已发现： 2004 年 6 月 2 日
更新： 2007 年 2 月 13 日 11:35:41 AM
类型： Removal Information
赛门铁克安全响应中心开发了一种杀毒工具，可用来清除以下感染。
此工具的功能
W32.Korgo 杀毒工具具有下列功能：
- 终止 W32.Korgo 病毒进程。
- 删除 W32.Korgo 文件。
- 删除蠕虫加入的注册键值。
获得并运行此工具
注意：在 Windows NT 4.0、Windows 2000 或 Windows XP 上，需要具有管理权限才能运行此工具。
警告：适用于网络管理员。如果正在运行 MS Exchange 2000 Server，建议您从命令行使用 Exclude 转换参数运行该工具，从而排除对 M 驱动器的扫描。不管是否进行此操作，在运行该工具之前都需要备份 M 驱动器上的所有数据。更多信息，请阅读 Microsoft 知识库文章 "XADM：不要备份或扫描 Exchange 2000 驱动器 M" (文章ID 298924)。
- 从以下位置下载 FixKorgo.exe 文件：http://securityresponse.symantec.com/avcenter/FixKorgo.exe
- 将该文件保存到方便的位置，如您的下载文件夹或 Windows 桌面（如果可能，保存到确认未感染病毒的可移动介质中）。
- 要检查数字签名的可靠性，请参考“数字签名”部分。
- 关闭所有正在运行的程序。
- 断开与网络的连接。
- 如果运行的是 Windows Me 或 XP，请禁用系统还原功能。有关其他详细信息，请参考“Windows Me/XP 中的系统还原选项”部分。
注意：如果运行的是 Windows Me/XP，强烈建议不要跳过此步骤。
- 根据您使用的操作系统，执行下列操作之一：
- Windows NT/2000/XP : 跳到步骤8。
- Windows 95/98/Me : 将计算机重启到安全模式。更多信息请参阅文档 如何以安全模式启动计算机 。
- 双击 FixKorgo.exe 文件以启动杀毒工具。
- 单击 Start 启动此进程，然后运行此工具。
- 重新启动计算机。
- 再次运行此杀毒工具以确保系统是干净的。
- 如果运行的是 Windows Me/XP，请重新启用系统还原功能。
- 运行 LiveUpdate，确保您使用的病毒定义是最新的。
此工具运行完毕后，将会出现一条消息，表明计算机是否受到 W32.Korgo 的感染。删除蠕虫后，程序将显示下列结果：
- 已扫描的文件总数。
- 已删除的文件数。
- 已修订的文件数。
- 已终止的病毒进程数。
- 修订的注册表键数。
此工具可用的命令行转换参数
Switch |
Description |
/HELP, /H, /? |
显示帮助消息。 |
/NOFIXREG |
禁用注册表修复。（建议不使用此转换参数。） |
/SILENT, /S |
启用静默模式。 |
/LOG=<path name> |
创建日志文件，其中 <path name> 是存储该工具输出内容的位置。默认情况下，此转换参数会在执行该杀毒工具的文件夹内创建日志文件 FixKorgo.log。 |
/MAPPED |
扫描映射的网络驱动器。（建议不使用此转换参数。请参考以下注意事项。） |
/START |
强制此工具立即开始扫描。 |
/EXCLUDE=<path> |
不扫描指定的 <path>。（建议不使用此转换参数。） |
/NOFILESCAN |
不掃描文件系統。 |
注意：使用 /MAPPED 转换参数不能保证完全杀除远程计算机上的病毒，原因如下：
- 扫描映射驱动器时扫描的只是映射的文件夹。此操作可能不包括远程计算机上的所有文件夹，造成检测遗漏。
- 如果在映射驱动器上检测到病毒文件，而远程计算机上的某个程序正在使用该文件，则无法进行杀毒。
基于以上原因，请分别在每台计算机上运行此工具。
/EXCLUDE 转换参数只能处理一个路径，而不能处理多个路径。除此方法之外，还可以使用 /NOFILESCAN 转换参数，然后使用 AntiVirus 进行手动扫描。这将使得该工具修改注册表。然后，通过 AntiVirus 使用最新的病毒定义对计算机进行扫描。执行这些操作应该能够清理文件系统。
以下是一个示例命令行，可以用来排除单个驱动器：
>"C:\Documents and Settings\user1\Desktop\FixKorgo.exe" /EXCLUDE=M:\ /LOG=c:\FixKorgo.txt
或者，下面的命令行将跳过文件系统扫描，但将修复对注册表所做的修改。然后，应使用正确的排除项运行常规系统扫描：
>"C:\Documents and Settings\user1\Desktop\FixKorgo.exe" /NOSCANFILE /LOG=c:\FixKorgo.txt
注意：
- 大于号 (>) 不是路径的一部分。
- 日志文件的名称可以是您选择的任何名称。此处所列的名称仅用于此示例。
数字签名
FixKorgo.exe 是经过数字签名的。Symantec 建议您只使用从 Symantec 安全响应中心网站直接下载的 FixKorgo.exe 副本。要检查数字签名的可靠性，请执行下列操作：
- 转至 http://www.wmsoftware.com/free.htm。
- 将 Chktrust.exe 文件下载并保存到 FixKorgo.exe 所在的文件夹（例如，C:\Downloads）中。
- 根据您使用的操作系统，执行下列操作之一：
- 单击“开始”，指向“程序”，然后单击“MS-DOS 方式”。
- 单击“开始”，指向“程序”，再单击“附件”，然后单击“命令提示符”。
- 切换到存储 FixKorgo.exe 与 Chktrust.exe 的文件夹，然后键入：
chktrust -i FixKorgo.exe
例如，如果将文件保存在 C:\Downloads 文件夹，则应输入下列命令：
cd\
cd downloads
chktrust -i FixKorgo.exe
键入每个命令后按 Enter 键。如果数字签名有效，将显示下列内容：
"Do you want to install and run "FixKorgo.exe" signed on 6/5/2004 11:03 AM and distributed by Symantec Corporation?"
注意
- 如果您的计算机没有设置为太平洋时区，则显示在此对话框中的日期和时间将根据您所在的时区进行调整。
- 如果使用的是夏令时，则显示的时间要早整整一个小时。
- 如果未出现此对话框，可能存在两个原因：
- 此工具不是由 Symantec 提供的。除非确定此工具是从合法 Symantec 网站下载的合法工具，否则不要运行它。
- 此工具是来自 Symantec 的合法工具，但您曾经将操作系统设置为始终信任来自 Symantec 的内容。有关此问题以及如何再次查看确认对话框的信息，请参阅文档：如何还原“生产商可靠性”确认对话框。
- 单击 Yes 关闭对话框。
- 键入 Exit，然后按 Enter 键。此操作将关闭 MS-DOS 会话。
Windows Me/XP 中的系统还原选项
Windows Me 和 Windows XP 用户应当暂时关闭系统还原功能。此功能默认情况下是启用的，一旦计算机中的文件被破坏，Windows 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机，则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。
Windows 禁止包括防病毒程序在内的外部程序修改系统还原。因此，防病毒程序或工具无法删除 System Restore 文件夹中的威胁。这样，系统还原就可能将受感染文件还原到计算机上，即使您已经清除了所有其他位置的受感染文件。
同样，在某些情况下，联机扫描程序也可能在 System Restore 文件夹中检测到威胁，即使您已经使用防病毒程序扫描过计算机，并且未发现任何受感染文件。
有关如何关闭系统还原功能的指导，请参阅 Windows 文档或下列文章之一：
有关详细信息以及禁用 Windows Me 系统还原的其他方法，请参阅 Microsoft 知识库文章：病毒防护工具无法清除 _Restore 文件夹中受感染的文件，文章 ID：CH263455。
