昨天老婆機器中了一個流氓軟體，BoBoTurbo.exe，殺查方法

看了一下，網上介紹，說是logogo的變種。鬥了好幾個小時。

現在來分析一下原理及查殺方法。

BoBoTurbo.exe 經過分析，可以說不能算流氓軟體了應該說是病毒了。它總共產生大概以下一些檔案：

windows/system

BoBoTurbo.exe ，00006.exe,00020.exe,00021.exe,00023.exe,wd.exe,等等，可能很多，但是你們只要看日期最新產生的。

windows/system32

這個檔案夾有兩類檔案，一類並不是它自身的：

kvmxjis.exe FNTCACHE.DAT inudhya.dll rsmyhfg.dll rsmyhsp.exe avzxist.exe kaqhjaz.exe ratbltl.exe kaqhjcs.dll

avwlein.dll gdqqsgi32.dll等等這類不一定是它自身的，很可能是別的一些流氓軟體，它負責安裝。大家也是看時間。最新產生的。一般都是了

還有一類，就應該是它自聲的了：

kvmxjma.dll rsmyhpm.dll raqjepi.dll avzximn.dll kaqhjzy.dll ratblpi.dll 等等十幾個吧檔案名稱很多，我這裡就不列舉了，尋找的方法是在我的機器上它的產生時間修改時間在2004-8-5 2點左右。

在各個盤符下：

XP.exe和autorun.inf，exe的檔案名稱不一定

還有個一個什麼目錄忘記了

Wn_Sys8x.sys，好象還有一個檔案，自己搜尋一下了。

檔案名稱不列舉，因為檔案不是一個殺毒的好辦法，該病毒的作者肯定也考慮到了，我看了它的exe，它的檔案應該是一個數組裡取出，隨機產生（是不是隨機我不太清楚了）

下面是註冊表：

第一個啟動項HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run名稱logogo,

第二個啟動項HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/CurrentVersion/Windows
    <AppInit_DLLs><******.dll>

第三個啟動項（在一個desktop下都會啟動，這裡他基本上啟動在system32下的它那些dll）HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/ShellExecuteHooks

第四個啟動項（在這裡劫持一些殺毒軟體，清理工具）HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options

第五個啟動項HKEY_LOCAL_MACHINE/SYSTEM/ControlSet的所有項檢查/Control/Session Manager

下的PendingFileRenameOperations索引值

ControlSet這雷根據各個系統可能不同，反正你所有都檢查好了。

它有第六個啟動方式就是各個盤符下的XP.exe和autorun.inf，這個大家應該不陌生。

第7個啟動就是我認為他是一個病毒的根據了，就是感染了，修改exe檔案pe頭，程式的入口地址，把BoBoTurbo.exe寫到被感染檔案的末尾。這也是windows下dos病毒的慣用伎倆，讓程式先執行自己。

這個作者比較卑鄙。

下面說說清理吧

反正windows下刪除病毒，流氓軟體的步驟都類似

首先你先準備工具，一個是尋找進程內模組的工具（進程查看器，用類分析哪個進程有它的模組）

第二個註冊表工具，不用說了，刪除註冊表的。網上應該很多，我這裡有兩個自己寫，要的話可以留言。

啟動在安全模式下，首先是結束進程。利用工具尋找到所有載入了它的進程，一般一些應用性進程，因為我不是在安全模式下殺。所以我也不清楚安全模式下有哪些進程，一般explorer.exe BoBoTurbo.exe,這兩個總應該殺吧。

殺掉所有它的進程後，它就無所作為了（這個作者技術還沒到家，沒有任何一點保護的東西，呵呵）

下面就開始操作註冊表把，我上面說到的啟動項全部清理乾淨。包括XP.exe和autorun.inf，這個清理大家應該知道吧。然後刪除所有我上面提到的病毒檔案。

然後最後一個清理是比較麻煩的。你必須得藉助殺毒軟體，因為你總不可能去一個一個查被感染檔案吧。不要重新啟動，因為你不知道有多少，最好在斷網情況下做，有可能你的殺毒軟體也被感染也不一定，但是只有BoBoTurbo.exe它做不了什麼動作，BoBoTurbo.exe應該只是一個下載通道，還有就是註冊表加一些值，很容易刪除。這些些步驟做完就差不多了。

還有一個簡單的辦法就是重新裝系統，但是很多人說重新裝了還有，只好低格。呵呵沒必要。

重裝了系統後，你還得處理我上面說的最後兩步，XP.exe和autorun.inf，和感染檔案。所以裝上系統你馬上裝個殺毒的吧。