1. Symantec/
  2. 安全响应中心/
  3. Trojan.Ramvicrype Removal Tool
  4. Trojan.Ramvicrype Removal Tool

Trojan.Ramvicrype Removal Tool

已发现:
2009 年 10 月 29 日
更新:
2010 年 1 月 7 日 12:18:43 PM
类型:
Removal Information
此工具专为杀除 Trojan.Ramvicrype 感染而设计。

重要信息:
  • 如果您连接在网络上或在使用固定的 Internet 连接,如 DSL 或电缆调制解调器,请断开计算机与网络和 Internet 之间的连接。在计算机与网络或 Internet 重新连接之前,请禁用或用密码保护文件共享,或将共享文件设为“只读”。因为此蠕虫是通过网络计算机上的共享文件夹进行传播的,为确保此蠕虫被杀除后不会再次感染计算机,Symantec 建议用“只读”访问权限或密码保护进行文件共享。

    有关如何执行此操作的指导,请参阅 Windows 文档,或此文档:如何配置共享 Windows 文件夹以尽可能地保护网络

  • 如果要从网络中杀除感染,首先请确保已将所有共享文件都禁用或设为“只读”。
  • 此工具不能在 Novell NetWare 服务器上运行。要从 NetWare 服务器上杀除此威胁,首先请确保拥有最新的病毒定义,然后使用 Symantec 防病毒产品运行完整的系统扫描。

如何下载并运行此工具

重要信息: 在 Windows NT 4.0、Windows 2000 或 Windows XP 上,必须具有管理员权限才能运行此工具。

网络管理员请注意:如果正在运行 MS Exchange 2000 Server,建议您从命令行使用 Exclude 转换参数运行此工具,从而排除对 M 驱动器的扫描。 有关更多信息,请参阅 Microsoft 知识库文章: XADM: 不要备份或扫描 M 驱动器上的 Exchange 2000(文章 298924)。

按照下列步骤下载并运行此工具:
  1. 从以下位置下载 FixRamvicrype.exe 文件:http://www.symantec.com/content/en/us/global/removal_tool/threat_writeups/FixRamvicrype.exe.
  2. 将此文件保存到方便的位置,如 Windows 桌面。
  3. 可选:要检查数字签名的可靠性,请参阅本文后面的“数字签名”部分。

    注意:如果可以确定此工具是从安全响应中心网站下载的,则可以跳过此步骤。 如果无法确定,或网络管理员需要在部署之前验证文件,请在执行步骤 4 之前按照“数字签名”部分中的步骤执行操作。

  4. 关闭所有正在运行的程序。
  5. 如果您在网络上或使用固定的 Internet 连接,请断开计算机与网络和 Internet 之间的连接。
  6. 如果运行的是 Windows Me 或 XP,请关闭系统还原功能。 有关如何关闭系统还原功能的说明,请参阅 Windows 文档或下列文章之一:

    如何禁用或启用 Windows Me 系统还原

    如何禁用或启用 Windows XP 系统还原

  7. 找到刚刚下载的文件。
  8. 双击 FixRamvicrype.exe 文件启动此杀毒工具。
  9. 单击“开始”启动此进程,然后运行此工具。

    注意: 如果运行该工具时遇到任何问题,或者没有显示删除了该威胁,以安全模式重新启动计算机,然后重新运行该工具。

  10. 重新启动电脑。
  11. 再次运行此删除工具以确保系统是干净的。
  12. 如果运行的是 Windows Me/XP,请重新启用系统还原功能。
  13. 如果您连接在网络上或在使用固定的 Internet 连接,请将计算机与网络或 Internet 重新连接。
  14. 运行 LiveUpdate 以确保您使用的病毒定义是最新的。

此工具运行完毕后,将会出现一条消息,表明计算机是否受到该病毒的感染。此工具将显示与如下所示类似的结果:
  • 已扫描的文件总数
  • 已删除的文件数
  • 已修复的文件数
  • 已终止的病毒进程数
  • 已修复的注册表项数
工具的功能
杀毒工具有下列功能:
  • 结束相关进程
  • 删除相关文件
  • 删除该威胁添加的注册表值
转换参数
下列转换参数专供网络管理员使用:
/HELP, /H, /?
显示帮助消息。
/NOFIXREG
禁用注册表修复功能(建议不使用此转换参数)。
/SILENT、/S
启用静默模式。
/LOG=[PATH NAME]
创建日志文件,其中 [PATH NAME] 是存储工具输出文件的位置。 默认情况下,此转换参数会在执行该杀毒工具的文件夹中创建日志文件 FixRamvicrype.log。
/MAPPED
扫描已映射的网络驱动器。(建议不使用此转换参数。请参阅下面的注释)。
/START
强制此工具立即启动扫描。
/EXCLUDE=[PATH]
不扫描指定的 。(建议不使用此转换参数。请参阅下面的注释)。
/NOCANCEL
禁用该杀毒工具的取消功能。
/NOFILESCAN
防止扫描文件系统。
/NOVULNCHECK
禁用对未安装修补程序的文件的检查。

重要信息:使用 /MAPPED 转换参数并不保证彻底杀除远程计算机上的病毒,原因是:
    扫描映射驱动器时仅扫描已映射的文件夹。
  • 可能不包括远程计算机上的所有文件夹,这样就可能会遗漏应该能检测到的病毒。
  • 如果在映射驱动器上检测到病毒文件,而远程计算机上的某个程序正在使用该文件,则无法进行杀毒。
基于以上原因,您应该分别在每台计算机上运行此工具。

/EXCLUDE 转换参数只能处理一个路径,而不能处理多个路径。 除此方法之外,还可以使用 /NOFILESCAN 转换参数,然后使用 AntiVirus 进行手动扫描。 这将使得此工具修改注册表。 然后,通过 AntiVirus 使用最新的病毒定义对计算机进行扫描。 执行这些操作,应该能够清理文件系统。

以下是一个示例命令行,可以用来排除单个驱动器:

"C:\Documents and Settings\user1\Desktop\FixRamvicrype.exe" /EXCLUDE=M:\ /LOG=c:\FixRamvicrype.txt

或者,下面的命令行将跳过文件系统扫描,但将修复对注册表所做的修改。然后,应使用正确的排除项运行常规系统扫描:

"C:\Documents and Settings\user1\Desktop\FixRamvicrype.exe" /NOFILESCAN /LOG=c:\FixRamvicrype.txt

注意:可以赋予此日志文件任何名称,并可将其保存到任何位置。

数字签名
出于安全考虑,此杀毒工具采用数字签名。Symantec 建议您只使用从 Symantec 安全响应中心网站直接下载的删除工具副本。

如果不能确定,或者网络管理员需要在部署前验证文件,则需要检查数字签名的可靠性。

请执行下列操作:
  1. 转至 http://www.wmsoftware.com/free.htm
  2. 将 Chktrust.exe 文件下载并保存到此删除工具所在的文件夹。

    注意:大多数下列步骤都是在命令提示符下执行的。 如果将删除工具下载到 Windows 桌面,则较简便的方法是先将此工具移至 C 驱动器的根目录下。 然后将 Chktrust.exe 文件也保存到 C 驱动器的根目录下。

    (步骤 3 假设删除工具和 Chktrust.exe 都位于 C 驱动器的根目录下。)

  3. 单击“开始”>“运行”。
  4. 键入下列一项:

    Windows 95/98/Me:
    command

    Windows NT/2000/XP:
    cmd

  5. 单击“确定”。
  6. 在命令窗口中,键入以下内容,每键入一行后按 Enter 键:

    cd\
    cd downloads
    chktrust -i FixRamvicrype.exe

  7. 根据您所用的操作系统,会出现以下消息之一:

    Windows XP SP2:
    将出现“信任验证实用程序”窗口。

    请在“生产商”下面,单击 Symantec Corporation 链接。 随即出现数字签名详细信息。
    验证下列字段中的内容,以确保此工具可靠:

    名称: Symantec Corporation(赛门铁克公司)
    签名时间: 10/29/2009 11:43:42 AM

    所有其他操作系统:
    您会看到下列消息:

    是否确定要安装和运行由赛门铁克公司于 2009 年 10 月 29 日上午 11 时 43 分 42 秒签名并发布的 “FixRamvicrype.exe”?

    注意:
    以上数字签名中的日期和时间是太平洋时间。 会按照您的计算机所在时区和地区选项设置对它们进行调整。

    如果使用的是夏令时,显示的时间要早整整一个小时。

    如果没有出现此对话框,可能有两个原因:
    此工具不是来自 Symantec:除非确定此工具是合法的,而且是从合法的 Symantec 网站下载的,否则不应该运行它。


    此工具是由 Symantec 提供的合法工具:但是,您的操作系统以前被设置为始终信任来自 Symantec 的内容。 有关此问题以及如何再次查看确认对话框的信息,请参阅文档:如何还原“生产商可靠性”确认对话框(英文)。

  8. 单击“是”或“运行”关闭对话框。
  9. 键入 exit,然后按 Enter 键。(此操作将关闭 MS-DOS 会话。)
总结
互联网安全威胁报告
  • Weibo
  • WeChat
  • LinkedIn
  • Youku