fun.xls.exe U盘病毒的查杀

新客网 XKER.COM 2007-05-01 来源：收藏本文

fun.xls.exe 是 tel.xls.exe 的变种.
这个病毒目前应该有四个变种.. 今天把这个新变种的查杀方法也写写..

系统症状
每次双击盘符出现一个新窗口
鼠标右键点盘符出现"Auto"字样
无法显示隐藏文件

样本命名
瑞星暂不能查杀

样本分析
注册表中添加
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
[IMJPMIG8.2]msime82.exe{0x00}{0x00}{0x00}.
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
[MsServer]msfun80.exe{0x00}{0x00}{0x00}.

修改注册表
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
[CheckedValue] 被清空..

释放文件
C:\Documents and Settings\mopery\Local Settings\Temp\~DFA4C3.tmp
C:\Documents and Settings\mopery\Local Settings\Temp\~DFC86B.tmp
C:\WINDOWS\system32\algsrvs.exe
C:\WINDOWS\system32\msfun80.exe
C:\WINDOWS\system32\msime82.exe
C:\WINDOWS\ufdata2000.log
每个盘符下释放
AUTORUN.INF
fun.xls.exe

AUTORUN.INF文件内容
[AutoRun]
open=fun.xls.exe
shellexecute=fun.xls.exe
shell\Auto\command=fun.xls.exe
shell=Auto
[VVflagRun]
aabb=kdkfjdkfk1

解决方法
1.安全模式下.删除文件
C:\Documents and Settings\mopery\Local Settings\Temp\~DFA4C3.tmp
C:\Documents and Settings\mopery\Local Settings\Temp\~DFC86B.tmp
C:\WINDOWS\system32\algsrvs.exe
C:\WINDOWS\system32\msfun80.exe
C:\WINDOWS\system32\msime82.exe
C:\WINDOWS\ufdata2000.log

2.删除注册表
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
[IMJPMIG8.2]msime82.exe{0x00}{0x00}{0x00}.

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
[MsServer]msfun80.exe{0x00}{0x00}{0x00}.

3.恢复显示所有的文件项
开始=>运行=>regedit
找到HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL
删除 CheckedValue 键值然后单击右键"新建" - "Dword值"，并命名为CheckedValue,然后修改它的键值为1

4.右键=>打开进入每个盘符依次删除每个盘符里的文件
AUTORUN.INF
fun.xls.exe

标签：

顶一下

上一篇：移动安全之手机病毒入侵的解决
下一篇：U盘病毒和Autorun.inf文件分析

【收藏】【评论】【推荐】【投稿】【打印】【关闭】