|
系统症状 每次双击盘符出现一个新窗口 windows任务管理器出现了一个Excel的程序 鼠标右键点盘符出现"Auto"字样 系统症状 每次双击盘符出现一个新窗口 windows任务管理器出现了一个Excel的程序 鼠标右键点盘符出现"Auto"字样  无非显示隐藏文件 无法隐藏已知文件类型的扩展名 样本信息 File size: 49152 bytes MD5: d88f7c6c15585404c30c92a11c429c36 SHA1: af2120915a1eeada68f62ab437ccb0c563675f3e 文件属性为隐藏 样本命名 Kaspersky--Trojan.Win32.VB.atg 瑞星--Trojan.VB.vtj 样本分析 注册表中添加 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [ASocksrv]SocksA.exe HKCU\Software\Microsoft\Windows\CurrentVersion\Run [BSserver]FileKan.exe 修改注册表 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL [CheckedValue] 被清空.. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt [UncheckedValue] 被修改为 1 释放文件 C:\Documents and Settings\mopery\Local Settings\Temp\~DF8785.tmp C:\Documents and Settings\mopery\Local Settings\Temp\~DFD1D6.tmp C:\WINDOWS\system32\algsrv.exe C:\WINDOWS\system32\FileKan.exe C:\WINDOWS\system32\SocksA.exe C:\windows\ufdata2000.log 每个盘符下释放 AUTORUN.INF tel.xls.exe AUTORUN.INF文件内容 [AutoRun] open=tel.xls.exe shellexecute=tel.xls.exe shell\Auto\command=tel.xls.exe shell=Auto [VVflagRun] aabb=kdkfjdkf 解决方案 1.Ctrl + Alt + Del 打开任务管理器 结束应用程序中的Excel  2. 删除文件 C:\Documents and Settings\mopery\Local Settings\Temp\~DF8785.tmp C:\Documents and Settings\mopery\Local Settings\Temp\~DFD1D6.tmp C:\WINDOWS\system32\algsrv.exe C:\WINDOWS\system32\FileKan.exe C:\WINDOWS\system32\SocksA.exe C:\windows\ufdata2000.log 3. 删除注册表 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [ASocksrv]SocksA.exe HKCU\Software\Microsoft\Windows\CurrentVersion\Run [BSserver]FileKan.exe 4.恢复显示所有的文件项 开始=>运行=>regedit找到HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL单击右键"新建" - "Dword值"，并命名为CheckedValue,然后修改它的键值为1 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt [UncheckedValue] 双击 从 1 改回 0 5.右键=>打开进入每个盘符 依次删除每个盘符里的文件 AUTORUN.INF tel.xls.exe |