系統癥狀
每次雙擊盤符出現一個新窗口
windows任務管理器出現了一個Excel的程序
鼠標右鍵點盤符出現"Auto"字樣
無法顯示隱藏文件
無法 取消或者鉤選 隱藏已知文件類型的擴展名

樣本信息
File size: 49152 bytes
MD5: d88f7c6c15585404c30c92a11c429c36
SHA1: af2120915a1eeada68f62ab437ccb0c563675f3e
文件屬性為隱藏

樣本命名
Kaspersky--Trojan.Win32.VB.atg
瑞星--Trojan.VB.vtj

樣本分析

注冊表中添加
HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
[ASocksrv]SocksA.exe

HKCUSoftwareMicrosoftWindowsCurrentVersionRun
[BSserver]FileKan.exe

修改注冊表
HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL
[CheckedValue] 被清空..

HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHideFileExt
[UncheckedValue] 被修改為 1

釋放文件
C:Documents and SettingsmoperyLocal SettingsTemp~DF8785.tmp
C:Documents and SettingsmoperyLocal SettingsTemp~DFD1D6.tmp
C:WINDOWSsystem32algsrv.exe
C:WINDOWSsystem32FileKan.exe
C:WINDOWSsystem32SocksA.exe
C:windowsufdata2000.log
每個盤符下釋放
AUTORUN.INF
tel.xls.exe

AUTORUN.INF文件內容
[AutoRun]
open=tel.xls.exe
shellexecute=tel.xls.exe
shellAutocommand=tel.xls.exe
shell=Auto
[VVflagRun]
aabb=kdkfjdkf

解決方案

1.Ctrl + Alt + Del 打開任務管理器
結束應用程序中的Excel

2. 刪除文件
C:Documents and SettingsmoperyLocal SettingsTemp~DF8785.tmp
C:Documents and SettingsmoperyLocal SettingsTemp~DFD1D6.tmp
C:WINDOWSsystem32algsrv.exe
C:WINDOWSsystem32FileKan.exe
C:WINDOWSsystem32SocksA.exe
C:windowsufdata2000.log

3. 刪除注冊表
HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun
[ASocksrv]SocksA.exe

HKCUSoftwareMicrosoftWindowsCurrentVersionRun
[BSserver]FileKan.exe

4.恢復顯示所有的文件項
開始=>運行=>regedit找到HKEY_LOCAL_MACHINESoftwareMicrosoftwindowsCurrentVersionexplorerAdvancedFolderHiddenSHOWALL刪除 CheckedValue 鍵值 然后單擊右鍵"新建" - "Dword值"，并命名為CheckedValue,然后修改它的鍵值為1

HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHideFileExt
[UncheckedValue]   雙擊 從 1 改回 0

5.右鍵=>打開進入每個盤符 依次刪除每個盤符里的文件
AUTORUN.INF
tel.xls.exe