Đặc điểm của loại virus này là thay đổi giá trị Registry tại khóa :
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon
"Userinit"="C:Windowssystem32userinit.exe," ( có dấu " , " ở cuối) để chỉ đến files của chính nó. Vì vậy, ta chỉ cần chỉnh sửa giá trị Userinit về giá trị mặc định thì sẽ lại logon được! Nhưng làm sao để vào Registry khi không logon được? Chúng ta sẽ lơi dụng lỗ hổng của file sethc.exe. Các bước thực hiện:
B1: Khởi động từ đĩa Hiren's Boot, sử dụng chương trình quản lý file trong Hiren's Boot để vào thư mục System32.
B2: Thay thế file Sethc.exe bằng cmd.exe
B3: Lấy đĩa Hiren's Boot ra và Khởi động lại máy
B4: Tại cửa sổ Logon, nhấn phím Shift 5 lần để hiện cửa sổ Command Line
B5: Gõ vào regedit.exe
B6: Duyệt đến khóa: HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon
sửa lại giá trị mặc định là: "Userinit"="C:Windowssystem32userinit.exe,
|
