找回密码
 注册

QQ登录

只需一步,快速开始

查看: 4586|回复: 11

为什么一开机进入系统后会出现一个记事本的对话框啊?

图拉丁 发表于 2006-8-22 19:19:24 | 显示全部楼层 |阅读模式 来自 中国江西上饶

马上注册,结交更多好友,享用更多功能。

您需要 登录 才可以下载或查看,没有帐号?注册

x
为什么一开机进入系统后会出现一个记事本的对话框啊?
用卡吧斯基杀了毒,也没杀着啊?请教
风起云涌 发表于 2006-8-22 20:43:50 | 显示全部楼层 来自 中国山东淄博
你可以试着沟一下启动项,呵呵,一般是中毒了,
lin1052554 发表于 2006-8-23 03:27:35 | 显示全部楼层 来自 中国广东佛山
我也是从网上看到的关于启动电脑弹出记事本的解决方法,现在转贴过来:开机自动打开记事本的解决方法
最近我的两个同学的本本相继出现开机自动打开记事本的状况,觉得蹊跷上网找了下这是方法,绝对管用!每次开机,都会弹出一个空白记事本(但是运行msconfig启动项,又没的提示加载记事本)。虽然没多大影响,但感觉肯定是有问题。偶移动硬盘(或优盘)插到USB口时,点击盘符进入时,也会弹出空白记事本。随后,瑞星注册表监控程序显示将修改为“HKEY_CURRENT_USERSoftwareMicrosoftWindowsShellNoRoamMUICache
C:windowssystem32wincfgs.exe”。

会在每个磁盘根目录下面生成一个desktop.ini(移动设备有的会创建autorun.inf).

解决方法:(可到这里下载批处理附件--解决开机自动打开记事本,直接一次解决)

1.批处理删除注册表修改:

复制下面文字到记事本,另存为“Wincfgs_kill.bat”(注意保存时选择文件类型为“所有文件”)

echo off
tskill KB20060111
tskill wincfgs
del %windir%kb20060111.exe
del %windir%system32wincfgs.exe
reg delete "HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWindows" /v "load" /f
reg add "HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWindows" /v "load" /t REG_SZ /d "" /f

2.移动设备解决方法(以优盘为例):

连接好USB后,打开我的电脑,点右键选择打开(不要直接点击打开或点“open”),然后打开菜单栏的"工具"->"文件夹选项"->"查看",去掉“隐藏受保护的系统文件(推荐)”前面的勾。删除掉优盘里面的desktop.ini,wincfgs.exe和autorun.inf

移动硬盘的手动删除每个盘符下面的desktop.ini,wincfgs.exe和autorun.inf文件。 另外一种手动解决方法传播途径:U盘等移动存储危害性:暂无破坏性,只是开机跳出记事本,杀毒软件不能查出病毒。
手动删除方法:
用任务管理器或者木马杀客或者HijackThis结束wincfgs进程,
删除C:WINDOWSKB20060111.exe(也许文件名不同,和记事本一样的蓝色图标)
和C:windowssystem32wincfgs.exe(黄色问号图标的隐藏系统文件)。
开始-运行-regedit,进入注册表,搜索注册表删除wincfgs.exe
比如删除注册表以下项/子项:没有的话当然不用删除了!!!
HKEY_CURRENT_USERSoftwareMicrosoftWindowsShellNoRoamMUICacheNcB)1Z
C:WINDOWSKB20060111.exec>
HKEY_LOCAL_MACHINESOFTWAREMicrosoftShared ToolsMSConfigstartupregLoad=b*DZs
再运行msconfig或者在[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun]项清理开机启动项。 此现象是蠕虫行为,特此提醒广大网友警惕。
这个蠕虫目前绝大多数的主流杀毒软件都可以查杀,请发现此现象的朋友升级杀毒软件进行杀毒!
以下是对此蠕虫做的一些简单分析:蠕虫名称:Worm.Win32.Delf.aj(AVP)
蠕虫别名:Trojan.Spy.UsbSpy.a(瑞星)、TrojanSpy.USBSpy.a(江民)
蠕虫大小:47,104字节
加壳方式:UPX
MD5:07adddef653a702b9a11edbcee07e82b
CRC32:100A382A
发作现象:
电脑开机时会自动弹出记事本,会生成wincfgs.exe、KB20060111.exe等文件
行为分析:
1. 在注册表中创建USBSpyRunMutex互斥量,避免重复感染。
2. 在系统中生成
C:\%system%wincfgs.exe(系统、隐藏、只读属性)
C:\%WINDOWS%KB20060111.exe(大小66,560 字节,非病毒,是记事本程序)
3. 在注册表中添加:
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWindows
Load =“C:windowssystem32wincfgs.exe”
4. 在移动设备中生成RECYCLERRECYCLER目录和autorun.inf,在这个目录下生成autorun.exe、desktop.ini。
autorun.inf的内容:
[autorun]
open=.RECYCLERRECYCLERautorun.exe
shell1=Open
shell1Command=.RECYCLERRECYCLERautorun.exe
shell2=Browser
shell2Command=.RECYCLERRECYCLERautorun.exe
shellexecute=.RECYCLERRECYCLERautorun.exe
autorun.exe同wincfgs.exe
desktop.ini的内容:
[.ShellClassInfo]
CLSID={645FF040-5081-101B-9F08-00AA002F954E}
由此可见,当含有病毒的移动设备接入电脑时,蠕虫会被自动运行。
sunli003 发表于 2006-8-23 09:33:42 | 显示全部楼层 来自 中国河南新乡
那中毒了,
就它,wincfgs这个文件~~~~
维克 发表于 2006-8-23 10:47:21 | 显示全部楼层 来自 中国福建福州
肯定中毒了.
图拉丁  | 发表于 2006-8-23 13:39:53 | 显示全部楼层 来自 中国江西上饶
三楼的,谢了
yanjunwang008 发表于 2006-8-23 14:38:26 | 显示全部楼层 来自 中国江苏无锡
病毒呵
平哥哥 发表于 2006-8-25 21:28:29 | 显示全部楼层 来自 中国广东江门
中毒了.
xiao4986 发表于 2006-8-29 13:19:56 | 显示全部楼层 来自 中国广东广州
多谢分享
legendpc 发表于 2006-8-29 14:13:33 | 显示全部楼层 来自 中国黑龙江大庆
重装吧,过一段还会犯的
sunli003 发表于 2006-9-2 13:30:17 | 显示全部楼层 来自 中国河南新乡
wincfgs.exe
中毒了~~~~~~~~~~~~~~
任务管理器里 结束进程
msconfig
启动项里取消就可以了
jonedave 发表于 2006-9-2 13:57:09 | 显示全部楼层 来自 中国浙江杭州
感谢三楼的分享,我觉得这类病毒按三楼的方法最好在安全模式下操作,一般不会重复感染的!用不着重做系统!
您需要登录后才可以回帖 登录 | 注册

本版积分规则

快速回复 返回顶部 返回列表