Trojan.Win32.VB.atg病毒分析及解决办法
病毒名称：Trojan.Win32.VB.atg（Kaspersky,ewido）
病毒类型：木马类
特征文件：autorun.inf和tel.xls.exe
传播途径：一切移动存储设备
影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒症状：
插进U盘后各个杀毒软件（当然要最近更新的）发出警报，之后系统盘全部无法直接双击打开，右键点击多出“Auto”字样。杀完病毒后，双击U盘会出现“打开方式”，但“始终…………”一栏变为不可选！注意注意！这和ROSE病毒的现象很相似！请看完症状再确定如何处理！同时，所有隐藏文件无法显形！并且没有设置“显示隐藏文件”选项。msconfig启动项中增加SockA.exe一项，有的情况下还有algsrv.exe和FileKan.exe，每个文件夹下都有Excel图标模样的文件tel.xls.exe（隐藏）和autorun.inf（隐藏），只能在dos底下dir/a看到。进程中会出现algsrv.exe、FileKan.exe几个可疑进程。注意注意！发现可疑症状后不要打开QQ，以免被盗号！
病毒行为：
盗取QQ帐号密码的木马病毒，特点是可以通过可移动磁盘传播。该病毒的主要危害是盗取QQ帐户和密码，盗取方式为键盘记录，包括软件盘，将盗取的号码和密码通过邮件发送到指定邮箱。
杀毒方法：
1、首先在安全模式下开启电脑（开机狂点F8），打开注册表(开始—运行—regedit回车）在HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL一个Key处检查，有个checkedvalue吧？把它删了，然后右键点击空白处添加一个dword值CheckedValue并把它的键值改为1，然后就可以在文件夹选项里让隐藏文件暴露出来了！（如果这一步不会做，看这个：
http://hi.baidu.com/peaset/blog/ ... db048b461064de.html 中“文件夹选项默认值”部分）
2、在任务管理器（ctrl+alt+del出)里，把sockA.exe,algsrv.exe,fileken.exe几个可疑进程（有的话）结束，然后到系统盘下的\windows\system32\里找到这几个文件，把他们全部删除！（不是扔进回收站，直接shift+del!)
3、然后在每个盘里找到autorun.inf和tel.xls.exe，删掉！
4、进入注册表，在HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run一处找到键值含sockA.exe，algsrv.exe,fileken.exe这几个之中任一个的，删掉！
5、然后到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\这里，把C-你最后一个逻辑盘符中关于auto的分支全部删掉！之后你就能正常打开所有硬盘！
6、在注册表内分别搜索sockA.exe，algsrv.exe,fileken.exe，搜到的项一律删除。
7、病毒清除完毕。
------------------------------------------------------------------------------------
题外话：
1、应用批处理100%防U盘病毒及解决系统重装后二次中毒的问题：
http://hi.baidu.com/peaset/blog/ ... 2a7d36aec3abaf.html
2、禁用移动设备的自动运行功能（目的在于避免重新被U盘感染）：把下面的代码保存为1.reg，双击运行导入注册表即可。
---------------------------------------------
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000ff
---------------------------------------------
autorun.vbs病毒解决办法
病毒症状：
该病毒主要通过U盘感染，中毒现象表现为主机不停的发出声音，类似于读软盘的声音，打印机无法正常工作且驱动无法安装。打开“我的电脑”以后，无论双击哪个盘的图标，系统都会重新打开一个窗口，同时一些杀毒软件报告：regedit.exe程序试图修改注册表XXX键值，已被拦截。双击盘符无法打开，显示缺少autorun.vbs。
解决办法：
(1)同时按住键盘上的“Ctrl＋Alt＋Del”键，选择“任务管理器”，选中“进程标签”，查看其中是否有一个名为“wscript.exe”的进程。如果有，极可能您已中毒。.
(2)如有上述现象，可以通过如下方法删除此病毒：
1、下列红色虚线中的代码复制到记事本保存后将扩展名改为.bat 双击运行即可。
--------------------------------------------------------------------------------------------------------------------
@echo on
taskkill /im explorer.exe /f
taskkill /im wscript.exe
start reg add HKCU\SOFTWARE\Microsoft\Windows\CurrentVersi /v ShowSuperHidden /t REG_DWORD /d 1 /f
del c:\autorun.* /f /q /as
del %SYSTEMROOT%\system32\autorun.* /f /q /as
del d:\autorun.* /f /q /as
del e:\autorun.* /f /q /as
del f:\autorun.* /f /q /as
del g:\autorun.* /f /q /as
del h:\autorun.* /f /q /as
del i:\autorun.* /f /q /as
del j:\autorun.* /f /q /as
del k:\autorun.* /f /q /as
del l:\autorun.* /f /q /as
start explorer.exe
--------------------------------------------------------------------------------------------------------------------
2、需要修改注册表
点“开始”－>“运行”，输入regedit
在注册表
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2
下查找autorun.vbs
把数值修改成explorer.exe %1 就可以打开硬盘了
提示：所有硬盘分区都要改
在注册表
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下，找userinit，xp的正确数值应该是c:\windows\system32\userinit.exe, (包括逗号)
3、病毒清除完毕。
解析便宜吧（pian18.com）的流氓行为
流氓现象：
有弹出网页,系统速度变慢,没有卸载项/无法卸载,强制安装,浏览器劫持,干扰其它软件正常运行,
历史操作:在桌面生成“便宜吧”网址，自动添加于收藏夹，有其他弹出网页现象，并下载木马程序到本地执行。
行为分析：
1、病毒运行后产生以下文件：桌面上“便宜吧”快捷方式，收藏夹数个网站
C:\WINDOWS\system32\winbill061226.dll（061216为当前日期）
C:\WINDOWS\mshostsvr.exe
C:\WINDOWS\system32\3721.7.dll
2、添加如下启动项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
<bill><rundll32.exe "C:\WINDOWS\system32\winbill061226.dll " mymain>
3、添加如下服务项：
[host Service For Windows / mshostsvr][Stopped/Auto Start]
<C:\WINDOWS\mshostsvr.exe>
4、添加如下浏览器加载项：
[]{AF6B23D1-481E-425D-99A2-614F709FFEDD} <C:\WINDOWS\system32\3721.7.dll>
5、从网络上随机下载木马盗号及黑客程序，包括灰鸽子、onlinegame.cc等等。
“便宜吧”清除方法：
1、用SRE删除以下注册表项：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
<bill><rundll32.exe "C:\WINDOWS\system32\winbill061226.dll " mymain>
2、用SRE删除如下服务项：
[host Service For Windows / mshostsvr][Stopped/Auto Start]
<C:\WINDOWS\mshostsvr.exe>
3、用SRE删除以下浏览器加载项：
[]{AF6B23D1-481E-425D-99A2-614F709FFEDD} <C:\WINDOWS\system32\3721.7.dll>
4、用KILLBOX删除以下病毒文件：
C:\WINDOWS\system32\winbill061226.dll（061216为当前日期）
C:\WINDOWS\mshostsvr.exe
C:\WINDOWS\system32\3721.7.dll
5、重启系统，删除收藏夹内垃圾网页。
6、以上只是手工清除“便宜吧”流氓，其余的木马病毒另外处理。目前已知的可能存在的木马病毒包括：灰鸽子、Trojan-PSW.Win32系列。
Trojan-PSW.Win32.Nilage.avi病毒分析及清除方法
病毒名称：Trojan-PSW.Win32.Nilage.avi
病毒类型：木马类
感染系统：WINDOWS98以上
开发工具： Borland Delphi 5.0
病毒描述：
该病毒属木马类，病毒运行后衍生病毒文件，修改注册表，添加启动项，以达到随机启动的目的，该病毒盗取用户敏感信息，包括网络游戏的账号与密码等。病毒主程序使用了rookit技术，使得杀软无法识别，病毒主程序运行后释放两个子程序并注入系统进程。
行为分析：
1、病毒运行后衍生病毒文件：
C:\WINDOWS\Microsoft\rundll32.exe
C:\WINDOWS\system32\dt.dll 其中dt.dll、897va.dll 由rundll32.exe释放
C:\DOCUME~1\user\LOCALS~1\Temp\897va.dll（此文件为随机命名）
2、修改注册表，添加启动项，以达到随机启动的目的：
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<Micro><C:\WINDOWS\Microsoft\rundll32.exe>
-----------------------------------------------------------------------------------------------------------------------------
清除方法：
1、关闭系统还原，结束进程rundll32.exe；
2、显示“受保护的操作系统文件”
使用unlocker删除以下两个文件：
C:\WINDOWS\Microsoft\rundll32.exe
C:\WINDOWS\system32\dt.dll
3、修改注册表，删除以下项：
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<Micro><C:\WINDOWS\Microsoft\rundll32.exe>
4、重启计算机，清空临时文件（即删除Temp目录下文件），病毒清除完毕。
出处：
http://hi.baidu.com/peaset/ (非常感谢作者的无私奉献)
[
本帖最后由 幸运的西瓜 于 2007-8-11 18:59 编辑 ]
