使用xp的朋友请注意！！！

新闻链接

       2010年3月15日，金山安全实验室捕获一种被命名为“鬼影”的电脑病毒，由于该病毒成功运行后，在进程中、系统启动加载项里找不到任何异常，同时即使格式化重装系统，也无法将彻底清除该病毒。犹如“鬼影”一般“阴魂不散”，所以称为“鬼影”病毒。该病毒也因此成为国内首个“引导区”下载者病毒。

什么是“鬼影”

    鬼影病毒是指寄生在磁盘主引导记录（MBR），即使格式化重装系统，也无法清除的病毒。当系统再次重启时，该病毒会早于操作系统内核先行加载。而当病毒成功运行后，在进程中、系统启动加载项里找不到任何异常，病毒就象“鬼影”一样在中毒电脑上“阴魂不散”。

病毒特征
颠覆传统  重装系统无法清除
  Q8 E0 {, w+ ]$ |& D( G3 \　　以前，常听用户说，中毒了没关系，大不了重装系统。但现在，这句话将成为历史。金山安全反病毒专家表示，“一般的电脑病毒是Windows系统下的应用程序，在Windows加载之后才运行。而“鬼影”病毒的主要代码是寄生在硬盘的主引导记录（MBR）,在电脑启动过程中先于系统核心程序直接加载到电脑内存中运行。对于已经寄生于MBR中的病毒，安全软件无法进行拦截。因病毒比安全软件的启动还要早。
$ `; O# u8 h2 X" M　　李铁军表示，“鬼影”病毒是国内首个引导区下载者病毒，颠覆了传统病毒的感染特点以及用户处理病毒问题的思维定势，不仅做到了“三无”特性——无文件、无系统启动项、无进程模块，而且即使用户重装了系统，该病毒依然会再次进入用户新系统；全新的病毒技术，突破了普通杀毒软件的自保护，“鬼影”病毒可以说是一个具有“划时代”特征的电脑病毒。
安全软件失效 电脑明显变慢
　　金山安全实验室的研究人员分析发现，这个“鬼影”病毒是随某些共享软件捆绑安装进入电脑的，目前的日感染电脑约2-3万台。“鬼影”病毒入侵后，会释放驱动程序改写硬盘MBR（主引导记录），驱动程序在开机过程中攻击众多杀毒软件，令杀毒软件失效，再下载传统的AV终结者木马下载器，最终目的依然是通过传播盗号木马，窃取用户虚拟财产牟利。中毒后，最直观的现象是安全软件无法正常运行，电脑明显变慢，IE主页被改。
# i, X& h$ f$ e+ m! ^罕见技术型病毒  源于国外
* G; O) \* l# j' z　　“鬼影”病毒是近年来较为罕见的技术型病毒，病毒作者具有高超的编程技巧。因WinXP系统的限制，一般手法改写MBR会被系统判定为非法，这也是引导区病毒接近消亡的重要因素。这种绕过Winxp的安全限制，直接改写MBR的技术主要在国外技术论坛传播，在“鬼影”病毒之前，这一技术少有被黑客实际大规模利用的案例。金山安全实验室工程师说，目前“鬼影”病毒只针对Winxp系统，该病毒尚不能破坏Vista和Windows 7系统。
. f: G) G% @- O, L: y　　另据金山安全实验室研究人员透露，在目前国内安全厂商和民间反病毒高手中，能够完整分析“鬼影”病毒的人屈指可数。因病毒寄生于硬盘的主引导记录（MBR），病毒释放的驱动程序能够破坏大多数安全工具和系统辅助工具，在已经中毒的情况下，很难使用现有工具完成病毒清除，金山安全实验室正在编写针对“鬼影”病毒的专杀工具。
　　金山毒霸已经升级，可查杀传播“鬼影”病毒的母体文件，避免更多用户受“鬼影”病毒之害，用户只需要在线升级即可获得相应防御能力。金山网盾已将传播该病毒的恶意网页加入阻止访问的列表，防止更多用户下载这个神秘的“鬼影”病毒。

处理方法

　　 关于“鬼影”病毒，我不再赘述了，大家可以到网上去看，我系度讲下治疗和预防的方法。
. V0 R8 @* \1 {# H8 Z　    当你中了这个病毒，你也不用太紧张，这个病毒虽然传说是就算重装也不能删除的，这只是方法不对而已。所以才会重装后病毒还会继续发作的原因，下面我就告诉大家来治疗鬼影病毒的方法。
0 |. d7 H* ?+ W3 ^- h& v5 f　　首先，格式化C盘，再进入dos状态，运行fdisk/mbr 命令，用以清除掉主引导区的病毒引导代码，这时候重装系统就可以了，但是这是在完全安装起作用的，如果你用是GHOST安装系统那么还要多做以下几步。
+ Q# U( @* ]# X& Z* N　　1、通过GHOST系统盘进入PQ/PM分区工具，一般GHOST系统盘都带的
　　2、 右击c盘，选择进阶-设为作用，这样就把MBR引导层重新写了一遍，这样在引导层中的病毒也自然被剔除了。
: ^$ A6 J# M' i; z  v  ?　　3、 直接用GHOST系统盘安装系统就OK了。

    在WINDOWS时代之所以很少见，并不是因为做不到——早在1998年，CIH就告诉病毒编写者如何利用驱动技术绕开WINDOWS的核心保护机制——而是因为这么做的投入产出不成比例。DOS下的自启动项目很少，病毒要自启动的话，除了寄生于文件，就只能依靠MBR了；而WINDOWS的自启动项目实在是太多了，随便在注册表里改一下，一般用户根本看不出来病毒已经启动，所以没有人纯粹为了一个自启动的目的去写个驱动来改动MBR，这纯属费力不讨好。其实从这点就可以看出，写WINDOWS下的病毒木马，技术门槛比DOS下要低一些。
　　不过这个病毒作者还是有一点创意：他将存放在磁盘第5扇区的病毒的主要代码插入到ntldr文件中，这样就解决了自身代码在WINDOWS下的加载问题，比写个中断服务程序要简单得多。这一思路也为真正的BIOS病毒提供了一个非常好的实现方法。
9 V6 v6 ]& E! a+ y# ~　　解决这个病毒的方法其实也很简单，不过我仍然要提醒一句硬盘有价 数据无价 别傻呼呼的格式化硬盘,因为这样并不能修复MBR 而且根本不会改写MBR DBR DATA这三个区域,最简单明了的方法 使用windows系统安装盘自带的修复功能,按住R 键进入修复平台,稍等片刻-进入命令提示符-输入帐户名密码后 然后在命令提示符下输入Fixmbr 然后系统提示是否更新MBR主引导记录选择 是 并且再输入Fixboot 修复boot区引导 至此 主引导区已经修复完毕 病毒自然清除 然后用WinPE工具箱进入WinPE系统 杀毒 就可以解决了。

   注：以上资料引用百度百科，感谢百度，以及作为一个中国人，永远支持国产事业。

   鬼影病毒为XP中的癌症，中者难治，讲句难听啲真系医翻都晒药费，由于只针对XP系统，本人已放弃XP，改用Vista和Windows7啦。小弟初帖，不到之处，敬请原谅。

64位win7用户路过

竟然有D咁噶事。。。可能X山自己整出嚟争用户。。。

咁神奇，Vista系垃圾之作，所以我才改用xp，win7又太闪啦，睇坏眼，主要都系高级得济！

作者已经手下留情了...

回复 3# alexhus
' t" Y4 Y  Z2 D6 _) Q7 S# A' c
4 y- E2 h  D  _% a
    应该唔会，作者在网上高调现身，竟然叫卖病毒，高达8800元。

回复 4# 小c

0 h# u4 O" J; i$ ]
    不会吧，是不是显示屏或显示驱动的问题啊，我用W7半年多都冇问题。

有D甘既树?会晤会又是炒作啊?

回复 8# freedom16


) @  z7 C9 {+ `9 Y. N. ?6 l7 i% m/ S% B    不会，系真的，中病毒后清理会好麻烦。

正在用32位win7 唔知有无事

回复 10# wjr5200
5 v9 y5 r5 l6 a8 f

$ q$ o% i2 q0 T    请放心使用，此病毒只针对XP系统权限，Vista和windows7系统权限严密（看看它拷个文件都要跳个窗口询问就知道），不会有影响的。

好了，鬼影病毒已经面世，已是铁铮铮的事实了，不用过多疑问，其实再想一想，XP时代都应该结束了，回想当年98时代多么辉煌，还不是被XP取代，而家米讲windows7，windows8都黎紧啦，我地系咪应该要向前看呢。