病毒現(xiàn)象

1） 安全模式無法進(jìn)入。

2） 注冊(cè)表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下多出了許多劫持項(xiàng)，導(dǎo)致一些安全類軟件和工具無法打開。

圖1：Autorun.inf U盤病毒現(xiàn)象——眾多文件打開方式遭劫持

3） “文件夾選項(xiàng)”中原有的“隱藏受保護(hù)的操作系統(tǒng)文件（推薦）”選項(xiàng)消失。

圖2：Autorun.inf U盤病毒現(xiàn)象——“隱藏受保護(hù)的操作系統(tǒng)文件（推薦）”選項(xiàng)消失

4） 查看U盤中的文件，看似沒有任何異樣，但其實(shí)早已危機(jī)四伏。病毒將自己偽裝成隱藏的系統(tǒng)文件，并通過惡意手段刪除“文件夾選項(xiàng)”中的“隱藏受保護(hù)的操作系統(tǒng)文件（推薦）”欄目來達(dá)到徹底隱藏自己的目的。若是在不知情的情況下直接打開U盤，那么很遺憾，您計(jì)算機(jī)中所有磁盤都會(huì)中招。這種情況下我們就需要借助殺毒輔助工具找到隱藏的病毒文件。通過wsyscheck工具可以明顯看到U盤和系統(tǒng)C盤根目錄的兩個(gè)病毒文件oydiexc.exe和autorun.inf，這兩個(gè)文件若不借助輔助工具，只通過常規(guī)方法是看不到的。

圖3：通過wsyscheck工具可以查看到U盤根目錄下隱藏的病毒文件

圖4：通過wsyscheck工具可以查看到C盤根目錄下隱藏的病毒文件

殺毒輔助工具介紹

本次手工處理病毒所借助的工具是wsyscheck，該工具與上一篇文章介紹的XueTr功能類似，這里就不再贅述。為什么會(huì)突然換用wsyscheck呢？因?yàn)樗�的“文件管理”功能可以顯示出所選目錄下的所有文件和文件夾，且對(duì)于近期創(chuàng)建的可疑文件會(huì)以紅色字體突出顯示，若某些文件夾下近期被修改或創(chuàng)建了可疑文件，該文件夾的所有信息也會(huì)以特殊顏色（一般為紅色或藍(lán)色）顯示來引起注意，這對(duì)于盡快找到病毒文件非常有利。

處理方法

1） 利用wsyscheck工具找出并結(jié)束可疑進(jìn)程：rqtcrfo.exe和ccavblx.exe，為了保證計(jì)算機(jī)重啟后病毒文件不再生成，這里選擇將兩文件直接添加到重啟并刪除文件列表。

圖5：利用wsyscheck找到病毒進(jìn)程，并添加到“重啟并刪除列表”

2） 通過wsyscheck的“文件管理”功能，將上面已經(jīng)發(fā)現(xiàn)的C盤和E盤下兩個(gè)病毒文件oydiexc.exe和autorun.inf也一并發(fā)送到重啟并刪除文件列表。

圖6：利用wsyscheck找到C盤根目錄的病毒文件，并添加到“重啟并刪除列表”

圖7：利用wsyscheck找到U盤根目錄的病毒文件，并添加到“重啟并刪除列表”

3） 上述操作已將明顯地病毒文件處理掉，為了保險(xiǎn)起見，先不著急重啟計(jì)算機(jī)，我們?cè)僮鲞M(jìn)一步搜查，試著揪出隱藏更深的病毒文件。通過對(duì)文件夾的翻查，以文件創(chuàng)建時(shí)間為初步判斷是否為病毒的依據(jù)，最后可以確定的可疑文件有C:\Program Files\meex.exe，C:\Program Files\Common Files\Microsoft Shared\wjlarbn.inf，C:\Program Files\Common Files\System\ wjlarbn.inf，將這些文件全部發(fā)送到重啟并刪除文件列表中。

圖8：利用wsyscheck找到其他可疑病毒文件，并添加到“重啟并刪除列表”

4） 進(jìn)入wsyscheck的“安全檢查”—“重啟刪除文件”欄目，可以看到之前添加的所有需重啟刪除的病毒文件，點(diǎn)擊“執(zhí)行重啟刪除”執(zhí)行計(jì)算機(jī)的重啟操作。

圖9：查看待處理的文件，確保無誤，執(zhí)行重啟刪除操作

5） 計(jì)算機(jī)重啟后再借助wsyscheck查看，原有的病毒文件已不復(fù)存在。下面就要進(jìn)入殺毒后的“善后”流程了，點(diǎn)擊wsyscheck“工具”選項(xiàng)，依次選擇“修復(fù)隱藏文件顯示”和“修復(fù)安全模式”。

圖10：確認(rèn)病毒文件刪除后，修復(fù)受損的功能

進(jìn)入wsyscheck“安全檢查”—“常規(guī)檢查”欄目，查看右側(cè)“禁用程序管理”，一些安全軟件的被劫持項(xiàng)都在此列出，全部選中后點(diǎn)擊“允許程序運(yùn)行”去掉劫持項(xiàng)，再次重啟計(jì)算機(jī)。

6） 計(jì)算機(jī)重啟后，安全模式已可進(jìn)入，再回到正常模式下，打開“文件夾選項(xiàng)”，被病毒刪除的“隱藏受保護(hù)的操作系統(tǒng)文件（推薦）”欄目已可正常顯示，一些安全類軟件和工具也能正常運(yùn)行了。至此，該U盤病毒的手工處理過程全部完成。

圖12：處理完病毒重啟后，被病毒隱藏的選項(xiàng)恢復(fù)正常

總結(jié)

通過上述手工處理病毒的過程不難看出，病毒通過Autorun.inf文件激活oydiexc.exe進(jìn)程達(dá)到感染各個(gè)盤符、釋放其他病毒文件的目的，只要結(jié)束病毒進(jìn)程并找到所有病毒文件一次性刪除，重啟計(jì)算機(jī)后便會(huì)還你一個(gè)干凈的系統(tǒng)。掌握這種手工殺毒的思路后，處理方法其實(shí)大同小異，更多的是靈活運(yùn)用以及相關(guān)經(jīng)驗(yàn)。