Google 重定向、TDSS、TDL3 或 Alureon 删除指南

目录：

1. 快速描述病毒是什么以及保修期内可能提供的支持
2. 使用 TDSSKiller 的 TDSS、Alureon 或 TDL3 Rootkit 的拆卸说明
3. 关联的 TDSS、Alureon 或 TDL3 Rootkit 文件
4. 关联的 TDSS、Alureon 或 TDL3 Rootkit Windows 注册表信息

快速描述病毒是什么以及保修期内可能提供的支持

TDSS 或 TDL3 是 Windows 操作系统的 rootkit 系列的名称。它会在您的计算机上下载并启动其他恶意软件，并向您的计算机提供通告，同时阻止某些程序运行。它通过多种方式感染您的计算机，例如将硬盘驱动程序替换为恶意版本。计算机受到感染后，TDSS 对 Windows 和任何防恶意软件程序都不可见。它继续下载和运行进一步的恶意软件，并向您的计算机提供更多广告。这些感染在各种名称下检测到，具体取决于您使用的特定防病毒供应商。

TDSS 感染可能会显示一些您应注意的症状：

• 搜索结果 — 链接重定向到不相关的站点。当您单击其中一个搜索结果时，它会重定向到广告。

• 无法运行各种程序 — 某些程序根本无法启动。TDSS 具有一个名为 “Disallowed”的 配置设置，其中包含不允许启动的大量程序列表。这样做可使您无法启动防病毒和防恶意软件程序来帮助您删除此感染。
• 各种站点访问被阻止 — TDSS 阻止访问下载页面、论坛、计算机帮助和安全站点。
• Web 浏览速度比正常慢 — 网页加载速度较慢。

解决此问题的最可靠方法是在计算机上执行出厂还原或全新操作系统安装。我们提供专业支持保修可为您介绍这一点。您还可以在下面的链接页面上找到引导您完成此操作的文章：

• 在戴尔计算机上重新安装或还原操作系统的在线指南

如您所见，TDSS rootkit 是一种侵入性感染，会接管您的计算机，并且很难移除。

Kaspersky Labs 发布了一个名为 TDSSKiller 的工具，可用于从计算机中删除大多数 TDSS 变体。还有其他程序执行相同的操作。您可以使用不同的程序。但是，此软件是免费的，它是我最熟悉的软件。

我已准备下面的操作指南，向您展示如何删除病毒 - 尚未重新安装完整的操作系统。但是，这不在您的保修范围内，并且风险由您自行承担。

使用 TDSSKiller 的 TDSS、Alureon 或 TDL3 Rootkit 的拆卸说明

1. 您必须做的第一件事是从以下链接下载 TDSSKiller 并将其保存到桌面。

   • TDSSKiller 下载链接 

2. 当您进入以上页面时，单击 TDSSKiller.exe 链接以下载文件。如果您无法下载文件，则 TDSS 可能会阻止它。您必须先将其下载到干净的计算机，然后使用 CD、DVD、外部驱动器或 USB 闪存驱动器将其转移到受感染的计算机。文件完成传输后，您现在应该在桌面上具有 TDSSKiller 图标。

（图 1 TDSSKiller 图标）

3. 首次运行 TDSSKiller 之前，必须重命名它。右键单击桌面上的 TDSSKiller.exe 图标，然后选择 重命名 。使用 .com 扩展名将文件的名称编辑为随机名称。

   例如：123.com 或 abc.com 如果随机名称不起作用，则尝试将其重命名为 iexplore.com ，然后再次运行。

4. 双击它以启动它。运行程序时，Windows 可能会在屏幕上显示警告消息。

（图 2 运行窗口）

5. 如果您收到此警告，请单击 Run 按钮以允许程序运行。如果您没有看到警告，则 TDSSKiller 应该已经启动。如果是，请转至 步骤 10。

6. TDSSKiller 启动并显示欢迎屏幕。

（图 3 开始扫描）

7. 单击 开始扫描 按钮，使其扫描计算机是否感染。

8. 扫描完成后，它会显示一个结果屏幕，指示是否在您的计算机上发现了感染。它显示一个屏幕，其中包含找到的内容的列表。

（图 4 正在运行扫描）

9. 要删除感染，只需单击 Continue 按钮，TDSSKiller 会尝试删除感染。如果未提供 “Cure”选项，请将其保留为 Skip（跳过 ）的默认操作，然后按 Continue（继续） 按钮。请勿将其更改为 Delete 或 Quarantine ，因为它可能会删除 Windows 正常运行所需的受感染文件。

10. 完成感染清理后，您会看到一份报告。

（图 5 扫描结果）

11. 如果 TDSSKiller 清理 TDSS 感染，则可能需要重新启动才能完成清理过程。单击 Reboot now 按钮以重新启动计算机，并完成从计算机中删除 TDSS 感染的过程。

12. 建议运行 Malwarebytes 等扫描工具或类似的恶意软件扫描工具，以确保彻底扫描和清理所有内容。确保您选择一个众所周知的工具，并将其从源下载。可以通过从未知来源下载来重新感染您的计算机。

• 在 Internet 论坛上提出帮助请求
• 运行操作系统的出厂还原或全新安装

关联的 TDSS、Alureon 或 TDL3 Rootkit 文件

C：\WINDOWS\_VOID\

C：\WINDOWS\_VOID\_VOIDd.sys

C：\WINDOWS\SYSTEM32\UAC.dll

C：\WINDOWS\SYSTEM32\uacinit.dll

C：\WINDOWS\SYSTEM32\UAC.db

C：\WINDOWS\SYSTEM32\UAC.dat

C：\WINDOWS\SYSTEM32\uactmp.db

C：\WINDOWS\SYSTEM32\_VOID.dll

C：\WINDOWS\SYSTEM32\_VOID.dat

C：\WINDOWS\SYSTEM32\4DW4R3c.dll

C：\WINDOWS\SYSTEM32\4DW4R3sv.dat

C：\WINDOWS\SYSTEM32\drivers\_VOID.sys

C：\WINDOWS\SYSTEM32\drivers\UAC.sys

C：\WINDOWS\SYSTEM32\4DW4R3.dll

C：\WINDOWS\SYSTEM32\DRIVERS\4DW4R3.sys

C：\WINDOWS\SYSTEM32\DRIVERS\4DW4R3.sys

C：\WINDOWS\Temp\_VOID.tmp

C：\WINDOWS\Temp\UAC.tmp

%Temp%\UAC.tmp

%Temp%\_VOID.tmp

C：\Documents and Settings\All Users\Application Data\_VOIDmainqt.dll

文件位置说明。

%Temp%：

显示 Windows Temp 文件夹，默认情况下，这是 Windows 85/98/ME 的 C：\Windows\Temp、C：\DOCUMENTS AND SETTINGS\\LOCAL SETTINGS\Temp for Windows 2000/XP 和 C：\Users\\AppData\Local\Temp in Windows Vista、Windows 7 和 Windows 8

%CommonAppData%：

显示所有用户配置文件的应用程序 数据 文件夹，默认情况下，这是 Windows Vista、Windows 7 和 Windows 8 中的 C：\Documents and Settings\All Users\Application Data for Windows 2000/XP 和 C：\ProgramData\

%AppData%：

显示当前用户应用程序数据文件夹，默认情况下，这是 C：\Documents and Settings\\Application Data for Windows 2000/XP，对于 Windows Vista 和 Windows 7，它是 C：\Users\\AppData\Roaming

%LocalAppData%：

显示当前用户 本地设置 应用程序数据 文件夹，默认情况下，这是 C：\Documents and Settings\\Local Settings\Apllication Data for Windows 2000/XP;对于 Windows Vista、Windows 7 和 Windows 8，它是 C：\Users\\AppData\Local

%CommonAppData%：

在 所有用户 配置文件中显示应用程序数据文件夹，对于 Windows XP、Vista、NT、2000 和 2003，它定向到 C：\Documents and Settings\All Users\Application Data\ ，对于 Windows Vista、Windows 7 和 Windows 8，它为 C：\ProgramData

关联的 TDSS、Alureon 或 TDL3 Rootkit Windows 注册表信息

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\_VOIDd.sys

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\_VOID

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UACd.sys

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\4DW4R3