引用:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<ASocksrv><SocksA.exe>

进程
[PID: 3864 / SYSTEM][C:\WINDOWS\system32\mmc.exe]  [N/A, ]

服务
[Smart Card Supervisor / mmc][Running/Manual Start]
  <2 - 系统找不到指定的文件。
><(File is missing)>

Autorun.inf
[C:\]

[AutoRun]
open=tel.xls.exe
shellexecute=tel.xls.exe
shell\Auto\command=tel.xls.exe
shell=Auto7.和沙盒的分析结果比对，多出一个叫 kill 的任务。如下图：

9.jpg (32.13 KB)

2008-10-22 15:10

多出一个mmc.exe进程，与沙盒分析结果吻合~

10.jpg (42.42 KB)

2008-10-22 15:10

8. 使用类似IceSword的工具结束进程。
IceSword是中科大的pjf写的，由于使用了Windows核心的API，可以直接看到隐藏文件和进程，
个人认为IceSword在处理两个进程互为保护的病毒时特别有效。可以同时结束两个进程。
或锁住一个进程，不让其再生。这招对付进程互为保护的病毒非常不错。

11.jpg (54.37 KB)

2008-10-22 15:10

9. 进程对应的文件，与沙盒分析吻合，删除之~

12.jpg (53.16 KB)

2008-10-22 15:10

生成的另两个文件，删除之~

13.jpg (53.81 KB)

2008-10-22 15:10

10.Win+R, msconfig,  删除增加的启动项。

14.jpg (38 KB)

2008-10-22 15:10

11. mmc在监听本地3000端口。一旦联网，就会对外发送信息。

15.jpg (24.56 KB)

2008-10-22 15:10

12. 最后，用金山毒霸全盘扫描一下，“打扫”一下战场吧~  
因为生成的文件比较多，手工删的话也可以，先搜索文件再删除，
不过用毒霸又快又方便！

监控一开，立马开始删除~

16.jpg (41.24 KB)

2008-10-22 15:10

呵呵 已经感染exe了，扫描记录如下：

17.jpg (73.73 KB)

2008-10-22 15:10

svchost.exe受损，症状为再开机无法进入系统。进度条一直在走，

18.jpg (18.18 KB)

2008-10-22 15:10

插入光盘修复或进入Windows故障修复台，拷贝光盘原文件至硬盘修复即可~

19.jpg (42.1 KB)

2008-10-22 15:10

最后，附：VBS一次性清除代码：

引用:

on error resume next
set w=getobject("winmgmts:")
set p=w.execquery("select * from win32_process where name='algsrv.exe' or name='SocksA.exe'")
for each i in p
i.terminate
next
set fso=createobject("scripting.filesystemobject")
set del=wscript.createobject("wscript.shell")
dim d(5)
dim v(5)
d(0)=del.ExpandEnvironmentStrings("%SystemRoot%\system32\SocksA.exe")
d(1)=del.ExpandEnvironmentStrings("%SystemRoot%\system32\FileKan.exe")
d(2)=del.ExpandEnvironmentStrings("%SystemRoot%\system32\algsrv.exe")
d(3)=del.ExpandEnvironmentStrings("%SystemRoot%\Session.exe")
d(4)=del.ExpandEnvironmentStrings("%SystemRoot%\BACKINF.TAB")
for i=0 to 1
set v(i)=fso.getfile(d(i))
v(i).attributes=0
v(i).delete
next
set fso=createobject("scripting.filesystemobject")
set drvs=fso.drives
for each drv in drvs
if drv.drivetype=1 or drv.drivetype=2 or drv.drivetype=3 or drv.drivetype=4 then
set w=fso.getfile(drv.driveletter&":\tel.xls.exe")
w.attributes=0
w.delete
set u=fso.getfile(drv.driveletter&":\AUTORUN.INF")
u.attributes=0
u.delete
end if
next
set reg=wscript.createobject("wscript.shell")
reg.regwrite "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue",1,"REG_DWORD"
reg.regwrite "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\DefaultValue",2,"REG_DWORD"
reg.regwrite "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN\CheckedValue",2,"REG_DWORD"
reg.regwrite "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN\DefaultValue",2,"REG_DWORD"
reg.regwrite "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\UncheckedValue",1,"REG_DWORD"
reg.regwrite "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\HideFileExt\UncheckedValue",0,"REG_DWORD"
reg.regdelete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ASocksrv"
set fso=nothing
msgbox "病毒清除成功，请重启电脑！",64,"tel.xls.exe病毒专杀"

全文完~