Symantec.com > 安全响应中心 > W32.HLLW.Lovgate Removal Tool

W32.HLLW.Lovgate Removal Tool

总结

已发现： 2004 年 7 月 9 日

更新： 2007 年 2 月 13 日 11:34:32 AM

类型： Removal Information

确认计算机是否被任何 W32.HLLW.Lovgate@mm 的变种感染。
找出并刪除所有包含蠕虫的文件。
由 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 注册键中找出并刪除所有下列值:
syshelp
WinGate initialize
Module Call initialize
刪除下列注册键：
HKEY_LOCAL_MACHINE\Software\KittyXP.sql\Install
HKEY_LOCAL_MACHINE\Software\KittyXP.sql
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\dll_reg
HKEY_CLASSES_ROOT\txtfile\shell\open\command

注意: 此蠕虫会覆盖所有注册键以前包含的用戶自定义值。如此一来，计算机在遭受感染后便无法将將这些键中的值恢复。
找出注册键:
HKEY_LOCAL_MACHINE\Software\classes\txtfile\shell\open\command

并将值:
winrpc.exe %1

改为:
notepad.exe %1
终止并刪除下列服务:
Window Remote Service
Microsoft NetWork Services FireWall
Windows Management Extension
在 Local Security Authority Service (lsass.exe) 下找出并终止正在执行的病毒线程 , 此线程是蠕虫感染系統时使用的 Windows 合法程序。
删除系统上蠕虫创建的所有文件。

此工具可用的命令行转换参数：

参数	描述
/HELP, /H, /?	显示帮助消息。
/SILENT, /S	启用静默模式
/LOG=<path name>	创建日志文件，其中 <path name> 是存储工具输出内容的位置。在默认情况下，该参数会在执行该杀毒工具的位置创建日志文件 FixLGate.log。

获得并运行此工具

注意： 必须具有管理权限才能在 Windows NT4/2000/XP 上运行此工具。

从以下位置下载 FixLGate.exe 文件：http://securityresponse.symantec.com/avcenter/FixLGate.exe
将该文件保存在便于使用的位置，如 download 文件夹或 Windows 桌面（如果可能，保存在确认未感染病毒的可移动介质中）。
要检查数字签名的可靠性，请参考“数字签名”部分。
在运行该工具前，请关闭所有程序。
双击 FixLGate.exe 文件启动此杀毒工具。
单击 Start 启动此进程，然后运行此工具。
重新启动计算机。
再次运行此杀毒工具以确保系统是干净的。
运行 LiveUpdate，确保您使用的病毒定义是最新的。

数字签名
FixLGate.exe 是经过数字签名的。 Symantec 建议您只使用从 Symantecs 安全响应中心网站直接下载的 FixLGate.exe 复本。要检查数字签名的可靠性，请执行下列操作：

转至 http://www.wmsoftware.com/free.htm。
将 Chktrust.exe 文件下载并保存到 FixLGate.exe 所在的文件夹（例如，C:\Downloads）。
根据您使用的操作系统，执行下列操作之一：
- 单击“开始”，指向“程序”，然后单击“MS-DOS 方式”。
- 单击“开始”，指向“程序”，再单击“附件”，然后单击“命令提示符”。
切换到存储 FixLGate.exe 与 Chktrust.exe 的文件夹，然后键入：
chktrust -i FixLGate.exe

例如，如果将该文件保存在 C:\Downloads 文件夹中，则应输入下列命令（键入每个命令后按 Enter 键）：
cd\
cd downloads
chktrust -i FixLGate.exe

如果数字签名有效，将显示下列内容：
Do you want to install and run "W32.HLLW.Lovgate Removal Tool" signed on 6/26/2003 6:05 PM and distributed by Symantec Corporation?

注意：
- 如果您的计算机没有设置为太平洋时区，则显示在此对话框中的日期和时间将根据您所在的时区进行调整。
- 如果使用夏令时，则显示的时间要比实际时间早一个小时。
- 如果未出现此对话框，可能存在两个原因：
  - 此工具不是由 Symantec 提供的。除非确定此工具是从合法 Symantec 网站下载的合法工具，否则不要运行它。
  - 此工具是由 Symantec 提供的合法工具。但是，您的操作系统以前被设置为始终信任来自 Symantec 的内容。有关此问题以及如何再次查看确认对话框的信息，请参阅文档：如何还原“生产商可靠性”确认对话框。
单击 Yes 关闭对话框。
键入 exit，然后按 Enter 键。（此操作将关闭 MS-DOS 会话框。）

从软盘运行此工具

将包含 FixLGate.exe 文件的软盘插入软盘驱动器。
单击“开始”，然后单击“运行”。
键入下列命令：
a:\FixLiGate.exe

然后单击“确定”。
注意： a:\FixLGate.exe 中没有空格。
单击 Start 启动此进程，然后运行此工具。
如果使用的是 Windows Me，重新启用系统还原。

重要待办事宜

搜索威胁

按名称搜索

_{例如： W32.Beagle.AG@mm}