中了小众病毒了怎么办（怎么手动查杀）？

[lalalakakaka]

裸奔多年的电脑（只开MSE）终于中毒了
win8.1 x64位
特征是：不能使用explorer打开zip文件，一打开就会自动重启explorer.exe
同样，控制面板里的：程序和功能、电源选项、个性化、分辨率、系统等和电脑设置相关的功能都打不开，症状类似，都是闪一下后explorer被重启。
使用命令行工具检查系统文件损坏，没有效果。
重启进入安全模式，没有效果。
基本确定是中毒了。
然后下载了360杀毒/卡巴斯基都没有作用。

[tux]

重装还要快一些

[paradoxs]

360系统急救箱右边那一列全部选项都走一遍。

然后勾起全盘+强力，开始扫描。

还是不行就重装吧。

[kiritoalex]

xuetr或者powertool或者PChunter选其一.运行时会自动检查是否被Rootkit修改MBR.有则恢复之看一下进程，看有无可疑的未签名程序，如果没有就按A-Z的顺序排一下系统进程，依次检查threads.然后切换到驱动模块，检查有无可疑驱动，再检查SSDT，ShadowSSDT，看有无可疑挂钩，全盘遍历根目录，看有无autorun.inf.若有，参考Autorun病毒手动清除指南清除，若没有，下载一个rescue版的各大杀毒软件（卡巴，NOD32，推荐大蜘蛛，小红伞（不知道现在还有木有应急光盘了））在PE下扫描，全程请务必断网

[kiritoalex]

另外请务必检查IEFO是否被hijack掉

[lalalakakaka]

@kiritoalex 正在学着用pchunter
我能不能用这个工具监视程序行为？我想排查出来到底是哪个进程把我的explorer结束掉的。我想这样能快些~

[can]

我怎么看着就不像是中毒，应该是有什么东西跟x64 8.1的explorer不兼容导致的，信的过的话用360安全卫士人工服务下的“explorer总是崩溃”修复下。别往病毒的方向想。

[kiritoalex]

@lalalakakaka 不能
你可以试着用process tracer来跟踪进程

[can]

http://support.icafe8.com/technologynews/focus/4837.html
用Windbg+PCHunter的方法时不要开太多程序，否则会很卡的

[shippo7]

我也觉得不一定是中毒，可能是explorer.exe出现了问题。要确定是中毒至少要找到可疑进程/服务/启动项

[zouxy]

内行不会问这个问题,外行还是重装比较简单.

[lalalakakaka]

@can
使用Windbg调试explorer后，能正常打开zip和一些控制面板窗口了。异常消失了。。不能重现问题。
关掉windbg后又打不开了。。。
这是病毒的反调试功能？

[can]

@lalalakakaka Windbg只是记录explorer要加载哪些模块，问题应该还在，如果操作正确的话。
那你直接在PCHunter的进程选项卡下看下explorer都加载了哪些dll，排除掉微软的，剩下的逐一分析下。
我觉得360安全卫士人工服务下的“explorer总是崩溃”就能解决问题。

[lalalakakaka]

@can 在人工服务里没有找到“explorer总是崩溃”这一项~

[can]

这搜不到？

[lalalakakaka]

@can
我擦。。。

[lalalakakaka]

@can 现在我整个人都要崩溃了。。难不成我装的360和你的360版本不一样。。

[can]

@lalalakakaka 版本不一样吧，只搜explorer呢。那你尽可能关掉所有无关的程序，打开PCHunter--进程--右击explorer.exe--查看进程模块--点文件厂商按厂商排序，看看都有哪些可疑的dll文件被加载了

[lalalakakaka]

@can 依然搜不到~这个抽风抽的太奇怪了。难不成360对不同系统有兼容性检查，这个工具默认在win8.1x64上不能用？
对explorer下的模块排查下，没有数字签名的那几个我都看了，都没问题。现在是有很多dll是红色高亮的，这个不清楚是不是有问题。然后所有这些模块都不能手工卸载，一旦卸载就会导致explorer重启。

[can]

@lalalakakaka 红色显示的都是隐藏（异常）模块，你截个图呗

[Huadb]

这个时候就没人喷360了