没什么用的必要，但是就有一些病毒通过映像劫持来做文章，表面上看起来是运行了一个程序，实际上病毒已经在后台运行了。
病毒本源
“AV终结者”病毒呈企业化运作 疑是人为纵毒
经过对近段时间“AV终结者”病毒传播特点以及危害程度的分析，金山毒霸反病毒专家戴光剑推测，在“AV终结者”病毒的背后极有可能隐藏着一个巨大的集团化运做链条，而链条的第一步就是人为纵毒。
追本溯源揭秘“AV终结者”病毒的生态链
我在思考另一个问题——“AV终结者”病毒，是否和“熊猫烧香”一样，是盗号集团的杰作？？首先来看一下“AV终结者”病毒程序本身设计的传播功能——程序自身仅能通过U盘或移动硬盘传播。一个具备如此简单传播方式的病毒，如何能引起这样大规模的传播呢？仅仅靠病毒程序的自然衍生，显然不能做到这一点。那么，这个病毒极可能是人为操纵的结果。
专家称“AV终结者”破坏过程被精心策划
近日，被称为“安全杀手”的AV终结者病毒愈演愈烈，截止到6月12日，变种数已达500多个，波及人群超过10万人。金山毒霸反病毒专家戴光剑指出，“AV终结者”病毒的破坏过程被精心策划，用户一旦感染，几乎所有的解决途径均遭破坏，很难清除。
病毒散播
“AV终结者”大量破坏杀毒软件与防火墙
AV终结者是一个有相当破坏力和危害力的病毒，它能破坏大量的杀毒软件和个人防火墙的正常监控和保护功能，导致用户电脑的安全性能下降，容易受到病毒的侵袭。
“AV终结者”融合最流行病毒技术于一身
“AV终结者”新变种，集合目前最流行的病毒技术于一身，它能破坏大量的杀毒软件和个人防火墙的正常监控和保护功能，造成电脑无法进入安全模式，反病毒网站无法打开。普通用户一旦感染该病毒，格式化系统盘后病毒仍无法清除。
病毒清除
专家谈手工查杀AV终结者病毒详解
“AV终结者”病毒泛滥成灾，身边不断有朋友的电脑倒在“AV终结者”的刀下。但是，我们现在面对的敌人不再是散兵游勇，而是一群分工合作的病毒生产、传播、盗号工作室，其从业人数可能比杀毒软件公司更多。
手动清除那些利用了映像劫持技术的病毒
一媒体朋友的笔记本染毒，杀毒软件起不来。开机就弹出若干个窗口，总也关不掉，直到系统内存耗尽死机，安全模式也是同样的现象。无奈之下，尝试重装系统，不过，因为不少人都知道的原因，她只是格式化了C分区，系统重装后，访问其它分区后，再次出现重装前的中毒症状。
PS:病毒能够利用映象劫持，我们为什么就不可以反其道而行之，同样利用映象劫持干掉病毒呢！如果我们把病毒程序给重定向了，是不是病毒就不能运行了，答案是肯定的！下面就自己试着玩吧！
==================================================
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File
Execution Options\sppoolsv.exe]
"Debugger"="123.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File
Execution Options\logo_1.exe]
"Debugger"="123.exe"
==================================================
上面的代码是以金猪报喜病毒和威金病毒为例，这样即使这些病毒在系统启动项里面，即使随系统运行了，但是由于映象劫持的重定向作用，还是会被系统提示无法找到病毒文件（这里是logo_1.exe和sppoolsv.exe）。
当然你也可以把病毒程序重定向到你要启动的程序中去，如果你想让QQ开机自启动，你可以把上面的123.exe改为你QQ的安装路径即可，但前提是这些病毒必须能随系统的启动而启动。
近日，被称为“安全杀手”的“AV终结者”愈演愈烈，截止6月12日，变种数已达500多个，波及人群超过10万人。金山毒霸反病毒专家戴光剑指出“AV终结者”的破坏过程被精心策划，用户一旦感染，几乎所有的解决途径均遭破坏，很难清除。
破坏杀毒软件，电脑无安全，相当于得了“艾滋病”
无法进入安全模式
有关杀毒的页面，一进入就关闭
最近“AV”被控制住啦^_^
相关视频
