U盘病毒(类removeable disk病毒)

本文描述了一种学校机房常见的U盘病毒现象,UsbDisk.exe隐藏在Kaspersky文件夹中,通过waveedit.exe进程影响其他U盘。作者提供了备份文件、终止进程、删除注册表启动项的解决步骤,并分享了脚本以恢复文件和防治病毒。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

这里写自定义目录标题

引子

在学校工作,学校机房的电脑经常受到攻击,U盘的病毒也非常多,最近遇到一个和removeable disk.病毒有点类似的病毒,但又有所不同,特此记录。

具体现象

U盘插入公用电脑后,出现文件消失,并在U盘中出现一个同名的.exe文件。若U盘未取名字,通常命名为Usb Disk(内存).exe。无论如何格式化,这个Usb Disk一会儿又会出现。
在这里插入图片描述

其实,微软自带的防护工具会显示查找到蠕虫病毒,此时已经隔离了该可执行程序,无法打开这个文件。但如若强行打开了exe会发现能打开原本的文件夹,但是此时可执行程序运行,电脑硬盘也将不幸遇害,之后插入你电脑的U盘都会沦陷。
在这里插入图片描述

病毒分析

  1. 原文件存放在哪里?
    在这里插入图片描述
    从命令行目录可以看到,文件存在了名为Kaspersky的隐藏文件夹中并没有删除而只是简单的隐藏了,原本的Usb Disk.exe运行后只是简单的打开了这个文件夹。

文件夹名取做“卡巴斯基”估计也是为了让用户误解自己的杀毒软件从而去关闭杀毒软件。

  1. 中毒后为什么会一直影响电脑的其他U盘?

电脑的进程中会有一个叫做waveedit.exe的进程在这里插入图片描述 另外,在电脑启动项中会有一个叫Waveedit的程序,该程序在电脑启动时会自动运行。 在这里插入图片描述
运行完之前伪装的exe文件后就是该程序一直在侵害着计算机。

解决方法

  1. 备份保存U盘文件
    在文件管理器中直接打开对应U盘的目录,如下图我在D盘打开此文件夹,里面直接有文件。
    在这里插入图片描述

  2. 在进程中终止这个Waveedit.exe程序

  3. 打开cmd终端,输入下面的命令

rmdir /s /q C:\ProgramData\Waveedit
  1. 删除注册列表中对应的启动项
    ![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/59c1e44f5d7e4fa88a564662f2c6ce1f.png
    在注册表中查找所有名字带有waveedit的项,并全部删除,删除完毕后会发现启动项中也没有Waveedit了。

结论

不要乱点陌生的.exe可执行文件
具体这个病毒exe的目的是什么以及要怎么长久的防治还待研究
提供了一个本人编写的脚本可以使U盘文件恢复并关闭病毒进程,还需要手动关闭启动项和删除病毒文件。地址:https://download.csdn.net/download/weixin_45437033/88790554
我的博客:https://www.kfzzzzzz.cn

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值