[转帖]Infostealer.QQRob.A病毒处理

鱿鱼

          Infostealer.QQRob.A病毒处理

赛迪网技术社区 -> 赛门铁克专区 ->
 
http://bbs.tech.ccidnet.com/simple/index.php?t187469.html

病毒症状：
双击任何一个盘符打开都不能打开，通过点击盘符右键打开才可以。

病毒描述：
1.    打开任何一个硬盘分区后，诺顿都能发出警告并隔离该病毒的病毒文件：tel.xls.exe、SockSa.exe。
2.    系统文件以及隐藏文件通过修改查看属性后不能查看。
3.    病毒通过在每个磁盘分区根目录下产生一个autorun.ini文件，文件内容如下：
open=tel.xks.exe
。
。。
。。。

4.    进程里存在kill.exe、svch0st.exe。此情况下，删除autorun.ini失败，删除后仍然会产生新的文件。安全模式下删除没有问题。
解决办法：
1.    升级诺顿到最新病毒库。
2.    关闭系统还原后进入安全模式。
3.    按下面内容用文本保存出一个inf文件，运行后即可实现通过修改文件夹显示属性来查看系统文件和隐藏文件的内容。

[Version]
Signature="$Chicago$"
[DefaultInstall]
addreg=add
delReg=del
[del]
HKCU,Software\Microsoft\Windows\CurrentVersion\Policies\Explorer, NoFolderOptions
HKCU,Software\Policies\Microsoft\Windows
HKLM,SOFTWARE\Policies\Microsoft\Windows\CurrentVersion

[add]
HKCU,Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced, Hidden, 0x00010001, 1
HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL, CheckedValue, 0x00010001, 1

4.    全盘搜索并删除tel.xls.exe、SockSa.exe、kill.exe、svch0st.exe文件，并在注册表里搜索这些文件的注册表键值并清除。
5.    删除每个磁盘分区根目录下的autorun.ini文件。
6.    修改文件夹查看属性后重启即可。

jaifaim

赞：）

补充一点：通过ｕ盘传播的木马基本上都一个德行，创建ａｕｔｏｒｕｎ等来执行木马文件，所以大家要简单预防的话可以在自己的移动盘里创建一个ａｕｔｏｒｕｎ．ｉｎｉ的空文件，然后设为只读就好了。