凯文博客

近来u盘病毒猖獗不已，成为病毒传播的由一新主流媒介。一种u盘病毒在宿舍间电脑流行开来……
病毒传播方式：u盘
特征：硬盘各个分区原有的正常文件夹被隐藏，代之以1KB的同名文件夹.lnk文件。误点击这些假冒文件夹后，病毒被激活。

原理：这是个.vbs＋数据流双料病毒。此.vbs比较有个性：运行一次后，其MD5发生改变。RIS2010便不再认识它了（据网友反馈：KIS也是一样——杀旧不杀新）；但病毒行为不变。
此毒还有一个特点：如果仅仅删除了各分区根目录下的病毒文件.vbs、删除了system目录下的svchost.exe（实为系统程序wscript.exe）、删除了被病毒改写过的系统程序smss.exe（用备份替换）、删除了病毒创建的所有.lnk，当你双击“我的电脑”时，病毒又复活了。如果用“软件限制策略”的散列规则禁止wscript.exe运行，则双击我的电脑后系统报错，自然不能通过正常途径打开各个分区及各级目录。

用Tiny，将wscript.exe由信任组转入特殊组，设置文件访问及注册表访问规则，禁止非信任组程序的文件创建及注册表改写动作，然后，再双击“我的电脑”，此毒不能复活，且“我的电脑”以及各级目录可以顺利打开。

方法：

附件: 1KB文件夹快捷方式病毒清除专用附件.rar

1KB文件夹快捷方式病毒清除专用附件包含下面几部分。

1、自动化清除脚本
2、NTFS系统盘专用清理工具清理工具和FAT32系统盘专用清理工具
3、恢复文件夹属性工具

首先使用“自动化清除脚本程序”清除系统内此病毒。
————————————————————————
如果“自动化清除脚本程序”清除无效。

请使用相应系统盘磁盘格式的“清理工具”清理系统，并重启电脑即可。然后用“恢复文件夹属性工具”恢复被隐藏的各盘文件夹。

全部内附说明图。

请使用前，一定要准确知道自己的系统盘是什么格式的，正确选择相应磁盘格式的清理工具清理。

清理工具执行的程序行为如下：

点击“开始处理”后，程序将执行：

1、结束系统内如下进程：

%SystemRoot%\system\svchost.exe
%SystemRoot%\SYSTEM32\wscript.exe

（注意是%SystemRoot%\system\svchost.exe进程，不是%SystemRoot%\system32\svchost.exe进程）

2、接下来删除以下文件：
删除%SystemRoot%\system\svchost.exe
删除C:\盘至Z:\盘的根目录下的Autorun.inf文件
删除C:\盘至Z:\盘的根目录下的*.vbs文件
删除C:\盘至Z:\盘的根目录下的*.lnk文件

（注意，本程序为了清除磁盘根目录下那些被恶搞出来大量的文件夹快捷方式，只能采取删除所有盘根目录下的*.lnk快捷方式的办法了。如果你有其他文件的快捷方式在磁盘根目录下，将会一并删除，但是本程序的“备份文件夹Backup”内有备份的被删除的东西，自己找找恢复即可。）

3、扫描系统盘所有*.exe文件执行数据流清除，此时清除的是附加在系统文件上的数据流。

fat32位的系统盘内的专用清理工具不扫描数据流，只能无奈的选择搜索全机指定大小的*.vbs文件删除，这个可能导致误删除正常的vbs文件，可以自己查看扫描结束后的日志。

4、删除注册表内被病毒恶搞的项目，此项目能支持被恶搞的系统在双击“我的电脑”时继续启动附加入桌面程序的那数据流病毒。

5、恢复注册表内load项目的默认空值。

6、修复相关文件关联，不能完美修复，但是将就够了，想完美修复的，找些其他工具试吧，一并修复如下项目：

修复系统文件夹选项那显示隐藏文件，显示系统文件的功能，以及显示文件扩展名 。

修复IE主页（这并不是主页被修改，而是这可以同步修复打开IE也启动数据流病毒的问题）

禁用系统自动播放

最后附件内的恢复文件夹属性工具，用来恢复各盘内根目录下被隐藏的大量文件夹，看说明图以及说明文件自己正确操作。

注意，本程序修复文件关联那一步不能修复全部被改的文件关联

请事后去这里下载SRENG工具

http://www.kztechs.com/sreng/download.html

在SRENG工具》系统修复》文件关联》修复文件关联

详情请见：http://bbs.ikaka.com/showtopic-8665656.aspx