湘潭网站建设湘潭振企专业,代码高亮wordpress,wordpress三栏cms主题,株洲网站开发系统症状每次双击盘符出现一个新窗口windows任务管理器出现了一个Excel的程序鼠标右键点盘符出现Auto字样无法显示隐藏文件无法 取消或者钩选 隐藏已知文件类型的扩展名 样本信息File size: 49152 bytes MD5: d88f7c6c15585404c30c92a11c429c36 SHA1: af2120915a1e… 系统症状每次双击盘符出现一个新窗口windows任务管理器出现了一个Excel的程序鼠标右键点盘符出现Auto字样无法显示隐藏文件无法 取消或者钩选 隐藏已知文件类型的扩展名 样本信息File size: 49152 bytes MD5: d88f7c6c15585404c30c92a11c429c36 SHA1: af2120915a1eeada68f62ab437ccb0c563675f3e 文件属性为隐藏样本命名Kaspersky--Trojan.Win32.VB.atg瑞星--Trojan.VB.vtj样本分析注册表中添加HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run[ASocksrv]SocksA.exeHKCU\Software\Microsoft\Windows\CurrentVersion\Run[BSserver]FileKan.exe修改注册表HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL[CheckedValue] 被清空..HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt[UncheckedValue] 被修改为 1释放文件C:\Documents and Settings\mopery\Local Settings\Temp\~DF8785.tmpC:\Documents and Settings\mopery\Local Settings\Temp\~DFD1D6.tmpC:\WINDOWS\system32\algsrv.exeC:\WINDOWS\system32\FileKan.exeC:\WINDOWS\system32\SocksA.exeC:\windows\ufdata2000.log每个盘符下释放AUTORUN.INFtel.xls.exeAUTORUN.INF文件内容[AutoRun]opentel.xls.exeshellexecutetel.xls.exeshell\Auto\commandtel.xls.exeshellAuto[VVflagRun]aabbkdkfjdkf解决方案1.Ctrl Alt Del 打开任务管理器 结束应用程序中的Excel2. 删除文件C:\Documents and Settings\mopery\Local Settings\Temp\~DF8785.tmpC:\Documents and Settings\mopery\Local Settings\Temp\~DFD1D6.tmpC:\WINDOWS\system32\algsrv.exeC:\WINDOWS\system32\FileKan.exeC:\WINDOWS\system32\SocksA.exeC:\windows\ufdata2000.log3. 删除注册表HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run[ASocksrv]SocksA.exeHKCU\Software\Microsoft\Windows\CurrentVersion\Run[BSserver]FileKan.exe4.恢复显示所有的文件项开始运行regedit找到HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL删除 CheckedValue 键值 然后单击右键新建 - Dword值并命名为CheckedValue,然后修改它的键值为1HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt[UncheckedValue] 双击 从 1 改回 05.右键打开进入每个盘符 依次删除每个盘符里的文件AUTORUN.INFtel.xls.exe 转载于:https://blog.51cto.com/sally/14544
