网址导航
|
邮箱找密
|
无图版
» 您尚未
登录
注册
|
搜索
|
社区服务
|
银行
|
论坛群
|
转贴助手
|
帮助
社区服务
风云小站
»
『 求助专区 』
»
为什么我一开机就弹出我的文档啊~~
新 帖
本页主题:
为什么我一开机就弹出我的文档啊~~
打印
|
加为IE收藏
|
复制链接
|
收藏主题
|
上一主题
|
下一主题
Free
级别:
*
精华:
*
发帖:
*
威望:
* 点
风云币:
* 元
专家分:
0 分
在线时间:(小时)
注册时间:*
最后登录:*
小
中
大
引用
推荐
编辑
全看
复制
为什么我一开机就弹出我的文档啊~~
为什么我一开机就弹出我的文档啊~~启动栏里没有,我打开除了C盘以外的盘都是我的文档,是不是中了落雪病毒啊???
顶端
Posted: 2007-01-13 14:04 | 广东省广州市电信(海珠区)
[楼 主]
lfengnet
还在努力中。。。
级别:
资深会员
精华:
0
发帖:
566
威望:
1184 点
风云币:
3109 元
专家分:
1 分
在线时间:44(小时)
注册时间:2006-11-22
最后登录:2008-04-29
小
中
大
引用
推荐
编辑
全看
复制
[发作现象]:
电脑开机时会自动弹出记事本,会生成wincfgs.exe、KB20060111.exe等文件
[行为分析]:
1. 在注册表中创建USBSpyRunMutex互斥量,避免重复感染。
2. 在系统中生成
C:\%system%\wincfgs.exe(系统、隐藏、只读属性)
C:\%WINDOWS%\KB20060111.exe(大小66,560 字节,非病毒,是记事本程序)
3. 在注册表中添加:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load=“C:\windows\system32\wincfgs.exe”
4. 在移动设备中生成RECYCLER\RECYCLER目录和autorun.inf,在这个目录下生成autorun.exe、desktop.ini。
autorun.inf的内容:
[autorun]
open=.\RECYCLER\RECYCLER\autorun.exe
shell\1=Open
shell\1\Command=.\RECYCLER\RECYCLER\autorun.exe
shell\2\=Browser
shell\2\Command=.\RECYCLER\RECYCLER\autorun.exe
shellexecute=.\RECYCLER\RECYCLER\autorun.exe
autorun.exe同wincfgs.exe
desktop.ini的内容:
[.ShellClassInfo]
CLSID={645FF040-5081-101B-9F08-00AA002F954E}
由此可见,当含有病毒的移动设备接入电脑时,蠕虫会被自动运行。
开机弹出的记事本便是这个KB20060111.exe文件了,诱发这个KB20060111.exe的启动可能不是常规启动项,而是wincfgs.exe这个文件启动(呼叫)KB20060111.exe文件的。就是说KB20060111.exe这个文件并非病毒或者Joke程序本身,其实KB20060111.exe就是一个记事本程序(这也就是为什么KB20060111.exe文件的图标也是一个记事本程序的图标的缘故)。另外没有清理wincfgs.exe的计算机再次接入一个干净的移动存储设备可能会再次传染这个移动存储设备。
[修改办法]
1、修改注册表
a.运行“regedit”启动注册表编辑器;
b.分别删除注册表项
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
下的Load注册表键里的键值内容。
不放心的话可以搜索“wincfgs.exe”的注册表键并删除之
2、删除文件
%SystemRoot%\system32\wincfgs.exe
%SystemRoot%\KB20060111.exe
3移动存储设备:
连接好USB后,打开我的电脑,点右键选择打开(不要直接点击打开或点“open”),然后打开菜单栏的"工具"->"文件夹选项"->"查看",去掉“隐藏受保护的系统文件(推荐)”前面的勾。删除掉优盘里面的desktop.ini,wincfgs.exe和autorun.inf
移动硬盘的手动删除每个盘符下面的desktop.ini,wincfgs.exe和autorun.inf文件。。
还有个方便的方法 批处理删除注册表修改:
***下面文字到记事本,另存为“Wincfgs_kill.bat”(注意保存时选择文件类型为“所有文件”)
echo off
tskill KB20060111
tskill wincfgs
del %windir%\kb20060111.exe
del %windir%\system32\wincfgs.exe
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v "load" /f
reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v "load" /t REG_SZ /d "" /f
然后运行,完毕后重启电脑
本帖最近评分记录:
风云币:10(cai504)
学习病毒分析的地方
http://hi.baidu.com/teyqiu
http://hi.baidu.com/nslog
顶端
Posted: 2007-01-13 17:52 |
1 楼
帖子浏览记录
版块浏览记录
快速跳至
>> ≡ 技术大区 ≡
|- 『 应用交流 』
|- 『 原创教程 』
|- 『 类Unix讨论区 』
|- 『 求助专区 』
|- 『问答调研专区』
|- 『 硬件交流 』
>> 问答调研专区
|- 『 灌水乐园 』
|- *自曝*
|- *风云婚介*
|- 『 交易投诉区 』
|- 『 市场交流区 』
|- 『 高级交易区 』
|- 『 市场劳务区 』
|- 『 游戏动漫 』
|- 『 BT资源交流 』
|- 『 心情驿站 』
|- *菠菜存档*
>> ≡ AD大区 ≡
|- 『 非常AD区 』
|- 『 论坛收集区 』
|- 『 资源补档区 』
|- 『 AD原创区 』
|- 『 新坛宣传秀 』
>> ≡ 论坛服务区 ≡
|- 『 公告建议区 』
|- 『 活动宣传区 』
|- 『 意见与建议区 』
|- 『 交易币用户区 』
|- 『 风云档案馆 』
|- 『 会员服务区 』
|- 『 游客自荐区 』
|- 『 管理、勋章申请区 』
|- 『 个人资料服务区 』
>> ≡ 历史存档区 ≡
风云小站
»
『 求助专区 』
感谢,曾经的版主
Total 0.011174(s) query 7, Time now is:01-09 14:48, Gzip enabled
渝ICP备20004412号-1
Powered by
PHPWind
v6.3.2
Certificate
Code © 2003-07
PHPWind.com
Corporation
Skin by
Chen Bo