破坏services.exe的木马下载器 分析

五一小长假期间，部分电脑用户发现使用多个杀毒软件清除病毒之后，在重启电脑时出错，提示信息为：
“services.exe”运行错，“电脑无法连接到httpaddurl和 cdfview.dll或cards.dll”等类似信息，出错时提示的DLL文件各不相同，对应该病毒的多个不同变种。

爱毒霸社区在5月2日发现个别网友报告这种现象，该病毒的出现引起社区众多反病毒爱好者的一致关注。但可惜的是，很多报告发现这个现象的网友，此时的故障电脑基本无法正常上网，有的说开机大约需要10分钟甚至更长时间。

随着时间的拖延，我们发现描述这个现象的网民也越来越多，金山反病毒中心目前捕获了部分变种。已经更新了清理专家的恶意软件特征库和毒霸的病毒库。在更新后的电脑上扫描时会有如下发现：



当遇到此问题时，需要从正常的系统中恢复services.exe，才能解决。
方法1：可以是从正常电脑的c:\windows\system32\services.exe（这里假定系统安装在c:\windows目录）下COPY，然后用U盘COPY到故障电脑（故障电脑可能出现无法登录，可尝试调用任务管理器，利用任务管理器的浏览功能，访问U盘上正常的services.exe，复制后再粘贴到故障电脑的c:\windows\system32目下。

方法2：利用故障恢复控制台引导，再使用expand命令还原services.exe，（以下文字摘自爱毒霸论坛会员
EasunLuyang的发贴原文）

用 XP 安装盘启动，引导到修复状态，
运行

关于如何用 XP 安装盘启动，进入故障恢复控制台修复模式，可以看 图文并茂 的 连接（记住本次需要恢复的文件为services.exe）： http://bbs.duba.net/viewthread.php?tid=21868699 中的图片。

如果上述方法无效，则极可能你遇到的是其它变种，建议你立即联系金山客服中心或者登录爱毒霸社区，请求更多网友协助，通过社区帮助更多网友解决问题。

www.newjian.com