快捷方式病毒的解决方法

所有文件夹都变成1KB文件夹快捷方式病毒的解决方法2009-12-12 13:12病毒说明： 此病毒是这样运行的。 通过AutoRun.inf指向*********.vbs这个脚本文件，来自动运行病毒，感染全部磁盘根目录，这些目录变成快捷方式，再指向那个vbs文件，以后要预防这种病毒 就是要禁用系统的自动运行功能。

此毒中招后的一个显著特征是：硬盘各个分区原有的正常文件夹被隐藏，代之以1KB的同名文件夹.lnk文件。误点击这些假冒文件夹后，病毒被激活。这是个.vbs＋数据流双料病毒。

一 系统设置的更改

1 系统文件关联修改 txt,ini,inf,bat,cmd,reg,chm,hlp可能还有其他（当你打开这些文件的时候，相当于执行了一遍病毒）

eg：

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\batfile\shell\open\command

%SystemRoot%\System32\WScript.exe "C:\WINDOWS\explorer.exe:.vbs" %1 %*

2 我的电脑打开方式被修改（双击我的电脑，同样相当于执行了一遍病毒）

eg：

HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\open\command\

%SystemRoot%\System32\WScript.exe "C:\WINDOWS\explorer.exe:.vbs" OMC

HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\explore\command

%SystemRoot%\System32\WScript.exe "C:\WINDOWS\explorer.exe:.vbs" EMC

3 修改IE关联（原来挟持IE主页的方法，被此病毒用来启动自己）

eg：

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications\iexplore.exe\shell\open\command

%SystemRoot%\System32\WScript.exe "C:\WINDOWS\explorer.exe:.vbs" OIE

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenH

omePage\Command

%SystemRoot%\System32\WScript.exe "C:\WINDOWS\explorer.exe:.vbs" OIE

二 添加文件，主要是数据流文件到系统文件：（绕过安全软件的启动项目扫描，同时普通用户很难清除）

eg

%sys32%\smss.exe －－－C:\WINDOWS\system32\smss.exe:.vbs

%windir%\explorer.exe－－－C:\WINDOWS\explorer:.vbs

%SystemRoot%\system\svchost.exe－－－C:\WINDOWS\system\svchost.exe 此文件本质上就是wscript.exe，可以删除

三 病毒启动项目（这是病毒使用的常规启动项目，其实它不需要的）

HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\Load

%SystemRoot%\system\svchost.exe "C:\WINDOWS\system32\smss.exe:.vbs"

四 隐藏系统目录文件夹，并创建一个快捷方式指向原文件夹（这招毒啊，相当于windows之类的目录也会中毒）

五 其他（欺负其他杀毒软件，保护自己,恶作剧等）

其他还包括创建保护进程（%SystemRoot%\system\svchost.exe)反复保护自己，通过NTSD命令结束某些进程

此毒还有一个特点：如果仅仅删除了各分区根目录下的病毒文件.vbs、删除了system目录下的svchost.exe（实为系统程序wscript.exe）、删除了被病毒改写过的系统程序smss.exe（用备份替换）、删除了病毒创建的所有.lnk，当你双击“我的电脑”时，病毒又复活了。如果用“软件限制策略”的散列规则禁止wscript.exe运行，则双击我的电脑后系统报错，自然不能通过正常途径打开各个分区及各级目录。

解决方法：

方法一：

1、光盘启动，重装系统，不动除C盘外的其它盘。完成后不要做任何其它操作。（如果C盘、桌面有重要文件，请先备份）

2、关闭所有驱动器的自动运行功能，这步非常重要。

在组策略中将自动运行这项功能关掉：在"运行"中输入"gpedit.msc"打开组策略，依次展开"计算机配置->管理模板->系统"，在右边找到"关闭自动播放"双击打开，选择"已启用"，在"关闭自动播放"下拉列表中选择"所有驱动器"，单击确定即可。

在每个盘的根目录下面建一个文件夹,重命名为"autorun.inf",将其属性设为隐藏,也能起到一定的预防作用(可以防止一般的病毒创建autorun.inf这个文件).

3、用点击右键打开的方法，打开其它盘，就能看到快捷方式和病毒，这些全部删掉。(千万不要因为好奇或失误双击啊，不然系统就白装了)

4、到这个网站：http://www.rensoft.com.cn/zhuansha/kill_folder.html 下载这个专杀工具可恢复所有被隐藏的内容。

方法二：不用重装系统也能彻底清除此病毒的方法，操作比较专业。是windows PE下把所有vbs结尾的文件都删掉包括所有显示的快捷方式，病毒的问题就可以解决了！！很管用的，大家遇到这种情况可以试试！用光盘进winpe（如果硬盘上装有winpe则开机时选择进入winpe即可），搜索*.vbs（*表示任意文件名），将搜索出来的结果全部删除。

用Tiny，将wscript.exe由信任组转入特殊组，设置文件访问及注册表访问规则，禁止非信任组程序的文件创建及注册表改写动作，然后，再双击“我的电脑”，此毒不能复活，且“我的电脑”以及各级目录可以顺利打开。

方法三：手工彻底杀灭此毒的流程应该是：

1、先打开C:\windows\system32\和C:\windows\system32\dllcache目录。然后在组策略中用散列规则禁止WSCRIPT.EXE运行。

2、用IceSword禁止进程创建。结束WSCRIPT.EXE和windows\system\svchost.exe进程。

3、删除所有分区根目录下的.vbs和autorun.inf。删除windows\system\svchost.exe

4、删除硬盘各个分区中所有1KB的.lnk

5、将WINDOWS目录下的EXPLORER.EXE和系统目录下的SMSS.EXE移动到U盘或FAT32分区的硬盘分区（自动脱毒）。

6、删除WINDOWS目录下以及dllcache目录下的EXPLORER.EXE、%system%目录以及dllcache目录下的smss.exe（被病毒附加了数据流）。

7、取消”禁止进程创建“。将刚才移动到FAT32分区（或U盘）的那个EXPLORER.EXE和smss.exe移回系统目录以及dllcache目录。

8、修改注册表，显示被隐藏的正常文件夹。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL

"CheckedValue"=dword:00000001

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN

"CheckedValue"=dword:00000002

9、删除病毒加载项：

展开HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows 删除load键值项的数据。

方法四：

1、在安全模式下启动，删除有关“smss”及“vba”的启动项！

2、用WINDOWS PE启动（没有PE就用安全模式似乎也可以，未做仔细测试），

将搜索出来的所有“.VBS”、以及“smss*.vbs”文件删除，有的在资源管理器中看不到到winrar中

删除即可！

3、删除所有以文件夹命名的快捷方式（该病毒目前不传染子文件夹）

4、有的变种修改了“c:\windows\explorer.exe”及“c:\windows\system32\smss.exe”文件， 最好到同样版本系统的机器上将这两个文件复制回来，没有相同版本的文件不复制应该也可以。

5、利用“kill_folder2.11”这个软件恢复所有被隐藏的文件夹

6、在注册表中删除所有有关“:.vba”的值中的“:.vba”字符！

方法五：

建立一个批处理文件：

del -f c:\*.lnk

del -f d:\*.lnk

del -f e:\*.lnk

del -f f:\*.lnk

del -f g:\*.lnk

del -f h:\*.lnk

然后保存为bat格式的文件。然后双击运行。然后找个u盘copy个usbclear 和foldercure,先用

foldercure从u盘启动杀毒。即可。

最近从网上看到有的网友用文件夹图标病毒专杀软件FolderCure查杀一遍后，将所有硬盘里快捷方式的图标文件和文件夹全部删除，重启计算机，病毒清除就完成了。我没有试过不知道效果如何，有兴趣的网友可以试试。

u盘快捷方式病毒查杀软件

[ 录入者:fzs | 时间:2010-10-20 23:00:34 | 作者:无名 | 来源: | 浏览:157次 ]

1KB文件夹快捷方式病毒清除专用附件包含下面几部分。

1、自动化清除脚本

2、清理工具

3、恢复文件夹属性工具

首先使用“自动化清除脚本程序”清除系统内此病毒。

————————————————————————

如果“自动化清除脚本程序”清除无效。

请使用“清理工具”清理系统，并重启电脑即可。

然后用“恢复文件夹属性工具”恢复被隐藏的各盘文件夹。

全部内附说明图。

清理工具执行的程序行为如下：

点击“开始处理”后，程序将执行：

1、结束系统内如下进程：

%SystemRoot%\system\svchost.exe

%SystemRoot%\SYSTEM32\wscript.exe

（注意是%SystemRoot%\system\svchost.exe进程，不

是%SystemRoot%\system32\svchost.exe进程）

2、接下来删除以下文件：

删除%SystemRoot%\system\svchost.exe

删除C:\盘至Z:\盘的根目录下的Autorun.inf文件

删除C:\盘至Z:\盘的根目录下的*.vbs文件

删除C:\盘至Z:\盘的根目录下的*.lnk文件

（注意，本程序为了清除磁盘根目录下那些被恶搞出来大量的文件夹快捷方式，只能采取删除所有盘根目录下的*.lnk快捷方式的办法了。如果你有其他文件的快捷方式在磁盘根目录下，将会一并删除，但是本程序的“备份文件夹Backup”内有备份的被删除的东西，自己找找恢复即可。）

3、扫描系统盘所有*.exe文件执行数据流清除，此时清除的是附加在系统文件上的数据流。并同时搜索全机指定大小的*.vbs文件删除，这个可能导致误删除正常的vbs文件，可以自己查看扫描结束后的日志。

4、删除注册表内被病毒恶搞的项目，此项目能支持被恶搞的系统在双击“我的电脑”时继续启动附加入桌面程序的那数据流病毒。

5、恢复注册表内load项目的默认空值。

6、修复相关文件关联，不能完美修复，但是将就够了，想完美修复的，找些其他工具试吧，一并修复如下项目：

修复IE主页（这并不是主页被修改，而是这可以同步修复打开IE也启动数据流病毒的问题）

禁用系统自动播放

****************************************

恢复文件夹属性工具，用来最后恢复各盘内根目录下被隐藏的大量文件夹，看说明图以及

说明文件自己正确操作。

注意，本程序修复文件关联那一步不能修复全部被改的文件关联 请事后去这里下载SRENG工具

http://www.kztechs.com/sreng/download.html

在SRENG工具》系统修复》文件关联》修复文件关联 如果有疑问或清除不了的情况，请去卡卡论坛发贴询问： http://bbs.ikaka.com/showforum-28.aspx

这贴是附件首发贴：

http://bbs.ikaka.com/showtopic-8665656.aspx

日

天月来了 2010年2月28