關(guān)鍵詞： Trojan.PSW.QQPa autorun.inf
今天剛清除了sms.exe病毒(瑞星稱為 Trojan.PSW.QQPass.pqb 病毒)，現(xiàn)在將方法匯總一下，供大家參考：
特征：在每個(gè)盤根目錄下自動(dòng)生成sxs.exe,autorun.inf文件，有的還在windows\system32下生成SVOHOST.exe 或 sxs.exe ，文件屬性為隱含屬性。自動(dòng)禁用殺毒軟件。
傳染途徑：主要通過U盤，移動(dòng)硬盤
迷惑性：
1、按ctrl+del+alt查看進(jìn)程，可能多出svohost進(jìn)程，他與系統(tǒng)自帶的svchost只差一字，大家要看清楚！
2、注冊(cè)表修改項(xiàng)隱蔽更強(qiáng)，如何修改我將在下面詳細(xì)說明。
3、自動(dòng)修改注冊(cè)表，使系統(tǒng)“顯示所有隱藏文件”功能失效，從而達(dá)到隱藏自己病毒體文件的目的。
清除辦法：
建議到安全模式下，網(wǎng)上有許多網(wǎng)友說直接搜索sms.exe文件刪除是不可以的，因?yàn)橐粍h除后，只要你刷新就立刻出現(xiàn)。
1、關(guān)閉病毒進(jìn)程
Ctrl + Alt + Del 任務(wù)管理器，在進(jìn)程中查找 sxs 或 SVOHOST（不是SVCHOST，相差一個(gè)字母），有的話就將它結(jié)束掉（并不是所有的系統(tǒng)都顯示有這個(gè)進(jìn)程，沒有的就略過此步）。
2、恢復(fù)注冊(cè)表（有的系統(tǒng)可能病毒沒有修改注冊(cè)表，檢驗(yàn)辦法是，如果您的系統(tǒng)能看到隱藏文件那么這步可以省略，建議大家都看一下）
(刪除病毒自啟動(dòng)項(xiàng))打開注冊(cè)表 運(yùn)行——regedit
HKEY_LOCAL_MACHINE>;SOFTWARE>;Microsoft>;Windows>;CurrentVersion>;Run
SVOHOST.exe 或 sxs.exe
下找到 SoundMam（注意不是soundman,只差一個(gè)字母） 鍵值，可能有兩個(gè)，刪除其中的鍵值為 C:\\WINDOWS\system32\SVOHOST.exe 的（顯示出被隱藏的系統(tǒng)文件）
HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL，將CheckedValue鍵值修改為1
這里要注意，病毒會(huì)把本來有效的DWORD值CheckedValue刪除掉，新建了一個(gè)無效的字符串值CheckedValue,類型為REG_SZ，并且把鍵值改為0！我們將這個(gè)改為1是毫無作用的。大家要看清楚CheckedValue后面的類型，正確的是“RED_DWORD”而不是“REG_SZ”（有部分病毒變種會(huì)直接把這個(gè)CheckedValue給刪掉，只需和下面一樣，自己再重新建一個(gè)就可以了）
方法：刪除此CheckedValue鍵值，單擊右鍵 新建——Dword值——命名為CheckedValue，然后修改它的鍵值為1，這樣就可以選擇“顯示所有隱藏文件”和“顯示系統(tǒng)文件”。在文件夾——工具——文件夾選項(xiàng)中將系統(tǒng)文件和隱藏文件設(shè)置為顯示
3、刪除病毒體文件
在分區(qū)盤上單擊鼠標(biāo)右鍵——打開，看到每個(gè)盤跟目錄下有 autorun.inf 和 sxs.exe 兩個(gè)文件，將其刪除。
最徹底的刪除辦法是：?jiǎn)螕糸_始--運(yùn)行--cmd 確定后在dos狀態(tài)下寫如下命令(一般系統(tǒng)盤跟目錄下可能沒有病毒體文件，但是其他盤應(yīng)該都存在)
attrib -h -r -s c:\sxs.exe
del c:\sxs.exe
attrib -h -s -r c:\autorun.inf
del c:\autorun.inf
attrib -h -r -s d:\sxs.exe
del d:\sxs.exe
attrib -h -s -r d:\autorun.inf
del d:\autorun.inf
如果大家還有其他的盤符可以參考我上面的寫一下就可以，如果有E盤，那就是
attrib -h -r -s e:\sxs.exe
del e:\sxs.exe
attrib -h -s -r e:\autorun.inf
del e:\autorun.inf
=============建議大家可以寫成一的批處理，然后運(yùn)行一下就ok了。
最后到 C:\\WINDOWS\system32\ 目錄下刪除 SVOHOST.exe 或 sxs.exe
為了方便大家我寫了一個(gè)批處理刪除病毒體文件，運(yùn)行的時(shí)候如果提示“沒有發(fā)現(xiàn)該文件”說明找不到病毒體文件，沒有關(guān)系的。因?yàn)橛行┠夸洸《究赡軟]有復(fù)制到里面去。
大家把這個(gè)復(fù)制后用文本文件保存，然后改名為delsxs.bat,最后雙擊運(yùn)行就ok了,我只寫到G盤的，估計(jì)就夠用的，另外加了個(gè)h（u）盤的
attrib -h -r -s c:\sxs.exe
del c:\sxs.exe
attrib -h -s -r c:\autorun.inf
del c:\autorun.inf
attrib -h -r -s d:\sxs.exe
del d:\sxs.exe
attrib -h -s -r d:\autorun.inf
del d:\autorun.inf
attrib -h -r -s e:\sxs.exe
del e:\sxs.exe
attrib -h -s -r e:\autorun.inf
del e:\autorun.inf
attrib -h -r -s f:\sxs.exe
del f:\sxs.exe
attrib -h -s -r f:\autorun.inf
del f:\autorun.inf
attrib -h -r -s g:\sxs.exe
del g:\sxs.exe
attrib -h -s -r g:\autorun.inf
del g:\autorun.inf
attrib -h -r -s h:\sxs.exe
del h:\sxs.exe
attrib -h -s -r h:\autorun.inf
del h:\autorun.inf
最后提醒大家的是：使用u盤或者是移動(dòng)硬盤的時(shí)候要在插入后，立刻按住shift鍵，防止自動(dòng)運(yùn)行程序啟動(dòng)，打開的時(shí)候要點(diǎn)右鍵--打開，這樣病毒就不會(huì)運(yùn)行（如果存在病毒文件sxs.exe和autorun.inf直接刪除就ok了），否則如果你的u盤上有此病毒，你雙擊后，非但打不開u盤，還運(yùn)行了病毒程序，呵呵上面做的一切都要重做了哦。
至于殺毒軟件不能自動(dòng)啟動(dòng)的問題，那可以重新安裝或者參考各殺毒軟件的處理辦法了，這里就不一一列舉了
最簡(jiǎn)單的方法：
sxs.exe病毒專殺工具之“橙色八月專殺工具.bat”
打開記事本將以下代碼復(fù)制后另存為“橙色八月sxs專殺工具.bat”文件，然后運(yùn)行！
echo.
@echo::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
@echo::停止正在運(yùn)行的SXS.EXE和SVOHOST.EXE進(jìn)程，請(qǐng)稍侯......
@echo::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
TASKKILL /F /T /IM SXS.EXE
TASKKILL /F /T /IM SVOHOST.EXE
TASKKILL /F /T /IM ROSE.EXE
color 4F
color 0C
color 4F
color 0C
color 4F
color 0C
echo.
echo.
@echo::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
@echo::恢復(fù)注冊(cè)表中不給設(shè)置顯示隱藏文件的項(xiàng)目,請(qǐng)稍侯
@echo::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
ECHO Windows Registry Editor Version 5.00>SHOWALL.reg
ECHO [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]>>SHOWALL.reg
ECHO "CheckedValue"=->>SHOWALL.reg
ECHO [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]>>SHOWALL.reg
ECHO "CheckedValue"=dword:00000001>>SHOWALL.reg
@echo::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
@echo::刪除系統(tǒng)目錄下的SXS.EXE、SVOHOST.EXE和WINSCOK.DLL文件,請(qǐng)稍侯......
@echo::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
ATTRIB -R -H -S -A %SystemRoot%\System32\SXS.EXE
ATTRIB -R -H -S -A %SystemRoot%\System32\SVOHOST.EXE
ATTRIB -R -H -S -A %SystemRoot%\System32\WINSCOK.DLL
DEL /F /Q /A -R -H -S -A %SystemRoot%\System32\SXS.EXE
DEL /F /Q /A -R -H -S -A %SystemRoot%\System32\SVOHOST.EXE
DEL /F /Q /A -R -H -S -A %SystemRoot%\System32\WINSCOK.DLL
ATTRIB -R -H -S -A %SystemRoot%\SXS.EXE
ATTRIB -R -H -S -A %SystemRoot%\SVOHOST.EXE
ATTRIB -R -H -S -A %SystemRoot%\WINSCOK.DLL
DEL /F /Q /A -R -H -S -A %SystemRoot%\SXS.EXE
DEL /F /Q /A -R -H -S -A %SystemRoot%\SVOHOST.EXE
DEL /F /Q /A -R -H -S -A %SystemRoot%\WINSCOK.DLL
ATTRIB -R -H -S -A %SystemRoot%\System\SXS.EXE
ATTRIB -R -H -S -A %SystemRoot%\System\SVOHOST.EXE
ATTRIB -R -H -S -A %SystemRoot%\System\WINSCOK.DLL
DEL /F /Q /A -R -H -S -A %SystemRoot%\System\SXS.EXE
DEL /F /Q /A -R -H -S -A %SystemRoot%\System\SVOHOST.EXE
DEL /F /Q /A -R -H -S -A %SystemRoot%\System\WINSCOK.DLL
ATTRIB -R -H -S -A %SystemRoot%\System32\dllcache\SXS.EXE
ATTRIB -R -H -S -A %SystemRoot%\System32\dllcache\SVOHOST.EXE
ATTRIB -R -H -S -A %SystemRoot%\System32\dllcache\WINSCOK.DLL
DEL /F /Q /A -R -H -S -A %SystemRoot%\System32\dllcache\SXS.EXE
DEL /F /Q /A -R -H -S -A %SystemRoot%\System32\dllcache\SVOHOST.EXE
DEL /F /Q /A -R -H -S -A %SystemRoot%\System32\dllcache\WINSCOK.DLL
@echo::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
@echo::刪除每個(gè)分區(qū)下的SXS.EXE和AUTORUN.INF文件，請(qǐng)稍侯.......
@echo::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
FOR %%a IN ( C: D: E: F: G: H: I: J: K: L: M: N: O: P: Q: R: S: T: U: V: W: X: Y: Z: ) DO ATTRIB -R -H -S -A %%a\SXS.EXE & DEL /F /Q /A -R -H -S -A %%a\SXS.EXE & ATTRIB -R -H -S -A %%a\AUTORUN.INF & DEL /F /Q /A -R -H -S -A %%a\AUTORUN.INF
@echo::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
@echo::刪除注冊(cè)表中自啟動(dòng)項(xiàng)，請(qǐng)稍侯......
@echo::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
ECHO Windows Registry Editor Version 5.00>SoundMam.reg
ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\SoundMam]>>SoundMam.reg
ECHO [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]>>SoundMam.reg
ECHO "SoundMam"=->>SoundMam.reg
REGEDIT /S SoundMam.reg
DEL /F /Q SoundMam.reg
REGEDIT /S SHOWALL.reg
DEL /F /Q SHOWALL.reg
color 3f
echo.
@echo 病毒文件已清除!
echo.
echo.
echo.
@echo
@echo
@echo
@echo
@echo
@echo
@echo
echo.
@echo
echo.
@echo
echo.
@echo
echo.
@echo
echo.
echo.
echo.
echo.
pause
echo.
echo.
echo.
echo.
echo.
echo.
echo.
大家試試看！絕對(duì)管用，我用過的。
