流行U盘病毒汇总与通杀方案

U盘, 方案, 汇总

最近一段时间几个难缠的U盘病毒感染量比较大，用户为此比较苦恼。毒霸对这些病毒虽然可以查杀，但也难免病毒再生变种。8 @: |6 Y, m% l- {7 c- w% ^4 T

本文介绍目前U盘病毒流行的破坏方式，并以本周流行的sos.exe为例，解释此类病毒的处理思路。
9 O* }4 H! {; \
文章最后提供最近几个感染大，并且破坏力较大的U盘病毒通杀批处理，并会定期更新。由于个人能力与时间有限，所以目前批处理主要处理流行的U盘病毒。相关病毒在网上以及毒霸论坛内可搜索的关键字如下：

XP.EXE、ntldr.exe、snow.exe、sbl.exe、sos.Exe、HDM.exe、auto.exe、sbl.exe
logogogo.exe、Rxpmon.exe、Systom.exe、snowfall.exe、TxHMoU.Exe、dream.exe- s3 d8 s& D6 O' Z* g
C0NIME.EXE、soundmno.exe、BoBoTurbo.exe、ati2evxx.EXE、36Otray.exe+ \5 U" |, n7 u: e
" w- y. l5 E+ R9 `6 B) ?
（注：如果毒霸升级到最新病毒库后无法处理的话，请按照文章最后提供的方法提交样本文件，以便分析与更新毒霸和批处理。声明：该批处理写入了针对病毒的映像劫持，以达到免疫和阻止之前被感染文件释放还原主文件的作用，但还是建议用户升级杀毒软件到最新后杀毒处理。）

目前U盘病毒流行的破坏方式6 N1 t; u0 a8 o6 V1 F
0 h" n* ^9 G) @6 A6 ^
1.为了隐藏自己锁定文件夹选项导致无法显示隐藏文件或者屏蔽文件夹选项。如图所示： 4 c+ @& J) y4 B4 b& n# \4 ^

9 W4 M/ O, ?0 R
2.为了降低用户无法看到病毒进程禁用或者关闭任务管理器。如图所示：

5 i) z* [9 u: Q) _

2 t, Q4 Y. _# n4 w* Q# T+ w
3.为了防止用户安全模式杀毒删除注册表键值导致进入安全模式时异常报错。
: _( A9 U" J, ]- C
4.为了防止杀毒更新后写入映像劫持或者修改系统时间，导致系统重启后杀毒软件无法运行。如图所示：- y0 n% z: ^8 O# |/ d) i n* V

8 n* S! G0 |/ B3 I: a2 R
5.感染可执行文件，导致运行被感染的文件后自动恢复病毒主文件。( d2 @) `: T0 J
! ]8 M1 z K. c t0 D: |
6.释放大量木马以及下载器源源不断地破坏挖掘用户主机资源。

7.在各个盘符下留下autorun.inf文件，导致磁盘无法格式化等。 G7 C. z' }! j5 P$ s) h" ^7 v# e

; _/ K6 y9 l, a* ?1 g0 @" x" e
+ T& J) D: o, X/ V& K( R3 ]4 w
U盘病毒清除举例( U% k) W/ h# v% K
; U1 h; [* d( o' r$ r
样本名称：soS.exe 毒霸检测：Win32.TrojDownloader.Agent.90112
' K1 k! ]* t" O- f
病毒注入分析：) l) i1 U9 I. M7 d% X& p, j+ b+ G
加入启动项) f0 ]9 N- T8 s+ B: t
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<crsss><C:\WINDOWS\system32\TxHMoU.Exe> * Y6 q+ `1 {( G( C0 {2 T! h
释放C:\WINDOWS\system32\TxHMoU.Exe
全盘根目录留下soS.Exe和autorun.inf文件" R$ ]4 R- K1 h5 o6 s7 i5 f
, {" h+ @, P' n& i* T, y
清理步骤：
X' J; q& ^+ |/ {+ i6 M/ z
(由于毒霸2008默认安装金山系统清理专家，所以以清理专家为例。如果无法运行的话将清理专家主文件kasmain.exe改名为其他可执行文件即可。如:papa.com,093.pif等。）

1.运行清理专家中的进程管理工具结束病毒进程。如图所示：

5 @- Q& [) }9 I0 {: B/ L
2.使用文件粉碎器粉碎病毒文件。如图所示：$ M: Q# s$ `4 R9 E x- Q" l: `

3.使用清理专家清理恶意软件。如图所示：

8 |2 C; O9 X$ r/ S/ {/ x
下载如下帖子中的修复工具修复文件夹选项以及任务管理器被禁用的问题。
http://bbs.duba.net/thread-21849402-1-6.html- `# _7 \% Q% \
5 m8 X9 _* P2 i) f+ Y# d- I
/ q' \9 T0 C; h' Y
流行的几个U盘病毒的分析与处理方案* k; H0 R& d- \4 }2 X
* D& b* l& l" c  s; C' m3 z
梦中情人系列病毒：http://bbs.duba.net/thread-21840742-1-2.html$ `) F+ F8 ?: Y0 `* t

恐怖鸡感染号系列变种：http://bbs.duba.net/thread-21853226-1-1.html* h: m3 D' l8 x8 b  z0 G
, f& L( g& C$ T" M; [
Auto.exe变种：http://bbs.duba.net/thread-21852688-1-1.html
: W; L5 P* [% b; h6 N+ G+ m
一个黑吃黑的“AV”病毒：http://bbs.duba.net/thread-21855523-1-1.html" U, R2 ~, u1 J3 T' f
$ `2 |; D- r1 R
& _& R' e# |, \! p
流行U盘病毒清理批处理
[attach]16073347[/attach]) ]7 @) }1 y; j( {2 Z
2 }0 b6 K; N/ ?, D" D$ ^) W  C
（注：部分中毒主机运行需要稍长一段时间，请耐心等待。); A5 G& r! ^1 \1 K, q) `4 O0 S1 e( C

4 ~6 o; j; u3 u! n- m, m! N
未知U盘病毒的提取
" w( K1 b  `2 q& s! [5 f- W
U盘病毒以及变种都非常多，本文提供的批处理仅处理最近比较流行的几个并定期更新。如果毒霸最新病毒库也无法查杀的话，请按照如下方法提交您的样本进行分析：
9 S, h/ Q# C. t
1.使用WinRAR浏览盘符可以看到盘符下隐藏的autorun.inf和病毒文件。" D. o# }! m- S2 k3 Y
浏览技巧：点击向上一级的箭头可以进入上一级目录，单纯提取样本的话输入盘符目录“X：”即可。(X表示要访问的盘符，两个引号不输入。)如图所示：

; k& @4 F8 z x2 @( P
2.全选病毒样本文件后添加压缩包，点击【高级】——【设置密码】——『输入密码』——【确定】如图所示：

! A' \" l! \9 X* W7 \$ B' _

注意：密码设置建议使用123456如有修改，请在提交时注明解压密码。例如：解压密码为:papa。

/ x! M- h" d9 d
3.将对应盘符跟目录下新生成的RAR压缩包上传至论坛的可疑文件上传区发帖上传即可。
网址为：http://bbs.duba.net/forum-3252-1.html
0 e! f2 u8 |* p" K& U2 \
) F5 H: N3 e' E* v" [
[ 本帖最后由 papa 于 2008-1-15 18:05 编辑 ]