一个强大的VBS脚本，请教

显示全部楼层 · 发表于 2007-10-31 08:35:50

今天在实验室电脑上发现的一个脚本程序，特征主要是每个磁盘分区下建立autorun.inf，内容如下：

[AutoRun]
Shellexecute=WScript.exe juan.vbs "AutoRun"
shell\AutoRun=打开(&O)
shell\AutoRun\command=WScript.exe juan.vbs "AutoRun"
shell\AutoRun1=资源管理器(&X)
shell\AutoRun1\command=WScript.exe juan.vbs "AutoRun"

由于本人不懂VBS，所以请教高手帮忙分析一下，主要是它写在注册表里的东西。
我先结束WScript.exe进程，然后清除所有的autorun.inf以及juan.vbs不行，所以怀疑注册表里也有该清除掉
请高手指点
附件是VBS的原文

显示全部楼层 · 发表于 2007-10-31 08:38:50

Starting the file scan:

Begin scan in 'E:\AutoRun.rar'
E:\AutoRun.rar
  [0] Archive type: RAR
  --> juan.vbs
   [DETECTION] Contains detection pattern of the VBS script virus VBS/Changeset.A
   [INFO]    The file was renamed to 'AutoRun.rar.VIR'!

显示全部楼层 · 发表于 2007-10-31 08:40:48

卡巴没有提示

显示全部楼层 · 发表于 2007-10-31 09:25:46

就没有高手指点吗？那我到别的论坛看看

显示全部楼层 · 发表于 2007-10-31 11:38:36

只一段VBS脚本卡巴一般不报
一般只是不是格式盘符的脚本杀毒软件一般不报

显示全部楼层 · 发表于 2007-10-31 11:56:12

应该可以用监控软件逆向监控

显示全部楼层 · 发表于 2007-10-31 12:05:51

原帖由 wxzsky 于 2007-10-31 11:38 发表
只一段VBS脚本卡巴一般不报
一般只是不是格式盘符的脚本杀毒软件一般不报

怎么彻底清除？？？

显示全部楼层 · 发表于 2007-10-31 12:49:20

分析看这里，清理嘛，对照它对文件和注册表的改动，改回来就可以了
http://bbs.kafan.cn/viewthread.php?tid=150440&extra=page%3D1

显示全部楼层 · 发表于 2007-11-1 00:23:59

弄了个研究用的专杀，主要由批处理构成，有兴趣的看看吧

http://hi.baidu.com/dikex/blog/item/512bb801d7d400d5277fb5ff.html

显示全部楼层 · 发表于 2007-11-1 09:53:32

Panda S.O.S Virus 病毒分析實驗室已證實此檔案 AutoRun.rar 感染病毒: backdoor VBS/Agent.GYG

詳細資訊: http://www.pandasecurity.com/homeusers/security-info/about-malware/encyclopedia/overview.aspx?IdVirus=178279

[可疑文件] 一个强大的VBS脚本，请教

本帖子中包含更多资源

Panda 回覆