病毒_美国惊现t病毒丧尸_sk5病毒(2)

很明显，病毒是利用AutoRun.Inf传播并激活的。病毒

图5：删除每个分区根目录下的AutoRun.inf和病毒的VBS文件

3）清除被病毒写入explorer.exe和smss.exe文件中的新的数据流。从被病毒篡改的文件关联项可以看出，系统中存在名为7432815.vbs的数据流，运行NTFS Data Streams.exe，输入要检索的目录后点击“检索目录”，下面空白处则列出该目录下关联数据流的宿主文件：explorer.exe和smss.exe。

图6：检索出系统中被关联VBS病毒数据流的宿主文件

双击宿主文件explorer.exe可查看该文件关联的数据流7432815.vbs，刚才连同AutoRun.inf一起被删除的7432815.vbs只是普通的脚本类型文件，不具备数据流的特性，所以这里要借助NTFS数据流管理工具来删除数据流，右键选中数据流后执行删除，对于smss.exe也是同样操作。

图7：删除VBS病毒数据流

4）修复被篡改的文件关联项，恢复文件打开方式，避免在打开文件的过程中再次激活病毒。

图8：修复被篡改的文件关联项

5）修复组策略等系统相关项。这里可以借助瑞星安全助手进行系统修复，系统扫描完成后勾选红色异常项点击“立即修复”即可

图9：用瑞星安全助手进行系统修复

6）删除各个分区下病毒生成的文件夹快捷方式，删除C:\WINDOWS\system下的svchost.exe，借助XueTr去掉各个分区根目录下文件夹的隐藏属性。

图10：去掉各个分区跟目录下文件夹的隐藏属性

7）删除注册表中关于7432815.vbs的所有引用，然后重启电脑，病毒就不复存在了。

总结

通读完全文后您会发现这种VBS脚本病毒杀伤力不算很大，甚至带点恶搞意味，该病毒独立运行，复发率低，一般不会感染系统文件，处理起来省事一些。清除病毒的方法与之前介绍的大同小异，不外乎结束病毒进程、删除病毒文件，不过由于病毒创建了Autorun.inf文件，使自身很容易借助移动存储介质传播，所以还是要谨慎对待。希望各位在了解了以上的分析处理过程后，可以沉着应对此类病毒。

苹果Mac OS安全更新存缺陷 会致病毒感染

MP4播放部分音频格式文件故障分析

传英特尔推迟发布下一代处理器Ivy Bridge

瑞星综述：上周(05.23-05.29)病毒与安全趋势回顾

瑞星综述：上周(05.16-05.22)病毒与安全趋势回顾

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/ruanjian/article-23159-2.html