昨天到投資學(xué)老師那拷了個(gè)課件，結(jié)果中了此毒。。T。T。。大意啊大意。。
用360和小紅傘折騰了半天，完全沒(méi)用。任務(wù)管理器里Global.exe，F(xiàn)onts.exe和kayboard.exe這三個(gè)進(jìn)程怎么也禁止不了。。。
今天找到這個(gè)方法，按照文里說(shuō)的做了，確實(shí)有用，收藏之。
--------------------------以下為轉(zhuǎn)載-----------------------------------
發(fā)信人: MaaJiaa (水泡..), 信區(qū): Virus
標(biāo) 題: 新·打印店病毒Global.exe解決傻瓜版
發(fā)信站: 日月光華 (2008年06月16日02:33:07 星期一), 站內(nèi)信件
根據(jù)StriGes的測(cè)試報(bào)告整理的傻瓜版，大家一起撒花贊StriGes~~~~//bow
之前的那篇漏了太多內(nèi)容，
尤其是這個(gè)開(kāi)關(guān)機(jī)腳本C:\WINDOWS\Cursors\Boom.vbs
和病毒本體C:\WINDOWS\Help\microsoft.hlp
這兩個(gè)都是用SREng掃描檢查不出的項(xiàng)，卻也是病毒最關(guān)鍵的兩個(gè)東西
因此之前寫(xiě)的作廢...
晚上在春暉門(mén)口靠小賣部那家打印店采樣回來(lái)測(cè)試完畢。
卡巴斯基病毒庫(kù)08-06-16 15:08:05 掃描U盤(pán)并不報(bào)毒，
只有激活病毒以后才會(huì)根據(jù)病毒的行為判斷而報(bào)警（激活以后就難以干掉了）
【中毒癥狀】
1. U盤(pán)文件夾“消失”，被同名的exe文件“替代”，
2. 無(wú)法切換中文輸入法
3. 開(kāi)機(jī)/關(guān)機(jī)的速度變得很慢（因?yàn)橐虞d病毒腳本）
4. 進(jìn)程中有Global.exe和Fonts.exe，結(jié)束進(jìn)程馬上自動(dòng)恢復(fù)
5. 各個(gè)硬盤(pán)分區(qū)根目錄下多出來(lái)autorun.inf和MS-DOS.com，用WinRAR或者7-zip之類軟件可以看到，普通方式查看不到。
6. 其他一些不明顯的癥狀...
【解決方法】
1. 用XDelBox刪除以下文件（右鍵剪貼板導(dǎo)入不檢查路徑）：
C:\WINDOWS\pchealth\Global.exe
C:\WINDOWS\pchealth\helpctr\binaries\HelpHost.com
C:\WINDOWS\system\KEYBOARD.exe
C:\WINDOWS\Help\microsoft.hlp
C:\WINDOWS\system32\regedit.exe
C:\WINDOWS\system32\drivers\drivers.cab.exe
C:\WINDOWS\system32\dllcache\autorun.inf
C:\WINDOWS\system32\dllcache\Default.exe
C:\WINDOWS\system32\dllcache\svchost.exe
C:\WINDOWS\system32\dllcache\Global.exe
C:\WINDOWS\system32\dllcache\tskmgr.exe
C:\WINDOWS\system32\dllcache\explorer.exe
C:\WINDOWS\system32\dllcache\rndll32.exe
C:\WINDOWS\system32\dllcache\Recycler.{645FF040-5081-101B-9F08-00AA002F954E}\system.exe
C:\WINDOWS\system32\dllcache\Recycler.{645FF040-5081-101B-9F08-00AA002F954E}\Global.exe
C:\WINDOWS\system32\dllcache\Recycler.{645FF040-5081-101B-9F08-00AA002F954E}\svchost.exe
C:\WINDOWS\Fonts\tskmgr.exe
C:\WINDOWS\Fonts\Fonts.exe
C:\WINDOWS\Media\rndll32.pif
C:\WINDOWS\Cursors\Boom.vbs
以及各個(gè)硬盤(pán)分區(qū)下的
X:\Autorun.inf
X:\MS-DOS.com
以上list導(dǎo)入完畢之后，右鍵選擇立即重起刪除，
之后的關(guān)機(jī)過(guò)程可能要等待好幾分鐘的時(shí)間，甚至出現(xiàn)死機(jī)，可以強(qiáng)行關(guān)機(jī)重起。
重起刪除后，殘留的需要手動(dòng)清除的病毒尸體還有：
文件夾C:\WINDOWS\system32\dllcache\Recycler.{645FF040-5081-101B-9F08-00AA002F954E}
還有病毒創(chuàng)建的一個(gè)可能文件名不確定的.tmp文件（整個(gè)Temp可以清空）
C:\Documents and Settings\當(dāng)前用戶名\Local Settings\Temp\~DF****.tmp
2. 將以下分割線之間的內(nèi)容復(fù)制到記事本，保存為擴(kuò)展名為.reg的文件，
然后運(yùn)行“regedt32”
選擇文件--導(dǎo)入，導(dǎo)入剛剛保存的.reg文件。
=============== .reg開(kāi)始的分割線 ===============
Windows Registry Editor Version 5.00
; 以分號(hào)開(kāi)頭的行為注釋的廢話
; 清除病毒屏保
[HKEY_CURRENT_USER\Control Panel\Desktop]
"ScreenSaveTimeOut"="600"
"SCRNSAVE.EXE"=-
"AutoEndTasks"="0"
; 修復(fù)文件關(guān)聯(lián)
[HKEY_CLASSES_ROOT\MSCFile\Shell\Open\Command]
@="%SystemRoot%\system32\mmc.exe \"%1\" %*"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MSCFile\Shell\Open\Command]
@="%SystemRoot%\system32\mmc.exe \"%1\" %*"
[HKEY_CLASSES_ROOT\regedit\shell\open\command]
@="regedit %1"
[HKEY_CLASSES_ROOT\regfile\shell\open\command]
@="regedit \"%1\""
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\regedit\shell\open\command]
@="regedit %1"
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\regfile\shell\open\command]
@="regedit \"%1\""
; 刪除開(kāi)關(guān)機(jī)腳本
[-HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System\Scripts]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System\Scripts]
; 恢復(fù)顯示com和exe的擴(kuò)展名
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\comfile]
"NeverShowExt"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile]
"NeverShowExt"=-
; 清除啟動(dòng)項(xiàng)
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
@=-
"C:\WINDOWS\system\KEYBOARD.exe"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
@=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"sys"=-
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]
@=-
; 清除映像劫持
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ctfmon.exe]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\boot.exe]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\autorun.exe]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\autoruns.exe]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\auto.exe]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\procexp.exe]
; 恢復(fù)顯示系統(tǒng)文件選項(xiàng)相關(guān)
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"ShowSuperHidden"=dword:00000000
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden]
"ValueName"="ShowSuperHidden"
; MUICache有什么用不大清楚，這一堆似乎不重要
[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"C:\WINDOWS\system32\dllcache\Recycler.{645FF040-5081-101B-9F08-00AA002F954E}\Global.exe"=-
"C:\WINDOWS\system32\dllcache\Recycler.{645FF040-5081-101B-9F08-00AA002F954E}\svchost.exe"=-
"C:\WINDOWS\system32\dllcache\Recycler.{645FF040-5081-101B-9F08-00AA002F954E}\system.exe"=-
"C:\WINDOWS\system32\dllcache\Default.exe"=-"C:\WINDOWS\Fonts\Fonts.exe"=-
; 不知道Global在干什么
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components#CONTENT#]
@=""
"Source"=-
"SubscribedURL"=-
"FriendlyName"=-
"Flags"=-
"Position"=-
"CurrentState"=-
"OriginalStateInfo"=-
"RestoredStateInfo"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components]
"DeskHtmlVersion"=-
"Settings"=-
"GeneralFlags"=-
; 還是不知道在干什么
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system]
"DisableStatusMessages"=-
; 清除殘留信息
[-HKEY_CURRENT_USER\Software\VB and VBA Program Settings]
[-HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
=============== .reg 完畢的分割線 ===============
4. 建議運(yùn)行“sigverif”檢查文件的數(shù)字簽名，如果有未經(jīng)簽名驗(yàn)證的文件，
從別人的機(jī)器上拷一個(gè)過(guò)來(lái)覆蓋原文件。
?。P(guān)于explorer.exe被替換的問(wèn)題，參考snowflurry發(fā)的那篇帖子）
附我用的有點(diǎn)麻煩的方法：
我發(fā)現(xiàn)我的explorer.exe被替換，
于是我打開(kāi)任務(wù)管理器，結(jié)束explorer.exe的進(jìn)程，
然后任務(wù)管理器--文件--新建任務(wù)--瀏覽，
找到C:\WINDOW\explorer.exe刪除，
再找到從別人那里拷過(guò)來(lái)的正確的explorer.exe
將它復(fù)制到C:\WINDOWS下面，選中打開(kāi)--確定。
5. 防毒從養(yǎng)成良好的U盤(pán)使用習(xí)慣開(kāi)始，推薦閱讀《U盤(pán)使用Tips總結(jié)》
6. 對(duì)于U盤(pán)里面“消失不見(jiàn)”的文件夾，可以運(yùn)行（其中X為U盤(pán)盤(pán)符）：
attrib -s -h -r X:\* /s /d
--------------------能對(duì)志同道合者有所幫助-------------------------
