输入法不见了怎么办？最近各大网站论坛关于输入法消失的求助信息猛增，一时间“输入法”成为热门的关键字。不同的这次不是哪个厂商推出了新的输入法程序，而是黑客想借助“输入法”盗取用户账号密码。近日微点主动防御软件自动捕获了一种专门破坏电脑输入法的“输入法杀手”病毒，该病毒直接破坏电脑的输入法程序，致使无法选择和切换汉字输入法，严重影响用户正常的文字办公。电脑感染该病毒后，除输入法遭到破坏，病毒还假借“输入法”之名，随计算机自动启动，然后自动连接网络，到病毒作者指定的网站下载大量盗号木马程序，盗取用户游戏帐号、虚拟财产，实现赚取“黑金”的目的。

“输入法杀手”病毒特征：

 传播方式：通过网页挂马、文件捆绑、共享文件夹、U盘等方式传播。

 特征：

 1、电脑桌面的输入法图标不见了，导致无法选择和切换输入法，用户无法输入文字，即使在区域和语言设置—语言—详细信息—文字服务和输入语言—设置里面设置后也看不到图标，输入法也无法正常切换；

（图一：中毒前） 

（图二：中毒后）

2、用户电脑上程序运行速度明显变慢，系统提示虚拟内存不足；

 （图三：中毒后系统提示）

3、部分安全软件被关闭，迅雷等下载软件无法正常使用，网络速度明显变慢；

4、 除系统盘符外所有盘符下包含exe文件的文件夹下均出现usp10.dll病毒文件，导致用户即使重做系统也摆脱不了病毒的魔爪。（特别备注：usp10.dll文件利用“Windows”机制使用户执行exe程序同时，加载“USP10.dll”，“USP10.dll病毒文件”将自动连网下载病毒。）

5、病毒在后台自动连接网络，到病毒作者指定网站下载大量盗号木马程序，用于盗取主流网络游戏帐号（完美系列游戏、魔兽世界、梦幻西游、大话西游onlineII、剑侠世界、封神榜II、魔域等）。

“输入法杀手”病毒解决办法：

方法一：安装微点主动防御软件。（http://www.micropoint.com.cn/mpdownload.php）

方法二：手工处理办法

步骤一、开机按F8进入安全模式，然后调出系统的任务管理器，结束ctfmon.exe进程；

步骤二、使用u盘到其他正常主机系统下拷贝c:\windows\system32\ctfmon.exe、c:\windows\system32\drivers\beep.sys，然后插入中毒主机的安全模式系统下，把文件同时拷贝到c:\windows\system32\和c:\windows\system32\dllcache\目录下替换原文件；

步骤三、开始运行输入regedit打开

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\找到Hidden项修改值为1，SuperHidden项修改值为0，ShowSuperHidden项修改值为1；

步骤四、打开资源管理器，对硬盘进行全盘搜索usp10.dll（文件类型所有文件和文件夹），把搜索结果中除系统盘符目录的其他盘符目录下所有usp10.dll进行手工删除处理；

步骤五、重复步骤四搜索oiiuasdfh.dll文件进行手工删除处理；

步骤六、清空系统和IE临时文件目录下所有文件，并清空c:\windows\system32\drivers\etc\host文件内容。

微点专家建议：

1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过文件捆绑的方式进入您的系统。

2、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。

3、开启windows自动更新，及时打好各种漏洞补丁。

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御软件将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御软件都能够有效清除该病毒。

更多“输入法杀手”病毒的详细分析请参考：

http://bbs.micropoint.com.cn/showthread.asp?tid=47343

捕获时间

2009-2-3

病毒摘要

该样本是使用“VC ”编写的木马下载器，由微点主动防御软件自动捕获，采用“FSG”加壳方式，试图躲避特征码扫描，加壳后长度为“39,245 字节”，图标为“”，病毒扩展名为“exe”，主要通过“网页木马”、“移动存储介质”等方式传播，病毒主要目的为下载大量木马病毒至用户主机。



感染对象

Windows 2000/Windows XP/Windows 2003

传播途径

网页木马、文件捆绑

防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）；

          图1 微点主动防御软件自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Trojan-Downloader.Win32.EDog.hl”，请直接选择删除（如图2）。

          图2   微点主动防御软件升级后截获已知病毒

对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。
3、开启windows自动更新，及时打好漏洞补丁。

病毒分析

　　该样本程序被执行后，将建立名为“puuyt”的互斥体，遍历以下进程

　　若发现以上进程，将释放动态库文件“oiiuasdfh.dll”至系统目录%SystemRoot%目录下，并调用系统“rundll32.exe”使用参数“EnumPageFile”加载“oiiuasdfh.dll”，加载成功后，提升权限至“SeDebugPrivilege”，修改系统文件“beep.sys”,恢复SSDT，使部分安全软件的主动防御功能失效，尝试调用下列命令进行关闭“avp.exe”进程：

　　利用函数“TerminateProcess”尝试关闭找到的进程，在注册表“HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\”下添加发现的进程与“Thunder5.exe”，进行映像劫持，键值均为：debugger，数据均指向：svchost.exe。
　　若发现“safeboxtray.exe”获取360保险箱路径，复制“oiiuasdfh.dll”至360保险箱目录下，重命名为“rptup.dll”与“USP10.dll”，以参数“/u”打开“safeboxTray.exe”进程，配合模拟点击，使360保险箱自我保护失效，实现保险箱卸载。
　　若发现“360tray.exe”则修改注册表，关闭360安全卫士的监控，相关注册表如下。

病毒还将尝试调用其卸载程序“uninst.exe”将360安全卫士卸载。

　　修改注册表，修改系统设置，使系统不显示隐藏文件：

　　释放动态库文件“1”至系统目录“SystemDrive\Tasks”，遍历除系统盘符外包括可移动磁盘的全部磁盘内的 “.exe”文件，在“*.exe”文件所在目录内复制“1”为“USP10.dll”。利用“Windows”机制使用户执行程序同时，加载“USP10.dll”，“USP10.dll”将访问网络地址：“http://www.h***-2.cn/down/gr.exe”下载病毒。
　　利用函数“TerminateProcess”，关闭“cmd.exe”，下载病毒文件列表“http://txt.h***e.com/oo.txt”，存储至系统目录“%SystemRoot%\system32\sadfasdf.jpg”,“sadfasdf.jpg”内容如下：

通过函数“URLDownloadToFile”下载列表上的病毒文件，释放随机名动态库文件“2f9a09.dll”，利用函数“WinExec”执行下载的病毒文件。

　　创建驱动文件“1696”至“%Temp%”目录，修改注册表，创建服务项，加载“1696”，相关注册表项如下：

　　　“1696” 为病毒制造者编写的磁盘过滤驱动，病毒将修改“ctfmon.exe”将部分代码写入其中，操作完成后将删除文件及服务。
　　访问网络地址下载：“http://txt.h***e.com/ad.jpg”，随后病毒将使用文本文件“ad.jpg”，替换系统Host文件。