我也是从网上看到的关于启动电脑弹出记事本的解决方法,现在转贴过来:开机自动打开记事本的解决方法
最近我的两个同学的本本相继出现开机自动打开记事本的状况,觉得蹊跷上网找了下这是方法,绝对管用!每次开机,都会弹出一个空白记事本(但是运行msconfig启动项,又没的提示加载记事本)。虽然没多大影响,但感觉肯定是有问题。偶移动硬盘(或优盘)插到USB口时,点击盘符进入时,也会弹出空白记事本。随后,瑞星注册表监控程序显示将修改为“HKEY_CURRENT_USERSoftwareMicrosoftWindowsShellNoRoamMUICache
C:windowssystem32wincfgs.exe”。
会在每个磁盘根目录下面生成一个desktop.ini(移动设备有的会创建autorun.inf).
解决方法:(可到这里下载批处理附件--解决开机自动打开记事本,直接一次解决)
1.批处理删除注册表修改:
复制下面文字到记事本,另存为“Wincfgs_kill.bat”(注意保存时选择文件类型为“所有文件”)
echo off
tskill KB20060111
tskill wincfgs
del %windir%kb20060111.exe
del %windir%system32wincfgs.exe
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWindows" /v "load" /f
reg add "HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWindows" /v "load" /t REG_SZ /d "" /f
2.移动设备解决方法(以优盘为例):
连接好USB后,打开我的电脑,点右键选择打开(不要直接点击打开或点“open”),然后打开菜单栏的"工具"->"文件夹选项"->"查看",去掉“隐藏受保护的系统文件(推荐)”前面的勾。删除掉优盘里面的desktop.ini,wincfgs.exe和autorun.inf
移动硬盘的手动删除每个盘符下面的desktop.ini,wincfgs.exe和autorun.inf文件。 另外一种手动解决方法传播途径:U盘等移动存储危害性:暂无破坏性,只是开机跳出记事本,杀毒软件不能查出病毒。
手动删除方法:
用任务管理器或者木马杀客或者HijackThis结束wincfgs进程,
删除C:WINDOWSKB20060111.exe(也许文件名不同,和记事本一样的蓝色图标)
和C:windowssystem32wincfgs.exe(黄色问号图标的隐藏系统文件)。
开始-运行-regedit,进入注册表,搜索注册表删除wincfgs.exe
比如删除注册表以下项/子项:没有的话当然不用删除了!!!
HKEY_CURRENT_USERSoftwareMicrosoftWindowsShellNoRoamMUICacheNcB)1Z
C:WINDOWSKB20060111.exec>
HKEY_LOCAL_MACHINESOFTWAREMicrosoftShared ToolsMSConfigstartupregLoad=b*DZs
再运行msconfig或者在[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun]项清理开机启动项。 此现象是蠕虫行为,特此提醒广大网友警惕。
这个蠕虫目前绝大多数的主流杀毒软件都可以查杀,请发现此现象的朋友升级杀毒软件进行杀毒!
以下是对此蠕虫做的一些简单分析:蠕虫名称:Worm.Win32.Delf.aj(AVP)
蠕虫别名:Trojan.Spy.UsbSpy.a(瑞星)、TrojanSpy.USBSpy.a(江民)
蠕虫大小:47,104字节
加壳方式:UPX
MD5:07adddef653a702b9a11edbcee07e82b
CRC32:100A382A
发作现象:
电脑开机时会自动弹出记事本,会生成wincfgs.exe、KB20060111.exe等文件
行为分析:
1. 在注册表中创建USBSpyRunMutex互斥量,避免重复感染。
2. 在系统中生成
C:\%system%wincfgs.exe(系统、隐藏、只读属性)
C:\%WINDOWS%KB20060111.exe(大小66,560 字节,非病毒,是记事本程序)
3. 在注册表中添加:
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWindows
Load =“C:windowssystem32wincfgs.exe”
4. 在移动设备中生成RECYCLERRECYCLER目录和autorun.inf,在这个目录下生成autorun.exe、desktop.ini。
autorun.inf的内容:
[autorun]
open=.RECYCLERRECYCLERautorun.exe
shell1=Open
shell1Command=.RECYCLERRECYCLERautorun.exe
shell2=Browser
shell2Command=.RECYCLERRECYCLERautorun.exe
shellexecute=.RECYCLERRECYCLERautorun.exe
autorun.exe同wincfgs.exe
desktop.ini的内容:
[.ShellClassInfo]
CLSID={645FF040-5081-101B-9F08-00AA002F954E}
由此可见,当含有病毒的移动设备接入电脑时,蠕虫会被自动运行。 |