7月4日消息，目前U盤已成傳播病毒的主要途徑之一。用戶常見到的一種U盤病毒現象為，U盤中出現一個421KB統一大小的.exe后綴偽裝文件夾，該病毒雙擊可以打開，也可以刪除，但刪除后再刷新可移動磁盤時病毒文件又再出現。因為它與原有的文件夾名稱相同，因此又稱偽裝文件夾病毒。
瑞星安全專家唐威表示，從病毒文件夾刪除后又立即被創建的現象不難看出，系統中正加載著病毒文件，該病毒文件不斷地向U盤寫入文件并命名為“文件夾名.exe”的病毒。當你通過“文件夾選項”顯示隱藏文件時，原有的硬盤文件可以看到，但卻無法右鍵修改文件夾的屬性。
圖1
唐威指出，借助殺毒輔助工具對系統中可疑進程進行排查與刪除是結束這個“罪魁禍首”的最方便的手段。本次手工處理病毒所借助的工具是XueTr，目前支持32位的Windows 2000、XP、2003、Vista、2008和Win7等操作系統，是一款免費的殺毒輔助工具，它可以查看進程模塊、注冊表項、系統啟動項等，并通過一系列的排查工作最終檢測到病毒文件并殺之，功能十分強大，并且操作友好容易上手，是手工殺毒非常好的輔助工具之一。具體操作步驟如下：
1） 查找并結束系統中明顯的異常進程winweb.exe，右鍵將其選中，并選擇“結束進行并刪除文件”操作。
圖2
2） 利用XueTr工具強制刪除U盤中的兩個病毒文件“我的照片.exe”和“辦公文檔.exe”，注意勾選“刪除后阻止文件再生”。
圖3
3） 為檢查病毒文件是否還會再生，用XueTr工具對移動磁盤進行刷新操作，這時會發現，兩個病毒文件又出現了，據此分析系統中還有殘余的病毒文件仍在加載，并不停地向U盤中創建后綴為.exe的文件夾。為了徹底清除病毒文件，再回到進程中逐一檢查系統當前所有進程下加載的文件后，發現explorer.exe下掛有可疑模塊iconhandle.dll，且無數字簽名。
圖4
4） 找到該文件所在目錄C:WINDOWSsystem32，并利用“創建日期”排列該目錄下所有文件查看詳細，這時發現了意外收獲：該目錄下的webad.dll和web.dat兩個文件與iconhandle.dll的創建時間相同，再仔細檢查一下你會發現web.dat文件大小為421KB，與U盤下的兩個病毒文件夾大小一致，且正常系統中C:WINDOWSsystem32路徑下原本就不存在這三個文件，由此可以推斷三個文件都是由病毒創建，可以全部刪除。
圖5
5）右鍵點擊explorer.exe下加載的iconhandle.dll，將其全局卸載。
圖6
注：由于iconhandle.dll掛在explorer.exe進程下，全局卸載的時候explorer.exe進程會重啟，屬于正常現象，不必擔心。
5） 通過XueTr工具找到上述三個可疑文件，全部選中，右鍵點擊選擇“添加到重啟刪除”操作，然后立即重啟計算機。
圖7
計算機重啟后需要進行最后的檢查工作，通過XueTr查看explorer.exe進程下已不再加載iconhandle.dll，并且C:WINDOWSsystem32目錄下的三個可疑文件都不復存在，明顯的病毒跡象已不再復現，再次嘗試刪除U盤下的“我的照片.exe”和“辦公文檔.exe”會發現病毒文件夾不會再次生成了。如此看來該U盤病毒算是清理干凈了，但是原有的文件夾系統屬性仍為隱藏且無法修改，那么還得進行手工殺毒后的善后操作，此處可通過attrib指令修改文件夾系統屬性，方法如下：
1、 點擊“開始”→“運行”，輸入“cmd”后回車打開DOS窗口
2、 由于當前U盤在系統中所處盤符標志為E盤，故在命令行中輸入“e：”，然后回車
3、 繼續在命令行輸入“attrib /s /d
推薦閱讀
中新網7月4日電 據臺灣《聯合報》報道，這是臺灣查獲過“最年輕的計算機黑客”。桃園縣某初中二年級周姓少年，涉嫌侵入致理技術學院、補習班網站，前天被警方查獲，訊后依妨害計算機使用罪嫌移送桃園地方法院少年法庭>>>詳細閱讀
本文標題：瑞星專家教如何手工處理U盤偽裝文件夾病毒
地址：http://www.brh9h.cn/a/11/20120704/73155.html
網友點評
精彩導讀
科技快報
品牌展示