电脑中病毒,文件夹全部变成了快捷方式如何处理

 我来答
匿名用户
2013-08-23
展开全部
表现:电脑里面所有的文件夹全部变成快捷方式了,卡巴和红伞都无法除掉。本来上面有快捷方式那个箭头的,点开之后就没有箭头分析: 此病毒是这样运行的。 通过AutoRun.inf指向*********.vbs这个脚本文件,来自动运行病毒,感染全部磁盘根目录,这些目录变成快捷方式,再指向那个vbs文件,以后要预防这种病毒 就是要禁用系统的自动运行功能。

此毒中招后的一个显著特征是:硬盘各个分区原有的正常文件夹被隐藏,代之以1KB的同名文件夹.lnk文件。误点击这些假冒文件夹后,病毒被激活。这是个.vbs+数据流双料病毒。

一 系统设置的更改

1 系统文件关联修改 txt,ini,inf,bat,cmd,reg,chm,hlp可能还有其他(当你打开这些文件的时候,相当于执行了一遍病毒)

eg:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\batfile\shell\open\command

%SystemRoot%\System32\WScript.exe "C:\WINDOWS\explorer.exe:.vbs" %1 %*

2 我的电脑打开方式被修改(双击我的电脑,同样相当于执行了一遍病毒)

eg:

HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\open\command\

%SystemRoot%\System32\WScript.exe "C:\WINDOWS\explorer.exe:.vbs" OMC

HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\explore\command

%SystemRoot%\System32\WScript.exe "C:\WINDOWS\explorer.exe:.vbs" EMC

3 修改IE关联(原来挟持IE主页的方法,被此病毒用来启动自己)

eg:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications\iexplore.exe\shell\open\command

%SystemRoot%\System32\WScript.exe "C:\WINDOWS\explorer.exe:.vbs" OIE

HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command

%SystemRoot%\System32\WScript.exe "C:\WINDOWS\explorer.exe:.vbs" OIE

二 添加文件,主要是数据流文件到系统文件:(绕过安全软件的启动项目扫描,同时普通用户很难清除)

eg

%sys32%\smss.exe ---C:\WINDOWS\system32\smss.exe:.vbs

%windir%\explorer.exe---C:\WINDOWS\explorer:.vbs

%SystemRoot%\system\svchost.exe---C:\WINDOWS\system\svchost.exe 此文件本质上就是wscript.exe,可以删除

三 病毒启动项目(这是病毒使用的常规启动项目,其实它不需要的)

HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\Load

%SystemRoot%\system\svchost.exe "C:\WINDOWS\system32\smss.exe:.vbs"

四 隐藏系统目录文件夹,并创建一个快捷方式指向原文件夹(这招毒啊,相当于windows之类的目录也会中毒)

五 其他(欺负其他杀毒软件,保护自己,恶作剧等)

其他还包括创建保护进程(%SystemRoot%\system\svchost.exe)反复保护自己,通过NTSD命令结束某些进程。

此毒还有一个特点:如果仅仅删除了各分区根目录下的病毒文件.vbs、删除了system目录下的svchost.exe(实为系统程序wscript.exe)、删除了被病毒改写过的系统程序smss.exe(用备份替换)、删除了病毒创建的所有.lnk,当你双击“我的电脑”时,病毒又复活了。如果用“软件限制策略”的散列规则禁止wscript.exe运行,则双击我的电脑后系统报错,自然不能通过正常途径打开各个分区及各级目录。解决办法:方法一:1、光盘启动,重装系统,不动除C盘外的其它盘。完成后不要做任何其它操作。(如果C盘、桌面有重要文件,请先备份)2、关闭所有驱动器的自动运行功能,这步非常重要。在组策略中将自动运行这项功能关掉:在"运行"中输入"gpedit.msc"打开组策略,依次展开"计算机配置->管理模板->系统",在右边找到"关闭自动播放"双击打开,选择"已启用",在"关闭自动播放"下拉列表中选择"所有驱动器",单击确定即可。在每个盘的根目录下面建一个文件夹,重命名为"autorun.inf",将其属性设为隐藏,也能起到一定的预防作用(可以防止一般的病毒创建autorun.inf这个文件).3、用点击右键打开的方法,打开其它盘,就能看到快捷方式和病毒,这些全部删掉。(千万不要因为好奇或失误双击啊,不然系统就白装了)4、到这个网站: http://bbs.ikaka.com/showtopic-8665656.aspx下载专杀工具可恢复所有被隐藏的内容。方法二:不用重装系统也能彻底清除此病毒的方法,操作比较专业。是windows PE下把所有vbs结尾的文件都删掉包括所有显示的快捷方式,病毒的问题就可以解决了!!很管用的,大家遇到这种情况可以试试!用光盘进winpe(如果硬盘上装有winpe则开机时选择进入winpe即可),搜索*.vbs(*表示任意文件名),将搜索出来的结果全部删除。用Tiny,将wscript.exe由信任组转入特殊组,设置文件访问及注册表访问规则,禁止非信任组程序的文件创建及注册表改写动作,然后,再双击“我的电脑”,此毒不能复活,且“我的电脑”以及各级目录可以顺利打开。方法三:手工彻底杀灭此毒的流程应该是:1、先打开C:\windows\system32\和C:\windows\system32\dllcache目录。然后在组策略中用散列规则禁止WSCRIPT.EXE运行。2、用IceSword禁止进程创建。结束WSCRIPT.EXE和windows\system\svchost.exe进程。3、删除所有分区根目录下的.vbs和autorun.inf。删除windows\system\svchost.exe4、删除硬盘各个分区中所有1KB的.lnk5、将WINDOWS目录下的EXPLORER.EXE和系统目录下的SMSS.EXE移动到U盘或FAT32分区的硬盘分区(自动脱毒)。6、删除WINDOWS目录下以及dllcache目录下的EXPLORER.EXE、%system%目录以及dllcache目录下的smss.exe(被病毒附加了数据流)。7、取消”禁止进程创建“。将刚才移动到FAT32分区(或U盘)的那个EXPLORER.EXE和smss.exe移回系统目录以及dllcache目录。8、修改注册表,显示被隐藏的正常文件夹。HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL"CheckedValue"=dword:00000001HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN"CheckedValue"=dword:000000029、删除病毒加载项:展开HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows删除load键值项的数据。方法四:1、在安全模式下启动,删除有关“smss”及“vba”的启动项!2、用WINDOWS PE启动(没有PE就用安全模式似乎也可以,未做仔细测试), 将搜索出来的所有“.VBS”、以及“smss*.vbs”文件删除,有的在资源管理器中看不到到winrar中删除即可!3、删除所有以文件夹命名的快捷方式(该病毒目前不传染子文件夹)4、有的变种修改了“c:\windows\explorer.exe”及“c:\windows\system32\smss.exe”文件, 最好到同样版本系统的机器上将这两个文件复制回来,没有相同版本的文件不复制应该也可以。5、利用“kill_folder2.11”这个软件恢复所有被隐藏的文件夹6、在注册表中删除所有有关“:.vba”的值中的“:.vba”字符!
北京瑞星信息技术股份有限公司
2013-08-22
北京瑞星信息技术股份有限公司
瑞星公司主营业务为信息安全整体解决方案的研发、销售及相关增值服务。公司自成立以来一直专注于信息安全领域,以优质的产品和专业的“安全+”服务,向政府、企业及个人提供各类安全服务,帮助所有用户。
向TA提问
展开全部
如果怀疑系统存在病毒,建议您安装瑞星杀毒软件V16版本升级到最新病毒库后进行病毒扫描查杀,下载地址:http://pc.rising.com.cn/
已赞过 已踩过<
你对这个回答的评价是?
评论 收起
匿名用户
2013-08-23
展开全部
在 电脑里搜下 系统恢复 把系统恢复到 中毒 的前一天 就OK ;了
已赞过 已踩过<
你对这个回答的评价是?
评论 收起
匿名用户
2013-08-23
展开全部
还原电脑吧,最好的最快的
已赞过 已踩过<
你对这个回答的评价是?
评论 收起
匿名用户
2013-08-23
展开全部
建议重装系统。
已赞过 已踩过<
你对这个回答的评价是?
评论 收起
收起 更多回答(3)
推荐律师服务: 若未解决您的问题,请您详细描述您的问题,通过百度律临进行免费专业咨询

为你推荐:

下载百度知道APP,抢鲜体验
使用百度知道APP,立即抢鲜体验。你的手机镜头里或许有别人想知道的答案。
扫描二维码下载
×

类别

我们会通过消息、邮箱等方式尽快将举报结果通知您。

说明

0/200

提交
取消

辅 助

模 式