病毒名称:
Trojan.Win9x.HDKiller
类别： 木马病毒
病毒资料：
病毒名称：Trojan.Win9x.Hdkiller （PC终结者）
运行环境：Windows 95 、Windows 98和Windows Me
主要行为：锁硬盘、破坏主板芯片，造成硬件报废。
发作日期：没有限制，只要运行就会发作。
危害程度：最高级。
这是一个破坏计算机硬件的恶性病毒。用Delphi编写，嵌入汇编语言。
技术分析：
病毒采用查询固定线性地址的方式检测操作系统信息。如果可以发作，搜索KERNEL32.DLL（系统核心动态链结库）的导出表，取得4个未公开的底层函数地址。病毒申请系统高端共享内存，将病毒代码拷贝进取，并运行。病毒避开直接的API调用，自己安排寄存器、堆栈，进行系统功能调用。
病毒首先给硬盘加入逻辑锁。即使用户从软件或光盘引导，都不能启动系统。 病毒采用VxD技术，转换到虚拟86模式，调用中断13H读取硬盘驱动器主引导记录。
病毒把分区表中第一项（分区表有四项，每一项16字节），设置为活动分区，并把该分区的起始扇区指向主引导扇。这样，无论采用那种引导方式，通常的引导程序都会读取硬盘的分区表，并陷入死循环。
接下来，病毒像BIOS升级程序那样，采用直接I/O操作，向PCI总线、电源控制器、中断控制器等设备发送命令，辨别十多种可升级BIOS的芯片，进行破坏。
在操作过程中，病毒采用INT 5，跳转到Ring 0级。被病毒破坏的机器，按下“POWER”键后没有反应。
解决方法：
1.对于加锁的硬盘,需要专业人员解决。
2.对于被破坏的主板，可以下载升级程序，采用专业工具进行刷新。
光华反病毒专家建议：
1. 在硬件允许的条件下，如果没有特殊要求，尽量不要使用win9x系统，升级到win2000以上的版本。
2. 日常操作、特别是上网时一定要打开实时监控。病毒运行之前可以被抓住。
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2003-11-26
（出处：清风软件学院）
