一个有关病毒的问题!!!

“IEHelper_*.dll”我删除这文件的经历！

“IEHelper_5066.dll”用杀毒软件查出是个后台木马病毒，而是一个影响系统稳定和不定期使IE弹出广告的程序文件。这文件属性是只读文件，已经锁死了，所以杀毒软件可以处理它，但是由于是只读文件属性，杀毒软件不能删除它只能隔离掉，在XP安全模式下一样不能删除。进入纯DOS下删除是可以的，但是由于文件系统不对，DOS下不认系统区，我也一点办法也没有。在这时候我注意到金山毒霸中带有文件粉碎机这个程序，我就用这程序把“IEHelper_5066.dll”直接粉碎，粉碎后有会出现个“KKKKKKKKK”的文件，然后在把这文件剪贴到另外一个文件夹下，之后DEL直接删除，这样“IEHelper_5066.dll”就不存在了，在用魔法兔子或优化大师去清理下注册表，对“IEHelper_5066.dll”做彻底清楚。

我花了一个通宵，才把这个顽固病毒完全杀灭，而且没有用正版杀毒软件呢？
首先用超级兔子，卸载一系列绑定的IE插件和木马软件，但是卸载以后重启计算机，还会出现，超级兔子是不能杀毒的！
然后就进入带网络连接的安全模式，下载卡巴斯基6.0 然后再找个注册码，安装查堵，还真见效，病毒一个一个现形，但还是不能删除，“IEHelper_*.dll”拒绝访问，怎么都删除不了（试了很多种文件粉碎软件，依然无用）
最后才想到用金山独霸自带的文件粉碎机试试，果然不出所料！一切又恢复了光明。。。啊！多么蔚蓝的天空！

[蠕虫简单分析]：

蠕虫名称：Worm.Win32.Delf.aj（AVP）
蠕虫别名：Trojan.Spy.UsbSpy.a（瑞星）、TrojanSpy.USBSpy.a（江民）
蠕虫大小：47,104字节
加壳方式：UPX
MD5：07adddef653a702b9a11edbcee07e82b
CRC32：100A382A

[发作现象]：

电脑开机时会自动弹出记事本，会生成wincfgs.exe、KB20060111.exe等文件

[行为分析]：

1. 在注册表中创建USBSpyRunMutex互斥量，避免重复感染。
2. 在系统中生成
C:\%system%\wincfgs.exe（系统、隐藏、只读属性）
C:\%WINDOWS%\KB20060111.exe（大小66,560 字节，非病毒，是记事本程序）
3. 在注册表中添加：
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load＝“C:\windows\system32\wincfgs.exe”
4. 在移动设备中生成RECYCLER\RECYCLER目录和autorun.inf，在这个目录下生成autorun.exe、desktop.ini。

autorun.inf的内容：

[autorun]
open=.\RECYCLER\RECYCLER\autorun.exe

shell\1=Open
shell\1\Command=.\RECYCLER\RECYCLER\autorun.exe
shell\2\=Browser
shell\2\Command=.\RECYCLER\RECYCLER\autorun.exe

shellexecute=.\RECYCLER\RECYCLER\autorun.exe

autorun.exe同wincfgs.exe

desktop.ini的内容：

[.ShellClassInfo]
CLSID={645FF040-5081-101B-9F08-00AA002F954E}

由此可见，当含有病毒的移动设备接入电脑时，蠕虫会被自动运行。
开机弹出的记事本便是这个KB20060111.exe文件了，诱发这个KB20060111.exe的启动可能不是常规启动项，而是wincfgs.exe这个文件启动（呼叫）KB20060111.exe文件的。就是说KB20060111.exe这个文件并非病毒或者Joke程序本身，其实KB20060111.exe就是一个记事本程序（这也就是为什么KB20060111.exe文件的图标也是一个记事本程序的图标的缘故）。另外没有清理wincfgs.exe的计算机再次接入一个干净的移动存储设备可能会再次传染这个移动存储设备。

[修改办法]
1、修改注册表
a.运行“regedit”启动注册表编辑器；
b.分别删除注册表项
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
下的Load注册表键里的键值内容。
不放心的话可以搜索“wincfgs.exe”的注册表键并删除之
2、删除文件
%SystemRoot%\system32\wincfgs.exe
%SystemRoot%\KB20060111.exe
3移动存储设备：
连接好USB后，打开我的电脑，点右键选择打开（不要直接点击打开或点“open”）,然后打开菜单栏的"工具"->"文件夹选项"->"查看"，去掉“隐藏受保护的系统文件(推荐)”前面的勾。删除掉优盘里面的desktop.ini，wincfgs.exe和autorun.inf
移动硬盘的手动删除每个盘符下面的desktop.ini，wincfgs.exe和autorun.inf文件。。

还有个方便的方法 批处理删除注册表修改：
复制下面文字到记事本，另存为“Wincfgs_kill.bat”（注意保存时选择文件类型为“所有文件”）

echo off
tskill KB20060111
tskill wincfgs
del %windir%\kb20060111.exe
del %windir%\system32\wincfgs.exe
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v "load" /f
reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v "load" /t REG_SZ /d "" /f

然后运行,完毕后重启电脑

try~~~~ 看看 有效果没有

LZ可以打开某个文件夹，选工具---文件夹选项----查看---把隐藏已知文件类型的扩展名不打勾就可以了，你这病毒只是修改了这里

在开机的时候按住F8进入“带网络连接的安全模式”用360系统急救箱修复系统
360系统急救箱
http://down.360safe.com/SuperKiller.exe