autorun.inf和sbl.exe之隨身碟病毒的清除方法

病毒產生如下檔案：

Code:
　　C:\WINDOWS\system32\1.inf
　　C:\WINDOWS\system32\chostbl.exe
　　C:\WINDOWS\system32\lovesbl.dll
　　在每個分區下面建立autorun.inf和sbl.exe,並不斷檢測chostbl.exe的屬性是否為隱藏
　　註冊服務AnHao_VIP_CAHW 指向C:\WINDOWS\system32\chostbl.exe,達到開機啟動的目的.

　　啟動類型：自動
　　顯示名稱：A GooD DownLoad CAHW

　　調用TerminateProcess函數關閉如下進程

Code:
　　360safe.exe
　　360tray.exe
　　runiep.exe
　　avp.exe

　　調用GetWindowsTextA函數 獲得當前視窗標題，並調用PostMessageA函數試圖發送WM_CLOSE,WM_DESTROY,WM_QUIT指令關閉帶有如下字樣的視窗

Quote:
　　卡卡
　　江民
　　金山
　　工作管理員
　　木馬清道夫
　　木馬剋星
　　超級巡警
　　NOD32核心
　　安全
　　安全衛士
　　木馬殺客
　　NOD32
　　核心
　　OD
　　微點

　　調用FindWindowA函數尋找如下視窗 並試圖調用PostMessageA函數向其發送WM_CLOSE指令 關閉視窗

Quote:
　　AVP.AlertDialog
　　AVP.Product_Notification
　　AVP.Product_Noti

　　調用cmd.exe 執行net stop sharedaccess命令 關閉Windows內建的防火牆服務

　　C:\WINDOWS\system32\lovesbl.dll插入svchost.exe進程
　　利用svchost.exe執行下載木馬操作
　　
Code:
下載http://218.61.18.*/hao.exe
　　http://218.61.18.*/wei.exe
　　http://218.61.18.*/haowei.exe

　　（ip地址為遼寧大連網通）

　　到C:\Documents and Settings下面 並分別命名為servciesa.exe~servciesc.exe，下載間隔200ms
　　

　　測試中http://218.61.18.*/haowei.exe（servciesc.exe）連結已失效

　　servciesa.exe為一感染下載者
　　下載http://rrr.*.cn/m1.exe~http://rrr.*.cn/m3.exe，但下載連結已失效

　　感染除以下檔案夾下的exe檔案
　　
Quote:
WINDOWS
　　WINNT
　　RECYCLE
　　System Volume Information
　　Internet Explorer
　　Outlook Express
　　NetMeeting
　　Common Files
　　Messenger
　　Windows Media Player
　　WinRAR
　　MSOCache
　　Documents and Settings

　　被感染檔案被加入593位元組的內容 圖表不變 感染方式還得請高手來指教...

　　servciesb.exe
　　註冊服務WindowsRemote
　　啟動類型：自動
　　顯示名稱：Windows Accounts Driver
　　也是一個木馬下載者 但下載連結失效

　　病毒全部動作完畢以後，sreng日誌如下：
　　服務

Code:
[A GooD DownLoad CAHW / AnHao_VIP_CAHW][Running/Auto Start]

[Windows Accounts Driver / WindowsRemote][Stopped/Auto Start]

==================================
Autorun.inf
[C:\]
[autorun]
OPEN=sbl.exe
shellexecute=sbl.exe
shell\Auto\command=sbl.exe
shell=open
[D:\]
[autorun]
OPEN=sbl.exe
shellexecute=sbl.exe
shell\Auto\command=sbl.exe
shell=open
...
　　

手動解決方案：

　　下載sreng 開啟解壓後運行srengps.exe

　　“啟動項目”-“服務”-“Win32服務應用程式”中點“隱藏經認證的微軟項目”，
選中以下項目，點“刪除服務”，再點“設定”，在彈出的框中點“否”：

Code:
A GooD DownLoad CAHW / AnHao_VIP_CAHW
Windows Accounts Driver / WindowsRemote

　　重啟電腦

　　雙擊我的電腦，工具，檔案夾選項，查看，單擊選取"顯示隱藏檔案或檔案夾" 並清除"隱藏受保護的作業系統檔案（推薦）"前面的鉤。在提示

　　確定更改時，單擊“是” 然後確定
　　點擊 功能表列下方的 檔案夾按鈕（搜尋右邊的按鈕)