在机房上网,极其容易造成因为一个人中毒的原因导致整个局域网都中招的连锁反应,这两天就碰见了一起"轻微"的中毒流行事件.
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
不知道从哪天开始,好多人都反应一开机就弹出个无标题的记事本,但是运行msconfig启动项版权保护，请不要随意复制^%#$32217)98sa。^_^，又没的提示加载记事本,移动硬盘(或优盘)插到USB口时版权保护，请不要随意复制^%#$32217)98sa。^_^，点击盘符进入时版权保护，请不要随意复制^%#$32217)98sa。^_^，也会弹出空白记事本。偶尔系统反应较慢;虽然也不是严重影响系统的进程和运行速度,但老是这样,容易让人产生不爽的感觉.于是我上网查了下,找出了点门道来.(后面列出的数据大都出自网上:-)).
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
由于这种情况都是在使用了诸如闪盘的移动存储的计算机出现的版权保护，请不要随意复制^%#$32217)98sa。^_^，所以导致根源应该在闪盘上所存储的文件。这个闪盘可能被感染有蠕虫病毒版权保护，请不要随意复制^%#$32217)98sa。^_^，在接入别的计算机上便会使得该计算机出现这种开机弹出无标题的记事本的情况版权保护，请不要随意复制^%#$32217)98sa。^_^，不过蠕虫病毒至少需要激活版权保护，请不要随意复制^%#$32217)98sa。^_^，也就是执行一下这个蠕虫病毒.
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
[蠕虫简单分析]：
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
蠕虫名称：Worm.Win32.Delf.aj（AVP）
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
蠕虫别名：Trojan.Spy.UsbSpy.a（瑞星）、TrojanSpy.USBSpy.a（江民）
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
蠕虫大小：47,104字节
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
加壳方式：UPX
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
MD5：07adddef653a702b9a11edbcee07e82b
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
CRC32：100A382A
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
[发作现象]：
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
电脑开机时会自动弹出记事本版权保护，请不要随意复制^%#$32217)98sa。^_^，会生成wincfgs.exe、KB20060111.exe等文件
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
[行为分析]：
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
1. 在注册表中创建USBSpyRunMutex互斥量版权保护，请不要随意复制^%#$32217)98sa。^_^，避免重复感染。
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
2. 在系统中生成
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
C:\%system%\wincfgs.exe（系统、隐藏、只读属性）
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
C:\%WINDOWS%\KB20060111.exe（大小66,560 字节版权保护，请不要随意复制^%#$32217)98sa。^_^，非病毒版权保护，请不要随意复制^%#$32217)98sa。^_^，是记事本程序）
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
3. 在注册表中添加：
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load＝“C:\windows\system32\wincfgs.exe”
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
4. 在移动设备中生成RECYCLER\RECYCLER目录和autorun.inf版权保护，请不要随意复制^%#$32217)98sa。^_^，在这个目录下生成autorun.exe、desktop.ini。
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
autorun.inf的内容：
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
[autorun]
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
open=.\RECYCLER\RECYCLER\autorun.exe
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
shell\1=Open
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
shell\1\Command=.\RECYCLER\RECYCLER\autorun.exe
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
shell\2\=Browser
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
shell\2\Command=.\RECYCLER\RECYCLER\autorun.exe
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
shellexecute=.\RECYCLER\RECYCLER\autorun.exe
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
autorun.exe同wincfgs.exe
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
desktop.ini的内容：
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
[.ShellClassInfo]
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
CLSID={645FF040-5081-101B-9F08-00AA002F954E}
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
由此可见版权保护，请不要随意复制^%#$32217)98sa。^_^，当含有病毒的移动设备接入电脑时版权保护，请不要随意复制^%#$32217)98sa。^_^，蠕虫会被自动运行。
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
开机弹出的记事本便是这个KB20060111.exe文件了版权保护，请不要随意复制^%#$32217)98sa。^_^，诱发这个KB20060111.exe的启动可能不是常规启动项版权保护，请不要随意复制^%#$32217)98sa。^_^，而是wincfgs.exe这个文件启动（呼叫）KB20060111.exe文件的。就是说KB20060111.exe这个文件并非病毒或者Joke程序本身版权保护，请不要随意复制^%#$32217)98sa。^_^，其实KB20060111.exe就是一个记事本程序（这也就是为什么KB20060111.exe文件的图标也是一个记事本程序的图标的缘故）。另外没有清理wincfgs.exe的计算机再次接入一个干净的移动存储设备可能会再次传染这个移动存储设备。
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
[修改办法]
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
1、修改注册表
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
a.运行“regedit”启动注册表编辑器；
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
b.分别删除注册表项
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
下的Load注册表键里的键值内容。
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
不放心的话可以搜索“wincfgs.exe”的注册表键并删除之
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
2、删除文件
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
%SystemRoot%\system32\wincfgs.exe
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
%SystemRoot%\KB20060111.exe
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
3移动存储设备：
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
连接好USB后版权保护，请不要随意复制^%#$32217)98sa。^_^，打开我的电脑版权保护，请不要随意复制^%#$32217)98sa。^_^，点右键选择打开（不要直接点击打开或点“open”）,然后打开菜单栏的"工具"->"文件夹选项"->"查看"版权保护，请不要随意复制^%#$32217)98sa。^_^，去掉“隐藏受保护的系统文件(推荐)”前面的勾。删除掉优盘里面的desktop.ini版权保护，请不要随意复制^%#$32217)98sa。^_^，wincfgs.exe和autorun.inf
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
移动硬盘的手动删除每个盘符下面的desktop.ini版权保护，请不要随意复制^%#$32217)98sa。^_^，wincfgs.exe和autorun.inf文件。。
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
还有个方便的方法 批处理删除注册表修改：
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
复制下面文字到记事本版权保护，请不要随意复制^%#$32217)98sa。^_^，另存为“Wincfgs_kill.bat”（注意保存时选择文件类型为“所有文件”）
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
|
版权保护版权保护，请不要随意复制^%#$32217)98sa。^_^，请不要随意复制^%#$32217)98sa。^_^
然后运行,完毕后重启电脑
|
