杀除磁碟机病毒过程(pagefile.inf+autorun.inf)

        夜晚没课,在宿舍上网,同学qq上说电脑杀毒软件不能用,也不能卸载,而且很慢。我说你那是典型的中毒症状,于是把她的笔记本拿过来,安全模式进入就蓝屏,用光盘pe系统进入,发现每个盘符下面都有pagefile.inf和autorun.inf文件。以前中过这个病毒,知道是磁碟机变种。但那时这个病毒刚出来,网上都查不出解决办法,重装了几次都没用,后来不小心把盘给格了,非常郁闷。这个病毒网上的播报如下:

 

病毒名称:Worm.Win32.DiskGen.a
中文名称:磁盘机(磁盘精灵蠕虫)
感染的操作系统: Windows XP, Windows NT, Windows Server 2003, Windows 2000
1、此程序为Worm类型程序
2、病毒运行后,会把自己复制到%system32%、%system32%com目录下,文件名为:lass.exe文件属性设为隐藏。
3、建立一个dghauweugsdgerh互斥量,保证进程中只有一个病毒在运行。
4、病毒会释放2个文件来辅助病毒运行smss.exe、netcfg.dll,用来实现双进程保护,当用户去结束进程时,必须把smss.exe 跟 lass.exe同时结束,否则的话,其中的任何一个程序会把别一个进程自动启动。
5、病毒会修改注册表项, HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced ShowSuperHidden" = 0x00000000,当用户用Explorer.Exe查看文件时,将看不到隐藏的文件, 这样就简单的实现了文件隐藏的功能。
6、当病毒运行后,会遍历每个磁盘,在每个磁盘根目录下建立一个autorun.inf,并把自己复制到每个磁盘根目录下,命名为:pagefile.pif。当用我的电脑双击磁盘打开、点击磁盘自动播放或在运行中直接输入盘符进入磁盘时病毒会自动运行。 autorun.inf文件内容如下:
[AutoRun] open=pagefile.pif
shellopen=打开(&O)
shellopenCommand=pagefile.pif
shellopenDefault=1
shellexplore=资源管理器(&X)
shellexploreCommand=pagefile.pif

7、病毒遍历C盘以后的每个磁盘,对每个磁盘的EXE文件进行感染。感染后的程序,运行后会先运行病毒,然后运行用户的EXE文件。

下面介绍一下清除该病毒的整过过程,供大家参考:

1、用光盘pe系统进入,删除每个盘下生成的病毒文件,删除c:windowssystem32 com文件夹下最近生成的文件。(不过估计这个过程没什么用,只是我在查找病毒原因的时候清除一下新生成的病毒文件)

2、下载磁碟机专杀:
金山磁碟机机器狗av终结者专杀:http://cu003.www.duba.net/duba/tools/removaltools/DubaTool_AV_Killer.exe(这个感觉不是太好,不过用一下也没事,杀完要重启时可以暂时不重启)
360磁碟机专杀:http://dl.360safe.com/killer_cdj.exe(这个不错,应该这个起的作用比较大)

磁碟机病毒 专杀工具集合(360+瑞星+江民):http://bj.itxiazai.com/soft/safesoft/antivirus/IT_killvirus.rar(这个好像没有用到,但既然下下来了,就杀一次吧)

2、以下为删除pagefile.pif文件的批处理代码:

复制下面代码,用记事本保存为 .bat 后缀的文件,双击运行即可

@================================
@echo on
g:
cd
attrib -s -h -r pagefile.pif
del pagefile.pif /F
attrib -s -h -r *.inf
del autorun.inf /F
d:
cd
attrib -s -h -r pagefile.pif
del pagefile.pif /F
attrib -s -h -r *.inf
del autorun.inf /F
e:
cd
attrib -s -h -r pagefile.pif
del pagefile.pif /F
attrib -s -h -r *.inf
del autorun.inf /F
f:
cd
attrib -s -h -r pagefile.pif
del pagefile.pif /F
attrib -s -h -r *.inf del autorun.inf /F
@echo
pause
@================================

4、专杀杀完病毒后,重启一下,你会发现杀毒软件已经可以使用了~ 但这个杀毒软件有问题了,选择开始-瑞星杀毒软件-添加删除组件,然后选择修复。修复成功就可以了,然后如果要求重启的话就重启一下。

5、安装瑞星卡卡,瑞星防火墙。这个在上一篇文章提到过(http://lzw.me/article.asp?id=325),只要使用瑞星卡卡6.0就可以免费使用一年瑞星杀毒,这个估计是瑞星和360间最近的矛盾瑞星出的一个对策,但不管它们怎么了,对我们来说有免费的东西用就可以了。这三个都安装了的话,一般来说电脑都不再会出什么问题的,瑞星杀毒能力不是很强,但保护能力还是很不错的,至少我的点脑从今年三月份以来从没有出现过什么大问题。

6、对瑞星、瑞星卡卡等的升级模式设置为 即时升级(默认如此。建议这样,因为瑞星常常出现无法链接服务器的情况)或每天升级一次(上网时间比较集中的时候)。然后瑞星卡卡查杀一下木马,在启动项设置里把非瑞星的启动项都删除掉。用瑞星全盘查毒。

7、到此,似乎所有问题都解决了。但是还存在一个问题,就是被破坏的显示隐藏文件夹注册表项没有修正,隐藏文件夹无法显示。
对此我们可以打开注册表(开始-运行-regedit),然后查找(编辑-查找-showall)showall文件夹下的checkedvalue项,如果存在,删除之并新建个down值的项,不存在则直接新建该项,并把值设为1。

我们也可以直接定位到:HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedF olderHiddenSHOWALL”, 然后作如上操作。

至此,所有问题完全解决。
如有问题,请留言或联系我。

关于此问题,网上也有解析的文章,但没试过:

中毒后,系统出现以下症状中的一种或几种症状:

一、许多可执行程序不能正常运行;

二、进程里面出现一个或几个pagefile.pif进程,可以终止进程;

三、双击磁盘分区打不开,用鼠标右键点击,再点击“打开”或“资源管理器”也打不开,新建一个鼠标右键命令,指向windows目录下的explorer.exe可以用于打开磁盘分区;

四、无法查看系统盘根目录下的隐藏文件,用winrar.exe解压缩软件可以查看,系统盘根目录下有autorun.inf、pagefile.pif、pagefile.sys等隐藏文件,而且很难删除;

五、组策略不能正常使用;

六、用IE浏览器或Firefox浏览器试图打开包含pagefile.gif关键字的网页时,浏览器自动退出;

七、中毒后,即使格式化系统盘重装系统,打开其他分区后会再次中毒。

    病毒分析:

    用记事本打开系统盘根目录下的autorun.inf文件,发现与一般的自动播放病毒不同,共有七行代码,内容如下:

    [AutoRun]

    open=pagefile.pif

    shellopen=打开(&O)

    shellopenCommand=pagefile.pif

    shellopenDefault=1

    shellexplore=资源管理器(&X)

    shellexploreCommand=pagefile.pif

可以看出,中毒后,试图打开病毒所在磁盘分区时,系统会启动pagefile.pif病毒程序,资源管理器或explorer无法正常运行;

Pagefile.pif文件属性为:指向MS-DOS程序的快捷方式,这个文件很难删除,需要使用特别的方法;

在windows目录下还有一个类似的文件,_default.pif,文件属性与Pagefile.pif相同,这个文件可以直接删除;

WINDOWSPrefetch里面有两个Pagefile.pif文件,可以直接删除,但是删除后会自动复出。

    解决办法:

1. 在winrar 浏览窗口中,选中autorun.inf文件,用右键点击,点击“查看文件”、“显示信息”等命令,提示不能查看,但是这时在资源管理器(设置文件夹选项,显示所有文件)中可以看到autorun.inf这个文件了,取消这个文件的“隐藏”、“系统”等属性,再删除autorun.inf;或者用记事本打开autorun.inf,修改内容,如下:

[AutoRun]

open=explorer.exe

然后保存,设置属性为只读,从windows目录下拷贝explorer.exe过来与autorun.inf放在一起,属性设置为只读。

(也可以使用DOS命令取消autorun文件的“隐藏”等属性。)

2. 删除windows目录下的_default.pif,删除Prefetch目录下的两个Pagefile.pif文件;

3. 禁用虚拟内存,重启系统,用winrar浏览系统盘根目录,删除Pagefile.pif,Pagefile.sys两个文件;

4. 删除其他分区下的autorun、pagefile文件。

    注意事项:

禁用虚拟内存是能否成功删除系统盘根目录下Pagefile.pif病毒的关键。

方法如下:

       在桌面上用鼠标右键点击“我的电脑”→在弹出菜单中点击“属性”,进入“系统属性”界面→点击“高级”标签→点击“性能”框里面的“设置”按钮→点“高级” 标签→点“虚拟内存”框里面的“更改”按钮,进入虚拟内存设置界面→选中“自定义大小”,将“初始大小”和“最大值”都改为0,点击设置。每个分区都没有虚拟内存后,确定,重启系统,然后就可以轻松删除Pagefile.pif和pagefile.sys了。
     成功清除病毒后,再启用虚拟内存。如果内存在512兆以上,而且平时不使用大型软件或玩大型游戏,可以不用虚拟内存。2G内存的建议直接取消虚拟内存。

在瑞星卡卡论坛上也有一篇介绍解决的文章,地址如下:
http://bbs.ikaka.com/showtopic-8413635-1.aspx

点赞 (0)

发表评论

电子邮件地址不会被公开。 必填项已用*标注

This site uses Akismet to reduce spam. Learn how your comment data is processed.