Question

电脑开机总出现记事本是怎么回事呀

Answer 1

分类: 电脑/网络 >> 硬件
解析:

开机自动打开记事本的解决方法

最近我的两个同学的本本相继出现开机自动打开记事本的状况，觉得蹊跷上网找了下这是方法，绝对管用！每次开机，都会弹出一个空白记事本（但是运行msconfig启动项，又没的提示加载记事本）。虽然没多大影响，但感觉肯定是有问题。偶移动硬盘(或优盘)插到USB口时，点击盘符进入时，也会弹出空白记事本。随后，瑞星注册表监控程序显示将修改为“HKEY_CURRENT_USER\Sofare\Microsoft\Windows\ShellNoRoam\MUICache

C:\windows\system32\wincfgs.exe”。

会在每个磁盘根目录下面生成一个desktop.ini(移动设备有的会创建autorun.inf).

解决方法：（可到这里下载批处理附件－－解决开机自动打开记事本，直接一次解决）

1.批处理删除注册表修改：

复制下面文字到记事本，另存为“Wincfgs_kill.bat”（注意保存时选择文件类型为“所有文件”）

echo off

tskill KB***********

tskill wincfgs

del %windir%\kb***********.exe

del %windir%\system32\wincfgs.exe

reg delete "HKEY_CURRENT_USER\Sofare\Microsoft\Windows NT\CurrentVersion\Windows" /v "load" /f

reg add "HKEY_CURRENT_USER\Sofare\Microsoft\Windows NT\CurrentVersion\Windows" /v "load" /t REG_SZ /d "" /f

2.移动设备解决方法(以优盘为例)：

连接好USB后，打开我的电脑，点右键选择打开（不要直接点击打开或点“open”）,然后打开菜单栏的"工具"->"文件夹选项"->"查看"，去掉“隐藏受保护的系统文件(推荐)”前面的勾。删除掉优盘里面的desktop.ini，wincfgs.exe和autorun.inf

移动硬盘的手动删除每个盘符下面的desktop.ini，wincfgs.exe和autorun.inf文件。 另外一种手动解决方法传播途径：U盘等移动存储危害性：暂无破坏性，只是开机跳出记事本，杀毒软件不能查出病毒。

手动删除方法：

用任务管理器或者木马杀客或者HijackThis结束wincfgs进程，

删除C:\WINDOWS\KB***********.exe（也许文件名不同，和记事本一样的蓝色图标）

和C:\windows\system32\wincfgs.exe（黄色问号图标的隐藏系统文件）。

开始－运行－regedit，进入注册表，搜索注册表删除wincfgs.exe

比如删除注册表以下项/子项：没有的话当然不用删除了！！！

HKEY_CURRENT_USER\Sofare\Microsoft\Windows\ShellNoRoam\MUICacheNcB)1Z

C:\WINDOWS\KB***********.exec>

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Load=b*DZs

再运行msconfig或者在[HKEY_CURRENT_USER\Sofare\Microsoft\Windows\CurrentVersion\Run]项清理开机启动项。 此现象是蠕虫行为，特此提醒广大网友警惕。

这个蠕虫目前绝大多数的主流杀毒软件都可以查杀，请发现此现象的朋友升级杀毒软件进行杀毒！

以下是对此蠕虫做的一些简单分析：蠕虫名称：Worm.Win32.Delf.aj（AVP）

蠕虫别名：Trojan.Spy.U *** Spy.a（瑞星）、TrojanSpy.USBSpy.a（江民）

蠕虫大小：47,104字节

加壳方式：UPX

MD5：07adddef653a702b9a11edbcee07e82b

CRC32：100A382A

发作现象：

电脑开机时会自动弹出记事本，会生成wincfgs.exe、KB***********.exe等文件

行为分析：

1. 在注册表中创建USBSpyRunMutex互斥量，避免重复感染。

2. 在系统中生成

C:\%system%\wincfgs.exe（系统、隐藏、只读属性）

C:\%WINDOWS%\KB***********.exe（大小66,560 字节，非病毒，是记事本程序）

3. 在注册表中添加：

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

Load ＝“C:\windows\system32\wincfgs.exe”

4. 在移动设备中生成RECYCLER\RECYCLER目录和autorun.inf，在这个目录下生成autorun.exe、desktop.ini。

autorun.inf的内容：

[autorun]

open=.\RECYCLER\RECYCLER\autorun.exe

shell\1=Open

shell\1\Command=.\RECYCLER\RECYCLER\autorun.exe

shell\2\=Browser

shell\2\Command=.\RECYCLER\RECYCLER\autorun.exe

shellexecute=.\RECYCLER\RECYCLER\autorun.exe

autorun.exe同wincfgs.exe

desktop.ini的内容：

[.ShellClassInfo]

CLSID={645FF040-5081-101B-9F08-00AA002F954E}

由此可见，当含有病毒的移动设备接入电脑时，蠕虫会被自动运行。