runauto病毒如何彻底清除

2374 · 发表于 2007-5-20 21:39:55

马上注册，结识高手，享用更多资源，轻松玩转三维网社区。

您需要登录才可以下载或查看，没有帐号？注册

x

runauto病毒如何彻底清？那个软件能清除，如何防止中毒

江南有雪 · 发表于 2007-5-20 21:50:54

现在在u盘上经常看到一个病毒文件runauto。。(隐藏属性），用正常的删除方法的无法删除的，很多人会选择格式化u盘，但这样能盘的使用寿命有一样影响，而且不方便。

好了，以下对这个文件进行分析：

其实该文件夹是由dos创建的，全名应该为runauto...说到这里你应该知道为什么不能删了吧。

这样删的方法好易了：（以 D 盘为例）
开始——运行——输入“cmd”——输入“D: ”——输入“rd /s/q runauto...\ ”

2.无法删除"runauto.."文件夹。
解决方法：该文件夹真正的名称为"runauto...\" 执行RMDIR C:\runauto...\ /S /Q即可删除。

3.我写了一个专门的批处理命令行来删除所有的文件：

--------------------命令行工具开始--------------------
@echo off
echo "先中止病毒进程"
NET STOP "Kerberos Key Distribution Centers"

echo "删除C盘病毒文件"
DEL C:\WINDOWS\lsass.exe /F /Q /A R H S A
DEL C:\WINDOWS\setuprs1.pif /F /Q /A R H S A
DEL C:\WINDOWS\cmd.exe.exe /F /Q /A R H S A
DEL C:\WINDOWS\regedit.exe.exe /F /Q /A R H S A
DEL C:\WINDOWS\r.exe /F /Q /A R H S A

echo "删除各个分区根目录下文件，需要根据各个电脑的分区数量进行调整"
RMDIR C:\runauto...\ /S /Q
DEL C:\autorun.* /F /Q /A R H S A
RMDIR D:\runauto...\ /S /Q
DEL D:\autorun.* /F /Q /A R H S A
RMDIR E:\runauto...\ /S /Q
DEL E:\autorun.* /F /Q /A R H S A
RMDIR F:\runauto...\ /S /Q
DEL F:\autorun.* /F /Q /A R H S A
RMDIR G:\runauto...\ /S /Q
DEL G:\autorun.* /F /Q /A R H S A

COPY C:\WINDOWS\regedit.exe C:\WINDOWS\ghregedi.exe
echo "注册表编辑器已备份为ghregedi.exe"

COPY C:\WINDOWS\SYSTEM32\cmd.exe C:\WINDOWS\SYSTEM32\ghcmd.exe
echo "命令行工具已备份为ghcmd.exe"

echo "文件删除完毕，请重新启动并清理注册表相关项。"

--------------------命令行工具结束--------------------

新建一个记事本文档，把分割线之间的内容复制进去（不包括分割线），另存为123.bat然后执行即可。]
我听说有一些runauto的专杀工具，不知道行不，你可以试一下

引自 http://zhidao.baidu.com/question/26151591.html

2374 · 发表于 2007-5-20 22:18:37

dos下删除风险太多,我在删除病毒过程中却删除了整个盘的资料,盘中资料没有了,但是在进入时此盘中还有runauto病毒??所以不想使用这种方法,请问有没有软件清除

江南有雪 · 发表于 2007-5-27 12:31:37

首先请先设置显示所有文件。
（“我的电脑”，“工具”，“文件夹选项”，“查看”选项卡：勾选“显示系统文件夹的内容”，取消“隐藏受保护的操作系统文件”，取消“隐藏已知文件类型的扩展名”，选择“显示所有文件和文件夹”，基于安全理由，我强烈建议大家使用此作为以后的长期设置，便于发现病毒和识别危险文件。）
1.在各个分区根目录下面出现名为“runauto..”的文件夹，“autorun.inf”或“autorun.inf.tmp”的文件。
2.在C:\WINDOWS\下面出现lsass.exe，cmd.exe.exe，regedit.exe.exe，setuprs1.pif文件。
3.打开任务管理器会发现有两个名为lsass.exe的进程。
4.在我的电脑里面打开每一个分区都是以新窗口打开的。
5.MMC控制台打开以后很短时间内会自动关闭。
6.U盘或移动硬盘出现无法打开的问题。（会出现一个打开方式的窗口）
基本上前3点都很明显了，后面3点也是系统异常，正常的lsass.exe是系统进程，并且只会同时运行一个，正确的路径是C:\WINDOWS\SYSTEM32\lsass.exe。
以下部分内容参考网上的信息，另结合个人总结
********************木马隐藏的所有地方******************
一，注册表项
1.HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
查看cmd.exe,msconfig.exe,regedit.exe,regedt32.exe等项，建议把该树下的每一个项目都仔细查看，发现值为"setuprs1.pif"或"xxx.pif"的都删掉，同时搜索硬盘内对应的"xxx.pif"文件。
2.HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\kkdc
3.HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
中的"C:\\WINDOWS\\lsass.exe"="C:\\WINDOWS\\lsass.exe:*:Enabled:lsass.exe"
4.HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kkdc
5.HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
中的"C:\\WINDOWS\\lsass.exe"="C:\\WINDOWS\\lsass.exe:*:Enabled:lsass.exe"
建议在注册表编辑器中搜索"lsass.exe"发现路径不是"C:\WINDOWS\SYSTEM32\lsass.exe"的都要删掉。
二，文件和文件夹
1.各个分区根目录下面的"runauto.."文件夹，其真正的文件夹名为"runauto...\"，删除使用如下命令：
RMDIR C:\runauto...\ /S /Q
2.各个分区根目录下面的"autorun.inf"或"autorun.inf.tmp"文件，建议使用如下命令删除：
DEL C:\autorun.* /F /Q /A R H S A
3.Windows目录下面的lsass.exe,cmd.exe.exe,regedit.exe.exe,setuprs1.pif和其他图标为透明的exe文件例如r.exe
删除命令：
DEL C:\WINDOWS\lsass.exe /F /Q /A R H S A
DEL C:\WINDOWS\setuprs1.pif /F /Q /A R H S A
DEL C:\WINDOWS\cmd.exe.exe /F /Q /A R H S A
DEL C:\WINDOWS\regedit.exe.exe /F /Q /A R H S A
DEL C:\WINDOWS\r.exe /F /Q /A R H S A
********************手工清杀方法******************
知道了木马隐藏的地方，对照着自己清理就行了，不过该木马使用了很多保护自己的方法，可能会面对无法删除文件或无法删除有关注册表项的问题，导致无法杀绝，然后该木马又自动重生，下面结合自己的个人经验说一下有关问题的解决。
1.无法删除lsass.exe文件，基本上所有文件里面就这个文件比较难以删除，原因是该进程正在运行，而任务管理器无法中止该任务，而且如果该进程不杀掉的话所有工作会白费，木马会重新建立。
解决方法：
1)通过NET STOP "Kerberos Key Distribution Centers"中止木马进程，可以直接在运行里面运行，也可以在命令行里面运行。注意由于该木马自动关联了cmd.exe,regedit.exe等有关工具，所以在使用这些工具的时候先把有关文件copy出来，改成其他文件再运行，如regedit.exe copy 成123.exe，文件本身是没有被修改的，但是由于注册表中的关联，所以在执行这些文件的时候会自动执行木马进程，所以要先改名再运行。把进程关掉，然后删掉所有文件，再使用改过名的注册表编辑器打开注册表，删掉有关键值，重启即可。
2)下载进程终结工具终结该进程。3)启动到DOS模式删除有关所有文件，只要能把所有木马的文件删掉，即使注册表还未清理，但是因为木马本身已被杀掉了，所以是不起作用的，重启以后进windows清理注册表即可。
2.无法删除"runauto.."文件夹。
解决方法：该文件夹真正的名称为"runauto...\" 执行RMDIR C:\runauto...\ /S /Q即可删除。
3.我写了一个专门的批处理命令行来删除所有的文件：
--------------------命令行工具开始--------------------
@echo off
echo "先中止病毒进程"
NET STOP "Kerberos Key Distribution Centers"
echo "删除C盘病毒文件"
DEL C:\WINDOWS\lsass.exe /F /Q /A R H S A
DEL C:\WINDOWS\setuprs1.pif /F /Q /A R H S A
DEL C:\WINDOWS\cmd.exe.exe /F /Q /A R H S A
DEL C:\WINDOWS\regedit.exe.exe /F /Q /A R H S A
DEL C:\WINDOWS\r.exe /F /Q /A R H S A
echo "删除各个分区根目录下文件，需要根据各个电脑的分区数量进行调整"
RMDIR C:\runauto...\ /S /Q
DEL C:\autorun.* /F /Q /A R H S A
RMDIR D:\runauto...\ /S /Q
DEL D:\autorun.* /F /Q /A R H S A
RMDIR E:\runauto...\ /S /Q
DEL E:\autorun.* /F /Q /A R H S A
RMDIR F:\runauto...\ /S /Q
DEL F:\autorun.* /F /Q /A R H S A
RMDIR G:\runauto...\ /S /Q
DEL G:\autorun.* /F /Q /A R H S A
COPY C:\WINDOWS\regedit.exe C:\WINDOWS\ghregedi.exe
echo "注册表编辑器已备份为ghregedi.exe"
COPY C:\WINDOWS\SYSTEM32\cmd.exe C:\WINDOWS\SYSTEM32\ghcmd.exe
echo "命令行工具已备份为ghcmd.exe"
echo "文件删除完毕，请重新启动并清理注册表相关项。"
--------------------命令行工具结束--------------------
新建一个记事本文档，把分割线之间的内容复制进去（不包括分割线），另存为123.bat然后执行即可。

江南有雪 · 发表于 2007-5-27 12:31:51

没那么复杂找到那个文件删除然后把你中毒得磁盘改个名字然后双击试试！
一切ok

江南有雪 · 发表于 2007-5-27 12:33:26

Unlocker是一个免费的右键扩充工具，使用者在安装后，它便能整合于鼠标右键的操作当中（鼠标右键菜单里会多出一个Unlock的图标），当使用者发现有某个文件或目录无法删除时，只要按下鼠标右键中的“Unlocker”，那么程序马上就会显示出是哪一些程序占用了该目录或文件，接着只要按下弹出窗口中的“Unlock”就能够为你的文件解套。
   Unlocker 不同于其它解锁软件的部分在于它并非强制关闭那些占用文件的程序，而是以解除文件与程序关连性的方式来解锁，因此不会像其它解锁程序一样因为强制关闭程序而造成使用者可能的数据遗失。
   多语言版，免费使用。文件大小，191KB
   请大家默认安装路径，否则不能正常运行。

unlocker1.8.5.rar (162.31 KB, 下载次数: 116)

江南有雪 · 发表于 2007-5-27 12:34:44

在cmd里执行：

rmdir /s c:\runauto...\

盘符c可以改成别的d，e……

江南有雪 · 发表于 2007-5-27 12:40:17

2个发不上来的方法。

		自动登录	找回密码
密码			注册

通知

[求助] runauto病毒如何彻底清除

马上注册，结识高手，享用更多资源，轻松玩转三维网社区。

浏览过的版块