有史以来第一次遭遇如此顽固的病毒，网上找了找，没有统一的名字，瑞星称为 Trojan.PSW.QQPass.pqb 病毒，我就叫它 sxs.exe病毒 吧 重装系统后，双击分区盘又中了，郁闷，瑞星自动关闭无法打开，决定手动将其删除 现象：系统文件隐藏无法显示，双击盘符无反映，任务管理器发现 sxs.exe 或者 svohost.exe （与系统进程 svchost.exe 一字之差），杀毒软件实时监控自动关闭并无法打开 找了网上许多方法，无法有效删除，并且没有专杀工具 手动删除“sxs.exe病毒”方法： 首先要显示出被隐藏的系统文件 运行——regedit HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL，将CheckedValue键值修改为1 但可能依然没有用，隐藏文件还是没有显示，这是因为病毒在修改注册表达到隐藏文件目的之后，把本来有效的DWORD值CheckedValue删除掉，新建了一个无效的字符串值CheckedValue，并且把键值改为0！ 方法：删除此CheckedValue键值，单击右键 新建——Dword值——命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。 在分区盘上单击鼠标右键——打开，看到每个盘跟目录下有 autorun.inf 和 sxs.exe 两个文件，将其删除。 （可能这个时候删除后它又会自动生成，所以你必须先在任务管理器中删除 sxs.exe 或者 svohost.exe 的进程） 打开注册表 运行——regedit HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run 下找到 SoundMam 键值，可能有两个，删除其中的值为 C:\\WINDOWS\system32\SVOHOST.exe 的，最后到 C:\\WINDOWS\system32\ 目录下删除 SVOHOST.exe 重启电脑后，发现杀毒软件可以打开，分区盘双击可以打开了。 一开机就弹出个无标题的记事本,但是运行msconfig启动项，又没的提示加载记事本,移动硬盘(或优盘)插到USB口时，点击盘符进入时，也会弹出空白记事本。偶尔系统反应较慢;虽然也不是严重影响系统的进程和运行速度,但老是这样,容易让人产生不爽的感觉.于是我上网查了下,找出了点门道来.(后面列出的数据大都出自网上:-)). 由于这种情况都是在使用了诸如闪盘的移动存储的计算机出现的，所以导致根源应该在闪盘上所存储的文件。这个闪盘可能被感染有蠕虫病毒，在接入别的计算机上便会使得该计算机出现这种开机弹出无标题的记事本的情况，不过蠕虫病毒至少需要激活，也就是执行一下这个蠕虫病毒. [蠕虫简单分析]： 蠕虫名称：Worm.Win32.Delf.aj（AVP） 蠕虫别名：Trojan.Spy.UsbSpy.a（瑞星）、TrojanSpy.USBSpy.a（江民） 蠕虫大小：47,104字节 加壳方式：UPX MD5：07adddef653a702b9a11edbcee07e82b CRC32：100A382A [发作现象]： 电脑开机时会自动弹出记事本，会生成wincfgs.exe、KB20060111.exe等文件 [行为分析]： 1. 在注册表中创建USBSpyRunMutex互斥量，避免重复感染。 2. 在系统中生成 C:\%system%\wincfgs.exe（系统、隐藏、只读属性） C:\%WINDOWS%\KB20060111.exe（大小66,560 字节，非病毒，是记事本程序） 3. 在注册表中添加： HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load＝“C:\windows\system32\wincfgs.exe” 4. 在移动设备中生成RECYCLER\RECYCLER目录和autorun.inf，在这个目录下生成autorun.exe、desktop.ini。 autorun.inf的内容： [autorun] open=.\RECYCLER\RECYCLER\autorun.exe shell\1=Open shell\1\Command=.\RECYCLER\RECYCLER\autorun.exe shell\2\=Browser shell\2\Command=.\RECYCLER\RECYCLER\autorun.exe shellexecute=.\RECYCLER\RECYCLER\autorun.exe autorun.exe同wincfgs.exe desktop.ini的内容： [.ShellClassInfo] CLSID={645FF040-5081-101B-9F08-00AA002F954E} 由此可见，当含有病毒的移动设备接入电脑时，蠕虫会被自动运行。 开机弹出的记事本便是这个KB20060111.exe文件了，诱发这个KB20060111.exe的启动可能不是常规启动项，而是wincfgs.exe这个文件启动（呼叫）KB20060111.exe文件的。就是说KB20060111.exe这个文件并非病毒或者Joke程序本身，其实KB20060111.exe就是一个记事本程序（这也就是为什么KB20060111.exe文件的图标也是一个记事本程序的图标的缘故）。另外没有清理wincfgs.exe的计算机再次接入一个干净的移动存储设备可能会再次传染这个移动存储设备。 [修改办法] 1、修改注册表 a.运行“regedit”启动注册表编辑器； b.分别删除注册表项 HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows 下的Load注册表键里的键值内容。 不放心的话可以搜索“wincfgs.exe”的注册表键并删除之 2、删除文件 %SystemRoot%\system32\wincfgs.exe %SystemRoot%\KB20060111.exe 3移动存储设备： 连接好USB后，打开我的电脑，点右键选择打开（不要直接点击打开或点“open”）,然后打开菜单栏的"工具"->"文件夹选项"->"查看"，去掉“隐藏受保护的系统文件(推荐)”前面的勾。删除掉优盘里面的desktop.ini，wincfgs.exe和autorun.inf 移动硬盘的手动删除每个盘符下面的desktop.ini，wincfgs.exe和autorun.inf文件。。 还有个方便的方法 批处理删除注册表修改： 复制下面文字到记事本，另存为“Wincfgs_kill.bat”（注意保存时选择文件类型为“所有文件”） echo off tskill KB20060111 tskill wincfgs del %windir%\kb20060111.exe del %windir%\system32\wincfgs.exe reg delete "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v "load" /f reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v "load" /t REG_SZ /d "" /f 然后运行,完毕后重启电脑控制面板 里有个添加/删除程序 找到删了 就可以了
|
