隨機數字命名.pif文件類病毒分析與清除

【原創文章，版權所有，賽迪獨家發佈。如欲轉載，請註明出處「賽迪網」和文章作者「柳焚煙」！違者，賽迪網將保留追究其法律責任的權利！】

【賽迪網-IT技術報道】昨天去一個客戶清理病毒，看上去很頑固，試了很多次才發現癥結所在，拿出來分享大家，有需要的時候作為參考。

中毒現象：

1.「程序」－「啟動」中自動加載隨機數字命名的.pif文件，如3.pif、5.pif等，比較有意思的是都是奇數文件名，沒有偶數的。

2.所有盤符下出現autorun.inf和hbx字樣隱藏dos快捷方式。

3.Downloaded Program Files可能會出現svchost.exe。

4.當你試圖刪除「程序」－「啟動」中的.pif文件時會出現拒絕訪問的提示。

5.部分機器會每隔一段時間彈出網頁。

病毒清除

處理了多次，autorun.inf和hbx重啟後仍然出現，最後發現有個隱藏的wuauclt.exe程序一閃即逝，原來是病毒生成，替代了系統的升級程序，清理此病毒的關鍵就在此。

禁止該進程啟動，刪除偽裝的wuauclt.exe文件，將wuauclt1.exe名稱恢復為wuauclt.exe，再次清理autorun.inf和hbx，完成。

這年頭，眼神不好用也不成啊。

(作者「柳焚煙」系賽迪網安全社區版主，安全專家。)

(