步惊云何润东表情包:开机自动运行记事本,是什么病毒?

来源:百度文库 编辑:中科新闻网 时间:2024/03/29 22:59:57
开机自动运行记事本,是什么病毒?可以确认的是开机启动项里没有记事本。另外,移动盘里面总有一个autorun.inf的文件,无法删除,无法用记事本编辑,杀毒软件提示为病毒,但总是清除不掉。我的三个大小移动盘里都有这情况。而且每次都无法弹出移动盘。从没遇到过这种情况。哪位高人知道是什么回事啊?该如何解决啊?
只有移动盘里有autorun.inf病毒文件,主机硬盘里好象没有
移动盘里的文件无法正常删除,说路径找不到
移动盘因此无法格式化
还有,截止到6楼的解决方法都不行,移动盘里有autorun.inf无法做任何修改,包括属性

一开机就弹出个无标题的记事本,但是运行msconfig启动项,又没的提示加载记事本,移动硬盘(或优盘)插到USB口时,点击盘符进入时,也会弹出空白记事本。偶尔系统反应较慢;虽然也不是严重影响系统的进程和运行速度,但老是这样,容易让人产生不爽的感觉.于是我上网查了下,找出了点门道来.(后面列出的数据大都出自网上:-)).
由于这种情况都是在使用了诸如闪盘的移动存储的计算机出现的,所以导致根源应该在闪盘上所存储的文件。这个闪盘可能被感染有蠕虫病毒,在接入别的计算机上便会使得该计算机出现这种开机弹出无标题的记事本的情况,不过蠕虫病毒至少需要激活,也就是执行一下这个蠕虫病毒.
[蠕虫简单分析]:
蠕虫名称:Worm.Win32.Delf.aj(AVP)
蠕虫别名:Trojan.Spy.UsbSpy.a(瑞星)、TrojanSpy.USBSpy.a(江民)
蠕虫大小:47,104字节
加壳方式:UPX
MD5:07adddef653a702b9a11edbcee07e82b
CRC32:100A382A
[发作现象]:
电脑开机时会自动弹出记事本,会生成wincfgs.exe、KB20060111.exe等文件
[行为分析]:
1. 在注册表中创建USBSpyRunMutex互斥量,避免重复感染。
2. 在系统中生成
C:\%system%\wincfgs.exe(系统、隐藏、只读属性)
C:\%WINDOWS%\KB20060111.exe(大小66,560 字节,非病毒,是记事本程序)
3. 在注册表中添加:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load=“C:\windows\system32\wincfgs.exe”
4. 在移动设备中生成RECYCLER\RECYCLER目录和autorun.inf,在这个目录下生成autorun.exe、desktop.ini。
autorun.inf的内容:
[autorun]
open=.\RECYCLER\RECYCLER\autorun.exe
shell\1=Open
shell\1\Command=.\RECYCLER\RECYCLER\autorun.exe
shell\2\=Browser
shell\2\Command=.\RECYCLER\RECYCLER\autorun.exe
shellexecute=.\RECYCLER\RECYCLER\autorun.exe

autorun.exe同wincfgs.exe
desktop.ini的内容:
[.ShellClassInfo]
CLSID={645FF040-5081-101B-9F08-00AA002F954E}
由此可见,当含有病毒的移动设备接入电脑时,蠕虫会被自动运行。
开机弹出的记事本便是这个KB20060111.exe文件了,诱发这个KB20060111.exe的启动可能不是常规启动项,而是 wincfgs.exe这个文件启动(呼叫)KB20060111.exe文件的。就是说KB20060111.exe这个文件并非病毒或者Joke程序本身,其实KB20060111.exe就是一个记事本程序(这也就是为什么KB20060111.exe文件的图标也是一个记事本程序的图标的缘故)。另外没有清理wincfgs.exe的计算机再次接入一个干净的移动存储设备可能会再次传染这个移动存储设备。
[修改办法]
1、修改注册表
a.运行“regedit”启动注册表编辑器;
b.分别删除注册表项
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
下的Load注册表键里的键值内容。
不放心的话可以搜索“wincfgs.exe”的注册表键并删除之
2、删除文件
%SystemRoot%\system32\wincfgs.exe
%SystemRoot%\KB20060111.exe
3移动存储设备:
连接好USB后,打开我的电脑,点右键选择打开(不要直接点击打开或点“open”),然后打开菜单栏的"工具"->"文件夹选项"- >"查看",去掉“隐藏受保护的系统文件(推荐)”前面的勾。删除掉优盘里面的desktop.ini,wincfgs.exe和 autorun.inf
移动硬盘的手动删除每个盘符下面的desktop.ini,wincfgs.exe和autorun.inf文件。。
还有个方便的方法 批处理删除注册表修改:
复制下面文字到记事本,另存为“Wincfgs_kill.bat”(注意保存时选择文件类型为“所有文件”)
echo off
tskill KB20060111
tskill wincfgs
del %windir%\kb20060111.exe
del %windir%\system32\wincfgs.exe
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v "load" /f
reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v "load" /t REG_SZ /d "" /f
然后运行,完毕后重启电脑

建新记事本,内容
echo off
tskill KB20060111
tskill wincfgs
del %windir%\\kb20060111.exe
del %windir%\\system32\\wincfgs.exe
reg delete \"HKEY_CURRENT_USER\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Windows\" /v \"load\" /f
reg add \"HKEY_CURRENT_USER\\Software\\Microsoft\\Windows NT\\CurrentVersion\\Windows\" /v \"load\" /t REG_SZ /d \"\" /f
名字为Wincfgs_kill.bat,保存时选所有文件

而且还有一个症状:双击有autorun.ini隐藏文件的各个盘符,还会说无法打开什么的。
如果是这样的话,那是中毒了。
要在安全模式下杀毒才行的。
要不就重新安装最新版本的杀毒软件:比如瑞星官方网站上凭ID号下载的最新安装升级包。
哈,我的也是有过这个文件,中毒,杀好了。一个月前。

关于开机自动弹出空白记事本的蠕虫病毒的分析及处理方法请参见以下地址:
(此BLOG日志的附件中的批处理文件,让中了病毒的用户只需双击一个文件便可可轻松解决问题!!)
http://www.qxmay.cn/article.asp?id=14
(此答案已被BAIDU知道采纳为30次最佳答案!!!)

打开windows任务管理器,察看是否有可疑的进程在运行,如果有把它结束。(Rundll32.exe本身不是病毒,有可能一个dll文件在运行,他可能是病毒或恶意程序之类的东西。)
若提示无法结束,再察看控制面板〉管理工具〉服务,看有没有与之相关的 服务在运行,把它停止。同时设法查找这些恶意程序文件(如system32文件夹中是否有不明dll或exe文件,C:\Program Files C:\Documents and Settings\user\Local Settings\Temporary Internet Files C:\Documents and Settings\user\Local Settings\Temp 等处是否有不明文件或染毒文件),然后删去,注意别删了系统文件!

autorun.inf

一般是光盘里才有的.你可以试试把杀毒软件打开,然后到进程管理器里,把

explorer.exe进程结束掉,再杀毒