鬼影病毒，隱藏性比較好，其編寫思路另辟捷徑，也許有助於未來的病毒編寫，但其危害性是不容忽視，TA寄生於磁盤主引導記錄（MBR）中，我們所常用的“治百病（重裝系統）”對其毫無影響，形同“鬼影”一般“陰魂不散”。閱讀下文了解判斷電腦是否感染鬼影病毒以及徹底清理鬼影病毒的方法。
據金山安全實驗室工程師說，“鬼影”病毒是較為罕見的技術型病毒，直接改寫MBR的技術主要在國外技術論壇傳播，在“鬼影”病毒之前，這一技術少有被黑客實際大規模利用的案例。
另據金山安全實驗室研究人員透露，在目前國內安全廠商和民間反病毒高手中，能夠完整分析“鬼影”病毒的人屈指可數。因病毒寄生於硬盤的主引導記錄（MBR），病毒釋放的驅動程序能夠破壞大多數安全工具和系統輔助工具，在已經中毒的情況下，很難使用現有工具完成病毒清除，金山已經推出了鬼影專殺工具。
金山毒霸已經升級，可查殺傳播“鬼影”病毒的母體文件，避免更多用戶受“鬼影”病毒之害，用戶只需要在線升級即可獲得相應防御能力。金山網盾已將傳播該病毒的惡意網頁加入阻止訪問的列表，防止更多用戶下載這個神秘的“鬼影”病毒。
病毒特征
1、無需寄主 結束所有殺毒軟件。
該病毒一旦進入電腦，就像惡魔一樣，隱藏在系統之外，無文件、無系統啟動項、無進程模塊，比系統運行還早，結束所有殺毒軟件，下載av終結者，盜號木馬，ie主頁修改等大量多品種病毒。
2、顛覆傳統 重裝系統無法清除。
一般的電腦病毒是Windows系統下的應用程序，在Windows加載之後才運行。而“鬼影”病毒的主要代碼是寄生在硬盤的主引導記錄（MBR），即使用戶重裝了系統，仍無法將其完全清除。當系統再次重啟時，該病毒會早於操作系統內核先行加載。而當病毒成功運行後，在進程中、系統啟動加載項裡找不到任何異常，病毒就象“鬼影”一樣在中毒電腦上“陰魂不散”。“鬼影”病毒是國內首個引導區下載者病毒，顛覆了傳統病毒的感染特點以及用戶處理病毒問題的思維定勢，不僅做到了“三無”特性——無文件、無系統啟動項、無進程模塊，而且即使用戶重裝了系統，該病毒依然會再次進入用戶新系統。
3、安全軟件失效 電腦明顯變慢
“鬼影”病毒入侵後，會釋放驅動程序改寫硬盤MBR（主引導記錄），驅動程序在開機過程中攻擊眾多殺毒軟件，令殺毒軟件失效，再下載傳統的AV終結者木馬下載器，最終目的依然是通過傳播盜號木馬，竊取用戶虛擬財產牟利。中毒後，最直觀的現象是安全軟件無法正常運行，電腦明顯變慢，IE主頁被改。
工作原理
1、“鬼影”病毒母體運行後，會釋放兩個驅動到用戶電腦中，並加載。和母體病毒捆綁在一起其它流氓軟件會修改桌面快捷方式，嘗試修改IE屬性。
（分析：病毒傳播者這樣做的目的可能是為了轉移安全廠商的目標，便於病毒的真正母體隱藏得更好）
2、a驅動會修改系統的主引導記錄（mbr），並將b驅動寫入磁盤，保證病毒是優先於系統啟動，且病毒文件保存在系統之外。這樣進入系統後，病毒加載入內存，但找不到任何啟動項、找不到病毒文件、在進程中找不到任何進程模塊。
3、病毒母體自刪除。
4、重啟系統後，主引導記錄（MBR）中的惡意代碼會對Windows系統的整個啟動過程進行監控，發現系統加載ntldr文件時，插入惡意代碼，使其加載b驅動。
5、b驅動加載起來後，會監視系統中的所有進程模塊，若存在安全軟件的進程，直接結束。
6、b驅動會下載av終結者到電腦中，並運行。
7、下載的av終結者病毒會修改系統文件，對安全軟件進程添加大量的映像劫持，下載大量的盜號木馬。進一步盜取用戶的虛擬財產。
8、該病毒只針對WinXP系統，尚不能破壞Vista和Win7系統。（目前最新的變種可以感染Vista、Win7和Win8，但在Win8/Win8.1無法破壞MBR，無法注入病毒驅動程序，比較容易處理）
病毒症狀
1、電腦非常卡，操作程序有明顯的停滯感，常見殺毒軟件無法正常打開，同時發現反復重裝系統後問題依舊無法解決。
2、系統文件被感染殺毒查殺以後提示找不到相應的dll或者系統功能不正常。rpcss.dll，ddraw.dll是盜號木馬常修改的系統dll。
3、QQ號碼被盜，可被黑客用來傳播廣告等。魔獸、DNF、天龍八部、夢幻西游等游戲賬號被盜。
4、進程中存在iexplore.exe進程並指向一個不正常的網站。
5、鬼影共同特征就是進程裡有ali.exe
6、你的電腦桌面上出現了一個討厭的“播放器”快捷方式，而且刪不掉。
7、鬼影病毒還有一個特征就是任何軟件（有些例外如360急救箱），會在7——12秒內自動關閉，一些鬼影病毒可以屏蔽一些“純鬼影專殺”，當啟動專殺時，會發現專殺驅動無法成功啟動。只有一些強制性的殺毒軟件（如金山系統急救箱），才可以清除。
8、還有一個共同點就是中了該病毒之後，電腦如果只裝有一塊硬盤可以啟動系統，如果電腦裝有兩塊硬盤以上，或者插了U盤。進入系統時就會出現藍屏。（藍屏原因是分區錯誤）
鬼影病毒處理方法：
一、重建引導並重裝系統
格式化C盤，進入dos狀態，運行：
fdisk/mbr命令，用以清除掉主引導區的病毒引導代碼，這時候重裝系統就可以了，但是這是在完全安裝起作用的，如果你用是啟動盤那麼還要多做以下幾步：
1、通過啟動盤（U大俠啟動盤 下載）進入PQ/PM分區工具，一般啟動盤都帶的。
2、 右擊c盤，選擇進階-設為作用，這樣就把MBR引導層重新寫了一遍，這樣在引導層中的病毒也自然被剔除了。
3、 之後直接用啟動盤安裝系統就OK了。
二、DMS手動查殺方法
DOS下手動查殺方法
1、找專殺工具：這裡推薦使用“一鍵GHOST 下載“，其中的DOS工具箱自帶的小工具DISKRW就可以完美解決。
2、殺除MBR病毒
①、清除MBR以外的硬盤保留扇區。安裝或制作好“一鍵GHOST”，開機進入一鍵GHOST，最終出現紅色界面時按ESC鍵退回到主菜單，按方向鍵選擇“DOS工具箱”-->“DISKRW“ --> ”3.清除“ --> ”清除（2）“ --> 確定。（注意，盡量使用最新版，更早的版本不能保證有此功能）。
②、修復MBR（關鍵一步，必須做），接著下一步，選擇“4.修復”--> “修復（F）“ --> 確定。
3、重裝或恢復系統。在第二步完成後，千萬不要重啟電腦進入Windows了，否則會二次感染。正確的方法是，使用啟動盤（U大俠啟動盤 下載）重裝系統。或者如果你有本地的系統備份（當然是沒感染病毒之前做過的備份），也可以用“一鍵恢復系統”功能進行恢復。
4、全盤殺毒。返回Windows後，需要升級你的殺毒軟件到最新版本（最新病毒庫），然後進行“全盤查殺”，這樣可以把殘留在非系統盤（比如D盤、E盤、F盤）裡的病毒寄主文件殺掉，以做到“斬草除根”。
三、MBRFix配合360安全衛士查殺
1、開機打開任務管理器，結束（nat.exe）
2、打開360安全衛士 下載，選擇系統修復來修復系統
3、在WinXP環境下運行“CMD”進入DOS模式，運行：
MBRFix /drive 0 fixmbr /yes重啟後OK。
四、鬼影病毒專殺工具
“鬼影”病毒的特征之一是安全軟件不能正常運行，該病毒累計感染量約30萬台。若網民發現自己電腦上安裝的安全軟件莫名其妙不能正常運行，常見的修復工具也不能正常運行，請嘗試使用金山安全中心發布的“鬼影”病毒專殺工具檢查修復。此工具適用於尚未變種的鬼影病毒，一旦該病毒變種，該專殺將會無效，這裡提醒大家要注意上網時的網絡防護，要定期開啟殺軟掃描，金山毒霸已能夠殺滅鬼影母體。“鬼影”病毒傳播的廣度分析金山雲安全系統分析該惡意軟件的下載頻率，結合傳播病毒的網站流量分析，評估該病毒的日下載量大約為2-3萬之間。
五、鬼影病毒金山查殺
金山毒霸 下載 查殺後手動善後
1、開始-運行-msconfig；
2、選擇“啟動”，把ali前面的勾去掉，單擊應用；
3、開始-運行-win.ini，內容已病毒被更改為類似下文：
[DownLoad] exe1=coopen-3.0|http://download.coopen.c/setup/v5/coopen_setup_100201.exe exe2= [ad] ad1=12 [HomePage] home= [Time] DownLoadIniTime=60 PopAdTime=2 DownLoadLelayTime=1 RunDelayTime=0 FirstRunExeTime=2 FirstPopWidTime=1 cjver=2 cjaddr= [Link] Link1=手機圖鈴|http://66.79.168.187:55325/tuling.html ing.html替換為
;msconfig ; for 16-bit app support ;msconfig [fonts] ;msconfig [extensions] ;msconfig [mci extensions] ;msconfig [files] [Mail] ;msconfig MAPI=1 [MCI Extensions.BAK] m2v=MPEGVideo mod=MPEGVideo ;msconfig aif=MPEGVideo ;msconfig aifc=MPEGVideo ;msconfig aiff=MPEGVideo ;msconfig asf=MPEGVideo ;msconfig asx=MPEGVideo ;msconfig au=MPEGVideo ;msconfig m1v=MPEGVideo ;msconfig m3u=MPEGVideo ;msconfig mp2=MPEGVideo ;msconfig mp2v=MPEGVideo ;msconfig mp3=MPEGVideo ;msconfig mpa=MPEGVideo ;msconfig mpe=MPEGVideo ;msconfig mpeg=MPEGVideo ;msconfig mpg=MPEGVideo ;msconfig mpv2=MPEGVideo ;msconfig snd=MPEGVideo ;msconfig wax=MPEGVideo ;msconfig wm=MPEGVideo ;msconfig wma=MPEGVideo ;msconfig wmv=MPEGVideo ;msconfig wmx=MPEGVideo ;msconfig wpl=MPEGVideo ;msconfig wvx=MPEGVideo [MSUCE] Advanced=0 CodePage=Unicode Font=Arial以上便是關於判斷電腦是否感染鬼影病毒以及徹底清理鬼影病毒的方法，鬼影病毒開啟了惡意程序編寫的先河，將來可能會有更多“有心人士”利用鬼影病毒制作出新的變種病毒，用戶切勿怠慢。
