U盘传播木马 INFO.exe svchost.exe 解决方案

　　病毒名称：Virus.Win32.Small.r（Kaspersky）

　　病毒别名：Generic BackDoor.j（McAfee）

　　Worm.Agent.fc（瑞星）

　　Win32.Troj.Small.r.106496（毒霸）

　　病毒大小：106,496 字节

　　加壳方式：

　　样本MD5：cdb08172bf30101dfba16ab40787aabd

　　样本SHA1：2283219fdf50b0fe21ee0a34a0e2c9168787ad55

　　发现时间：2007.8

　　更新时间：2007.8

　　关联病毒：

　　传播方式：恶意网页下载，其它病毒或木马下载，可通过移动存储设备传播

　　技术分析

　　木马运行后在系统system目录下创建副本：

　　%Windows%\system\svchost.exe

　　创建目录：

　　%Windows%\system\_sv_CMD_\

　　修改Userinit启动项内容：

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

　　"Userinit"="userinit.exe,%Windows%\system\svchost.exe"

　　往分区根目录复制副本：

　　X:\autorun.inf

　　X:\RECYCLER\INFO.exe

　　X:\RECYCLER\desktop.ini

　　autorun.inf内容：

　　[autorun]

　　open=

　　shell\open\Command=RECYCLER\INFO.exe

　　shell\open\Default=1

　　shell\explore\Command=RECYCLER\INFO.exe

　　desktop.ini内容，伪装RECYCLER为回收站：

　　[.ShellClassInfo]

　　CLSID={645FF040-5081-101B-9F08-00AA002F954E}

　　清除步骤

　　1. 修改Userinit启动项内容为：

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

　　"Userinit"="%System%\svchost.exe"

　　Windows XP/2003默认为：

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

　　"Userinit"="C:\WINDOWS\system32\UserInit.exe,"

　　Windows 2000默认为：

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

　　"Userinit"="C:\WINNT\system32\UserInit.exe,"

　　2. 重新启动计算机

　　3. 删除：

　　文件：%Windows%\system\svchost.exe

　　目录：%Windows%\system\_sv_CMD_\

　　4. 通过资源管理器文件夹树形目录进入分区根目录，删除文件：

　　X:\autorun.inf

　　X:\RECYCLER\INFO.exe

　　（如果计算机里的分区都是FAT32文件格式，可以直接把X:\RECYCLER\目录删除）