u.vbe病毒(U盘病毒)+症状+样本+清除方法

youba

最近很多使用U盘的电脑和局域网.都被U.vbe这种病毒骚扰过.其现象就是在电脑各驱动器下建立文件"u.bat""u.vbe""时间.sk".因为文件时隐藏的.需要把电脑隐藏文件选项去掉

症状：
1、U盘携带病毒的最初症状是双击打不开U盘，点右键打开也无法打开。
2、用rar打开u盘，发现了u.vbe和类似回收站图标的文件

简单清除：
如果U盘中毒并未双击打开，可以通过rar程序进入u盘，直接删除这些文件，包括autorun.inf文件。删除后U盘即刻恢复

截止发稿，只有咖啡可以查杀到，其它杀软全部免检。

具体清除方法.
将以下代码保存为.bat文件格式
@echo off
title U盘清理--出现“找不到”等错误不影响使用！
echo.正在清理...
setlocal ENABLEDELAYEDEXPANSION ENABLEEXTENSIONS
cd /d "%systemroot%\"
del /a /f /q "%systemdrive%\已经被反U盘病毒的“病毒”感染.txt" inf.tem uda.a u.vbe uhere-*.txt "%ALLUSERSPROFILE%\「开始」菜单\程序\启动\u.vbe" u.bat zap.a zap.exe uda.exe ReadMe.txt s.vbe uda-解压.bat 主操控.bat Anti-U盘免疫.bat U盘病毒分析.bat 打开发送功能.bat
set /a n=0
set dl=CDEFGHIJKLMNOPQRSTUVWXYZ
:s
set d=!dl:~%n%,1!:
if exist %d% (cd /d %d%\&del /a /f /q u.bat u.vbe  !uda.a  U盘病毒分析Beta3.exe autorun.inf *.sk&md u.vbe&attrib u.vbe +h&md autorun.inf&attrib autorun.inf +h)
set /a n=n+1
if not %n%==24 goto s
reg delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v vbe /f
md %HOMEDRIVE%\ubye.txt
attrib %HOMEDRIVE%\ubye.txt +h
md %HOMEDRIVE%\8bye.txt
attrib %HOMEDRIVE%\8bye.txt +h
echo.
echo.----------------------------------------
echo.清理完成！建议重新启动计算机以更新设置。
echo.按任意键退出...
pause>nul
--------------------------------------------------------------------------------------------------
以下代码保存为.bat格式进行u.vbe病毒的免疫
@echo off
call:s C: D: E: F: G: H: I: J: K: L: M: N: O: P: Q: R: S: T: U: V: W: X: Y: Z:
goto :eof
:s
echo.y|cacls "%~1\autorun.inf" /p everyone:f
rd "%~1\autorun.inf" /s /q
shift
if not "%1"=="" goto s
因为该病毒是通过U盘传播的.在使用U盘的时候要多加防范


描述：样本，多数杀毒软件免检的




电脑病毒的定义为：1、传播性；2、潜伏性；3、破坏性。根据此定义，本脚本这完全符合1，有点符合2，不符合3（若说破坏性也不是没有，但只针对 U盘病毒，而且会在删除文件前备份，备份地址：%systemroot%\bakfiles\），因此，病毒二字加了引号，即不是真正的病毒。本脚本的目的是通过U盘传播，并沿途清理U盘中的病毒，如果可能，会把收集到的病毒文件发给作者；不会给您造成太多不便（与其被U盘病毒感染，不如被本脚本感染啦）。如果您觉得这样给您造成了不便，想卸载本脚本，请在%systemdrive%\下新建一个名为8bye的文本文件（不需要写入内容，即：新建% endf%），大约在20秒内完成卸载，并帮助您进行U盘病毒免疫。欲了解更多，请打开 U盘病毒分析的自述文件（地址：%systemroot%\readme.txt）。

[ 本帖最后由 youba 于 2008-5-8 09:06 编辑 ]

郁冰兰雪

youba

该病毒的主体文件--u.vbe居然被过了！autorun.inf居然是毒！真不可思议

回复楼下，看来所有的脚本自动运行病毒，都是将autorun.inf视为病毒文件吗？

[ 本帖最后由 youba 于 2008-5-8 09:20 编辑 ]

郁冰兰雪

删除后，病毒就不能自行运行了，只能手工了！

mofunzone

Starting the file scan:

Begin scan in 'C:\Documents and Settings\morgan\My Documents\RECYCLER.rar'
C:\Documents and Settings\morgan\My Documents\
  RECYCLER.rar
    [0] Archive type: RAR
    --> RECYCLER\desktop.ini
    --> autorun.inf
        [DETECTION] Is the Trojan horse TR/Agent.AFXZ
    --> u.vbe
      [WARNING]   The file was ignored!
  RECYCLER.rar:Zone.Identifier


End of the scan: 2008年5月7日  19:01
Used time: 00:05 min

The scan has been done completely.

      0 Scanning directories
      5 Files were scanned
      1 viruses and/or unwanted programs were found
      0 Files were classified as suspicious:
      0 files were deleted
      0 files were repaired
      0 files were moved to quarantine
      0 files were renamed
      0 Files cannot be scanned
      4 Files not concerned
      1 Archives were scanned
      1 Warnings
      0 Notes

挪威的冬天

信息        2008-05-08  12:19:59        您此次查毒清除了1个病毒                       
信息        2008-05-08  12:19:59        您此次查毒共查出1个病毒以及危险代码                       
信息        2008-05-08  12:19:59        您此次查毒共查了内存模块0个，磁盘引导扇区0个，文件4个                       
信息        2008-05-08  12:19:59        金山毒霸主程序查毒过程结束，查毒方式：命令行查毒                       
病毒        2008-05-08  12:19:59        D:\Desktop\RECYCLER.rar\autorun.inf        JS.Agent.mw.152        清除成功

asinasina

不错～下下来试一下

真.菲戈

Begin scan in 'D:\Downloads\Sample\RECYCLER.rar'
D:\Downloads\Sample\RECYCLER.rar
  [0] Archive type: RAR
  --> autorun.inf
      [DETECTION] Is the Trojan horse TR/Agent.AFXZ
      [NOTE]      The file was deleted!

爱·妖姬

U.vbe才是真正的病毒体 这东西经典了,起码都四个月以上了

Palkia

在 C:\Documents and Settings\Administrator\桌面\RECYCLER.rar->autorun.inf 中发现 Trojan/INF.bo 病毒, 已删除
在 C:\Documents and Settings\Administrator\桌面\RECYCLER.rar->u.vbe 中发现 Trojan/INF.bp 病毒, 已删除