eksplorasi.exe.引发的现象:文件夹选项不见了.注册表被禁用了.病毒文件是隐藏的.
eksplorasi.exe.引发的现象:文件夹选项不见了.注册表被禁用了.病毒文件是隐藏的.
试过了组策略修改文件夹选项,和注册表选项.都没有作用.网上查了很多关于这个病毒的文章都没有完整的答复.我现在需要把文件夹选项和注册表恢复正常.有朋友帮忙吗?
问题点数：100、回复次数：7Top
1 楼Purpleendurer（编程—>任是无情也动人^_^）回复于 2006-05-22 12:15:09 得分 0
http://ty.cquc.edu.cn/show.aspx?id=11132&cid=29
校园警惕Kangen病毒(对策详解)
[日期：2006-01-06] 来源： 作者：ruohan [字体：大 中 小]
Kangen病毒最近可是春风得意，它在校园内通过U盘等疯狂传播，目前各大杀毒软件都还不能直接剿灭它。不过不要怕，在你决定格盘之前还是看一下TY这篇文章。
基本介绍
病毒名称 Worm@W32.Rontokbro
病毒别名 W32.Rontokbro.B@mm[symantec]
病毒型态 Worm , E-Mail
病毒发现日期 2005/10/04
影响平台 Windows 95/98/ME , Windows NT/2000/XP/2003
风险评估
散播程度：高
破坏程度：中
通过Ｅ－ＭＡＩＬ发送格式
Worm@W32.Rontokbro信件格式：
发信者： < 随机 >
主旨： 空白
内文：
BRONTOK.A[10] [ By: H[REMOVED]nity ]
-- Hentikan kebobrokan di negeri ini --
1. Penjarakan Koruptor, Penyelundup, Tukang Suap, & Bandar NARKOBA
( Send to "NUSAKAMBANGAN")
2. Stop Free Sex, Aborsi, & Prostitusi
( Go To HELL )
3. Stop pencemaran lingkungan, pembakaran hutan & perburuan liar.
4. SAY NO TO DRUGS !!!
附加档案： Kangen.exe
Worm@W32.Rontokbro.2 行为描述：
注：%Windir%代表系统所在目录，在Win95/98/me系统默认值为 C:\windows
在WinNT/2000/XP/2003系统默认值为 C:\WinNT
注：在Win95/98/me %System% 默认值为 C:\windows\System
在WinNT/2000/XP/2003 %System% 系统默认值为 C:\WinNT\System32
加入一个Windows 工作排程，并且每日下午5:08 执行下列档案：
%UserProfile%\Templates\A.kotnorB.com
当骇虫发现窗口标题含有下列字符串并重新开机：
@. .ASP .EXE .HTM .JS .PHP ADMIN ADOBE AHNLAB ALADDIN
..............
骇虫会从下列扩展名档案，取得电子邮件地址：
ASP CFM CSV DOC EML HTML PHP TXT WAB
透过自己的SMTP大量发送病毒信件。
病毒执行后，将骇虫本身复制到%Windir%
eksplorasi.exe
透过病毒执行后，将骇虫本身复制到%System%
[USER NAME]'s Setting.scr
病毒执行后，在%UserProfile%\Local Settings\Application Data\ 目录产生
csrss.exe
inetinfo.exe
lsass.exe
services.exe
smss.exe
winlogon.exe
病毒执行后，在 %UserProfile%\Start Menu\Programs\Startup\ 目录产生
Empty.pif
病毒执行后，在 %UserProfile%\Templates\ 目录产生
Brengkolang.com
病毒执行后，在 %Windir%\ShellNew\ 目录产生
sempalong.exe
修改登录档，如此开机即会激活骇虫。
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"Bron-Spizaetus" = ""%Windir%\ShellNew\sempalong.exe""
"Tok-Cirrhatus" = "%UserProfile%\Local Settings\Application Data\smss.exe""
修改登录档，如此开机即会激活骇虫。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
"Shell" = "Explorer.exe "%Windir%\eksplorasi.exe"
杀毒方法
方法一
进入安全模式
在 windows/system/里，delete winword.exe 和 winlog.dat
进入注册表
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除 "OSA" = "%System%\winword.exe" 和 "LoadService" = "Rest In Peace"
删除 HKEY_CURRENT_USER\Software\VB and VBA Program Settings\Pradana
在HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
删除 "DisableRegistryTools" = "1" 和 "DisableTaskMgr" = "1"
方法二
1．先在任务管理器中结束所有winword.exe的进程，特别是你没有打开任何word文档，却有这个进程时。
2．然后搜索所有名为kangen的文件，找到后全都删除。还有在c:\windows\prefetch这个文件夹中也删了。
3．然后就没问题了。
Top
2 楼95812130（风云天下）回复于 2006-05-23 08:42:38 得分 0
不行的注册表都不能进去.而且这些文件都是隐藏了的.即使用软件删除还是不行.注册表还是不能用.Top
3 楼derris（深水鱼）回复于 2006-05-23 11:55:49 得分 0
到3721进行强力修复吧．Top
4 楼derris（深水鱼）回复于 2006-05-23 11:58:38 得分 0
编写一个a.reg的文件
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system]
"DisableRegistryTools"="0"
双击导入．．Top
5 楼Purpleendurer（编程—>任是无情也动人^_^）回复于 2006-05-23 20:50:46 得分 0
楼主可以下载并运行瑞星注册表工具来使注册表编辑器可用Top
6 楼limingok163（超级菜鸟）回复于 2006-05-24 10:12:08 得分 0
System Repair Engineer (sreng)
试试这款软件，可以帮你恢复文件夹选项和注册表Top
7 楼xyzeasy（）回复于 2006-06-01 10:59:03 得分 0
将regedit.exe改名成regedit.com能不能用。
在安全模式下能否修改注册表。
Top
