休假歸來，小心電腦中毒。據(jù)悉，目前U盤已成為傳播病毒的主要途徑之一，偽裝文件夾病毒則是現(xiàn)在用戶較常遇見的一種U盤病毒。該病毒的名字來源也就是它的最大特點——它與原有的文件夾名稱相同。具體表現(xiàn)為，用戶的U盤中出現(xiàn)了一個421KB統(tǒng)一大小的以.exe為后綴的偽裝文件夾，該病毒雙擊可以打開，也可以刪除，但刪除后再刷新可移動磁盤時，病毒文件會再出現(xiàn)。

據(jù)瑞星安全專家介紹，從病毒文件夾刪除后又立即被創(chuàng)建的現(xiàn)象不難看出，系統(tǒng)中正加載著病毒文件，該病毒文件不斷地向U盤寫入文件并命名為“文件夾名.exe”的病毒。當用戶通過“文件夾選項”顯示隱藏文件時，原有的硬盤文件可以看到，但卻無法右鍵修改文件夾的屬性。

據(jù)了解，借助殺毒輔助工具對系統(tǒng)中可疑進程進行排查與刪除是結束這個“罪魁禍首”的最方便的手段。DIY手工處理該病毒，可借助免費殺毒輔助工具XueTr，可以查看進程模塊、注冊表項、系統(tǒng)啟動項等，并通過一系列的排查工作最終檢測到病毒文件并殺之。操作友好容易上手，具體操作步驟如下。

1.查找并結束系統(tǒng)中明顯的異常進程winweb.exe，右鍵將其選中，并選擇“結束進行并刪除文件”操作。

2.利用XueTr工具強制刪除U盤中的兩個病毒文件“我的照片.exe”和“辦公文檔.exe”，注意鉤選“刪除后阻止文件再生”。

3.為檢查病毒文件是否還會再生，用XueTr工具對移動磁盤進行刷新操作，這時會發(fā)現(xiàn)，兩個病毒文件又出現(xiàn)了，據(jù)此分析，系統(tǒng)中還有殘余的病毒文件仍在加載，并不停地向U盤中創(chuàng)建后綴為.exe的文件夾。為了徹底清除病毒文件，再回到進程中逐一檢查系統(tǒng)當前所有進程下加載的文件后，發(fā)現(xiàn)explorer.exe下掛有可疑模塊iconhandle.dll，且無數(shù)字簽名。

4.找到該文件所在目錄C:\WINDOWS\system32，并利用“創(chuàng)建日期”排列該目錄下所有文件查看詳細，這時發(fā)現(xiàn)了意外收獲：該目錄下的webad.dll和web.dat兩個文件與icon?handle.dll的創(chuàng)建時間相同，再仔細檢查一下你會發(fā)現(xiàn)web.dat文件大小為421KB，與U盤下的兩個病毒文件夾大小一致。且正常系統(tǒng)中C:\WIN?DOWS\system32路徑下原本就不存在這三個文件，由此可以推斷三個文件都是由病毒創(chuàng)建，可以全部刪除。

5.右鍵點擊explorer.exe下加載的iconhandle.dll，將其全局卸載。由于iconhandle.dll掛在explorer.exe進程下，全局卸載的時候explorer.exe進程會重啟，屬于正常現(xiàn)象，不必擔心。

6.通過XueTr工具找到上述三個可疑文件，全部選中，右鍵點擊選擇“添加到重啟刪除”操作，然后立即重啟計算機。

計算機重啟后需要進行最后的檢查工作，通過XueTr查看explorer.exe進程下已不再加載 iconhandle.dll，并且 C:\WINDOWS\system32目錄下的三個可疑文件都不復存在，明顯的病毒跡象已不再復現(xiàn)，再次嘗試刪除U盤下的“我的照片.exe”和“辦公文檔.exe”，發(fā)現(xiàn)病毒文件夾不會再次生成了。如此看來該U盤病毒算是清理干凈了，但是原有的文件夾系統(tǒng)屬性仍為隱藏且無法修改，那么還得進行手工殺毒后的善后操作，此處可通過attrib指令修改文件夾系統(tǒng)屬性，方法如下。

1.點擊“開始”“運行”，輸入“cmd”后回車打開DOS窗口。

2.由于當前U盤在系統(tǒng)中所處盤符標志為E盤，故在命令行中輸入“e：”，然后回車。

3.繼續(xù)在命令行輸入“at?trib/s/d-s-h”后回車，待命令運行完后，E盤下的文件夾圖標就恢復正常了。

至此，該U盤病毒的手工處理和修復過程已全部完成。經(jīng)歷了手工殺毒的過程，你會發(fā)現(xiàn)病毒并沒有想像中的那么可怕，只要找到病毒文件，并通過合理可行的方式將其清出系統(tǒng)即可。以上主要給大家提供一種手工處理病毒的思路與技巧，雖然U盤病毒現(xiàn)象不盡相同，但手動清除的原理大同小異，只要掌握手工處理病毒的核心思想與關鍵要素，那么不管是什么類型的病毒在進行手工處理的時候都會有了切入點。