autorun.inf和sbl.exe之U盘病毒的清除方法
作者：
autorun.inf和sbl.exe之U盘病毒的清除方法
病毒生成如下文件：
Code:
C:\WINDOWS\system32\1.inf
C:\WINDOWS\system32\chostbl.exe
C:\WINDOWS\system32\lovesbl.dll
在每个分区下面创建autorun.inf和sbl.exe,并不断检测chostbl.exe的属性是否为隐藏
注册服务AnHao_VIP_CAHW 指向C:\WINDOWS\system32\chostbl.exe,达到开机启动的目的.
启动类型：自动
显示名称：A GooD DownLoad CAHW
调用TerminateProcess函数关闭如下进程
Code:
360safe.exe
360tray.exe
runiep.exe
avp.exe
调用GetWindowsTextA函数 获得当前窗口标题，并调用PostMessageA函数试图发送WM_CLOSE,WM_DESTROY,WM_QUIT指令关闭带有如下字样的窗口
Quote:
卡卡
江民
金山
任务管理器
木马清道夫
木马克星
超级巡警
NOD32核心
安全
安全卫士
木马杀客
NOD32
内核
OD
微点
调用FindWindowA函数查找如下窗口 并试图调用PostMessageA函数向其发送WM_CLOSE指令 关闭窗口
Quote:
AVP.AlertDialog
AVP.Product_Notification
AVP.Product_Noti
调用cmd.exe 执行net stop sharedaccess命令 关闭Windows自带的防火墙服务
C:\WINDOWS\system32\lovesbl.dll插入svchost.exe进程
利用svchost.exe执行下载木马操作
Code:
下载http://218.61.18.*/hao.exe
http://218.61.18.*/wei.exe
http://218.61.18.*/haowei.exe
（ip地址为辽宁大连网通）
到C:\Documents and Settings下面 并分别命名为servciesa.exe~servciesc.exe，下载间隔200ms
测试中http://218.61.18.*/haowei.exe（servciesc.exe）链接已失效
servciesa.exe为一感染下载者
下载http://rrr.*.cn/m1.exe~http://rrr.*.cn/m3.exe，但下载链接已失效
感染除以下文件夹下的exe文件
Quote:
WINDOWS
WINNT
RECYCLE
System Volume Information
Internet Explorer
Outlook Express
NetMeeting
Common Files
Messenger
Windows Media Player
WinRAR
MSOCache
Documents and Settings
被感染文件被加入593字节的内容 图表不变 感染方式还得请高手来指教...
servciesb.exe
注册服务WindowsRemote
启动类型：自动
显示名称：Windows Accounts Driver
也是一个木马下载者 但下载链接失效
病毒全部动作完毕以后，sreng日志如下：
服务
Code:
[A GooD DownLoad CAHW / AnHao_VIP_CAHW][Running/Auto Start]
[Windows Accounts Driver / WindowsRemote][Stopped/Auto Start]
==================================
Autorun.inf
[C:\]
[autorun]
OPEN=sbl.exe
shellexecute=sbl.exe
shell\Auto\command=sbl.exe
shell=open
[D:\]
[autorun]
OPEN=sbl.exe
shellexecute=sbl.exe
shell\Auto\command=sbl.exe
shell=open
...
手动解决方法：
下载sreng 打开解压后运行srengps.exe
“启动项目”-“服务”-“Win32服务应用程序”中点“隐藏经认证的微软项目”，
选中以下项目，点“删除服务”，再点“设置”，在弹出的框中点“否”：
Code:
A GooD DownLoad CAHW / AnHao_VIP_CAHW
Windows Accounts Driver / WindowsRemote
重启计算机
双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示
确定更改时，单击“是” 然后确定
点击 菜单栏下方的 文件夹按钮（搜索右边的按钮)
Code:
C:\WINDOWS\system32\1.inf
C:\WINDOWS\system32\chostbl.exe
C:\WINDOWS\system32\lovesbl.dll
在每个分区下面创建autorun.inf和sbl.exe,并不断检测chostbl.exe的属性是否为隐藏
注册服务AnHao_VIP_CAHW 指向C:\WINDOWS\system32\chostbl.exe,达到开机启动的目的.
启动类型：自动
显示名称：A GooD DownLoad CAHW
调用TerminateProcess函数关闭如下进程
Code:
360safe.exe
360tray.exe
runiep.exe
avp.exe
调用GetWindowsTextA函数 获得当前窗口标题，并调用PostMessageA函数试图发送WM_CLOSE,WM_DESTROY,WM_QUIT指令关闭带有如下字样的窗口
Quote:
卡卡
江民
金山
任务管理器
木马清道夫
木马克星
超级巡警
NOD32核心
安全
安全卫士
木马杀客
NOD32
内核
OD
微点
调用FindWindowA函数查找如下窗口 并试图调用PostMessageA函数向其发送WM_CLOSE指令 关闭窗口
Quote:
AVP.AlertDialog
AVP.Product_Notification
AVP.Product_Noti
调用cmd.exe 执行net stop sharedaccess命令 关闭Windows自带的防火墙服务
C:\WINDOWS\system32\lovesbl.dll插入svchost.exe进程
利用svchost.exe执行下载木马操作
Code:
下载http://218.61.18.*/hao.exe
http://218.61.18.*/wei.exe
http://218.61.18.*/haowei.exe
（ip地址为辽宁大连网通）
到C:\Documents and Settings下面 并分别命名为servciesa.exe~servciesc.exe，下载间隔200ms
测试中http://218.61.18.*/haowei.exe（servciesc.exe）链接已失效
servciesa.exe为一感染下载者
下载http://rrr.*.cn/m1.exe~http://rrr.*.cn/m3.exe，但下载链接已失效
感染除以下文件夹下的exe文件
Quote:
WINDOWS
WINNT
RECYCLE
System Volume Information
Internet Explorer
Outlook Express
NetMeeting
Common Files
Messenger
Windows Media Player
WinRAR
MSOCache
Documents and Settings
被感染文件被加入593字节的内容 图表不变 感染方式还得请高手来指教...
servciesb.exe
注册服务WindowsRemote
启动类型：自动
显示名称：Windows Accounts Driver
也是一个木马下载者 但下载链接失效
病毒全部动作完毕以后，sreng日志如下：
服务
Code:
[A GooD DownLoad CAHW / AnHao_VIP_CAHW][Running/Auto Start]
[Windows Accounts Driver / WindowsRemote][Stopped/Auto Start]
==================================
Autorun.inf
[C:\]
[autorun]
OPEN=sbl.exe
shellexecute=sbl.exe
shell\Auto\command=sbl.exe
shell=open
[D:\]
[autorun]
OPEN=sbl.exe
shellexecute=sbl.exe
shell\Auto\command=sbl.exe
shell=open
...
手动解决方法：
下载sreng 打开解压后运行srengps.exe
“启动项目”-“服务”-“Win32服务应用程序”中点“隐藏经认证的微软项目”，
选中以下项目，点“删除服务”，再点“设置”，在弹出的框中点“否”：
Code:
A GooD DownLoad CAHW / AnHao_VIP_CAHW
Windows Accounts Driver / WindowsRemote
重启计算机
双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示
确定更改时，单击“是” 然后确定
点击 菜单栏下方的 文件夹按钮（搜索右边的按钮)