这什么病毒?

显示全部楼层 · 发表于 2007-5-29 12:20:34

C:\SysInfo2.Dll
D:\SysInfo2.Dll
E:\SysInfo2.Dll
F:\SysInfo2.Dll
I:\SysInfo2.Dll

卡巴杀了后双击都打不开这些盘

显示全部楼层 · 发表于 2007-5-29 21:23:40

可以上传样本，等待高手指点[:27:]

显示全部楼层 · 发表于 2007-5-29 21:26:27

双击打不开磁盘，是因为打开方式被病毒修改了！

显示全部楼层 · 发表于 2007-5-29 21:28:28

看看还有没有autorun残留

显示全部楼层 · 发表于 2007-5-29 21:42:09

病毒名：Trojan-Spy.Win32.Delf.uy

这是一个无进程病毒，病毒主体就是一个dll（动态链界库）的形式。通过rundll32.exe激活，注入进程的方式发作。

该病毒利用autorun.inf里面的信息重新激活了病毒，病毒被激活后会不断地在system32文件夹下面生成sysinfo.dll，插入到explorer.exe和winlogon.exe里面，在各个分区生成sysinfo2.dll（和sysinfo.dll时同一个文件）和autorun.inf，利用自动播放功能进行传播。

注册表方面：不断创建HKCR\CLSID\{989D2FEB-5411-4565-8988-1DD2C5263377}以及其子项和子键，HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{989D2FEB-5411-4565-8988-1DD2C5263377}以及其子键，实现浏览器劫持，不断地将HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced下面的ShowSuperHidden的值设为4，使得用户不能查看隐藏文件。

解决办法：

用强制删除工具删除system32下面的sysinfo.dll，并删除各个分区下的autorun.inf和sysinfo2.dll。

将注册表的HKCR\CLSID\{989D2FEB-5411-4565-8988-1DD2C5263377}值删除，HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{989D2FEB-5411-4565-8988-1DD2C5263377}也删除掉，HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced的ShowSuperHidden删除。在进行注册表搜索，将所有的sysinfo.dll和sysinfo2.dll相关的项目删除。

重新启动计算机，问题解决。

显示全部楼层 · 发表于 2007-5-29 23:13:05

确认否?

好怕

显示全部楼层 · 发表于 2007-5-29 23:27:20

这个我也遇到过好像，

显示全部楼层 · 发表于 2007-5-30 11:23:34

autorun.inf类的病毒，用USBCLENER不错

显示全部楼层 · 发表于 2007-5-30 12:33:59

支持楼上的。。

显示全部楼层 · 发表于 2007-5-30 21:52:12

路过,顶一下.

[已解决] 这什么病毒?

回复 #5 zerosu6652 的帖子