admin管理员组

文章数量:1530013

这里写自定义目录标题

  • 引子
  • 具体现象
  • 病毒分析
  • 解决方法
  • 结论

引子

在学校工作，学校机房的电脑经常受到攻击，U盘的病毒也非常多，最近遇到一个和removeable disk.病毒有点类似的病毒，但又有所不同，特此记录。

具体现象

U盘插入公用电脑后，出现文件消失，并在U盘中出现一个同名的.exe文件。若U盘未取名字，通常命名为Usb Disk（内存）.exe。无论如何格式化，这个Usb Disk一会儿又会出现。

其实，微软自带的防护工具会显示查找到蠕虫病毒，此时已经隔离了该可执行程序，无法打开这个文件。但如若强行打开了exe会发现能打开原本的文件夹，但是此时可执行程序运行，电脑硬盘也将不幸遇害，之后插入你电脑的U盘都会沦陷。

病毒分析

  1. 原文件存放在哪里？

    从命令行目录可以看到，文件存在了名为Kaspersky的隐藏文件夹中并没有删除而只是简单的隐藏了，原本的Usb Disk.exe运行后只是简单的打开了这个文件夹。

文件夹名取做“卡巴斯基”估计也是为了让用户误解自己的杀毒软件从而去关闭杀毒软件。

  1. 中毒后为什么会一直影响电脑的其他U盘？

电脑的进程中会有一个叫做waveedit.exe的进程 另外，在电脑启动项中会有一个叫Waveedit的程序，该程序在电脑启动时会自动运行。
运行完之前伪装的exe文件后就是该程序一直在侵害着计算机。

解决方法

  1. 备份保存U盘文件
    在文件管理器中直接打开对应U盘的目录，如下图我在D盘打开此文件夹，里面直接有文件。

  2. 在进程中终止这个Waveedit.exe程序

  3. 打开cmd终端，输入下面的命令

rmdir /s /q C:\ProgramData\Waveedit
  1. 删除注册列表中对应的启动项

    在注册表中查找所有名字带有waveedit的项，并全部删除，删除完毕后会发现启动项中也没有Waveedit了。

结论

不要乱点陌生的.exe可执行文件
具体这个病毒exe的目的是什么以及要怎么长久的防治还待研究
提供了一个本人编写的脚本可以使U盘文件恢复并关闭病毒进程，还需要手动关闭启动项和删除病毒文件。地址：https://download.csdn/download/weixin_45437033/88790554

本文标签： 病毒removeableDisk

版权声明：本文标题：U盘病毒（类removeable disk病毒） 内容由热心网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：https://m.elefans.com/dianzi/1726719203a1081733.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。