tel.xls.exe U盘病毒的查杀方法总结

tel.xls.exe的查杀方法

系统症状：

每次双击盘符出现一个新窗口，windows任务管理器出现了一个Excel的程序，鼠标右键点盘符出现"Auto"字样，无法显示隐藏文件，无法隐藏已知文件类型的扩展名等

 

1.生成文件

%systemroot%\SocksA.exe

非系统盘下 tel.xls.exe和autorun.inf

autorun.ini内容：

[AutoRun]

open=tel.xls.exe

shellexecute=tel.xls.exe

 

2.注册表

(1)添加启动项

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

"ASocksrv" = "SocksA.exe"

更改文件夹选项中显示隐藏文件的值

HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\F older\Hidden\SHOWALL\CheckedValue 的类型为REG_SZ(原本为REG_DWORD)

 

感染病毒后，系统将不再显示隐藏文件和扩展名，同时tel.xls.exe也伪装成为EXCEL的图标，诱导用户点击导致深度感染。当用户双击打开磁盘时，autorun.ini使tel.xls.exe自动运行。

 

1．查杀方法

1.删除驻留的病毒程序：打开"任务管理器"，找到tel.xls.exe和SocksA.exe进程（有些有Excel的程序,同样结束掉），把它们结束掉。到C:\WINDOWS\system32里找到SocksA.exe把它删除。如果无法删除，使用 killbox选择重启删除，或进入安全模式删除。

 

 

2.禁用移动设备的自动运行功能（目的在于避免重新被U盘感染）：把下面的代码保存为

noautorun.reg，导入注册表即可。

 

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]

"NoDriveTypeAutoRun"=dword:000000ff

 

3.恢复显示所有的文件项：运行--à打开regedit，找到

HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL中的CheckedValue，检查它的类型是否为REG_DWORD，如果不是则删掉 CheckedValue，然后单击右键"新建" - "Dword值"，并命名为CheckedValue，然后修改它的键值为1。

 

4.删除病毒文件：打开"文件夹选项" - "查看"，选择"显示所有文件和文件夹"，并把"隐藏

受保护的系统文件"复选框的√去除。在各磁盘上用右键选择"打开"，删除各个非系统盘根

目录下的autorun.inf和tel.xls.exe文件。

 

 

2.kill和tel.xls.exe病毒的解决办法（要进入windows安全模式）

如果开机之后任务管理器内出现一个,图标是excle的任务,那么你已经中毒了

注意！！！在以下整个过程中不要双击硬盘分区，需要打开时用鼠标右键—>打开

一、关闭病毒进程

Ctrl + Alt + Del 任务管理器，在应用程序里面查找类似excle等你不认识 [任务栏不显示] 的任务，右键—>转到进程，找到类似 [SVCHOST.exe]的进程，右键—>结束进程树

二、显示出被隐藏的系统文件

开始—>运行—>regedit

HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL，

删除此CheckedValue键值，单击右键新建—>Dword值—>命名为CheckedValue，
然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。

在文件夹—>工具栏—>工具—>文件夹选项，将 系统文件 隐藏文件 和 文件后缀名 设置为显示，

 

三、删除病毒

在分区盘上单击鼠标右键—>打开，看到每个盘跟目录下有 autorun.inf 和 tel.xls.exe 两个文件，将其删除。U盘同样。

 

四、删除病毒的自动运行项

开始—>运行—>msconfig—>启动—>，删除类似socksa.exe之类的不认识的项，保留项为[杀毒程序、ctfmon、摄像头、防火墙]

或者打开注册表 运行—>regedit

HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run

删除类似C:\WINDOWS\system32\SVCHOST.exe 的项

 

五、删除遗留文件

C:\WINDOWS\ 跟 C:\WINDOWS\system32\ 目录下删除图标怪异的那个类似excel的图标的是病毒.exe、以及所有excel类似图标的文件，每个文件夹两个，不要误删，做完这些,你的电脑所中的这个病毒就已经搞定了,重启,一切OK

 

3.使用kill专杀.exe工具清理

注意！！！在以下整个过程中不要双击硬盘分区，需要打开时用鼠标右键—>打开

 

1. 关掉任务管理器中有Excel图标的进程；（打任务管理器，在应用程序页中有，在进程中为algsrv.exe）

2.运行Kill专杀.exe

3.手动删除C:\windows\system32\algsrv.exe以及其它图标像Excel的文件和文件夹

4．重启，OK！