EE病毒解决办法

有一种U盘病毒感染计算机后，并不就是破坏性地全盘感染应用程序，而就是使文件夹全部变成“、exe”可执行程序，这就就是“文件夹、EXE”病毒！『“文件夹、EXE”』

病毒名称：“文件夹、EXE”病毒；

病毒别称：Worm、Win32、AutoRun、soq；

病毒类型：蠕虫；

病毒长度：1,415,094 字节；

病毒MD5：afb08df3fef57788d839bc02f14b2159

危害等级：★★★

感染系统：Windows 系统。

开发工具：《E语言》

“文件夹、EXE”病毒行为分析：

“文件夹、EXE”病毒主要通过可移动磁盘传播。就拿U盘为例，一个干净得U 盘或者未感染得U盘插入已被“文件夹、EXE”病毒感染得计算机主机USB接口上以后，病毒会在U盘根目录下生成病毒脚本安装文件“autorun、inf”与伪装文件夹得病毒程序“Recycle、exe”、“、exe”、“、exe”、“、exe”。很显然，“文件夹、EXE”得传播程序“Recycle、exe”得文件名称就是在模仿回收站得文件夹“Recycler”，两者名称上就相差一个字母“r”。回收站得文件夹“RECYCLER”只有在NTFS格式文件系统得磁盘分区根目录下才会出现，该文件夹内存储着各个用户得回收站。

如图，这就是打开“文件夹、EXE”得配置文件“autorun、inf”显示得文件命令，意思就是访问该驱动器磁盘分区后自动执行病毒程序“Recycle、exe”，也就就是说“Recycle、exe”就是“文件夹、EXE”得病毒样本。

被“文件夹、EXE”病毒感染得U盘再插入到正常得计算机主机USB接口上以后，只要受害者一打开访问U盘，便会感染到计算机上。由于该病毒变种较多，所以绕过了许多杀毒软件得眼睛。

首先会获取要感染计算机得用户临时文件目录，获取后会在这个用户得临时文件夹“C:\Documents and Settings\Administrator（受害者得用户名）\Local Settings\Temp”目录下创建一个名称为“E_N4”得文件夹，并在其目录下释放9个病毒组件，分别就是“cnvpe、fne”、“dp1、fne”、“eAPI、fne”、“HtmlView、fne”、“internet、fne”、“krnln、fnr”、“shell、fne”、“spec、fne”，这些扩展名为“、fne”文件均为“只读”、“系统”与“隐藏”得文件属性。

文件夹“E_N4”就是“E语言（即“易语言”）”程序运行时才会产生得临时文件夹，而后缀名为“、fne”得程序就是“E语言”得支持库文件，不过就是已经编译好得，也就就是改了扩展名以后得动态链接库文件“、dll”，由此可以证明“文件夹、EXE”病毒就是使用《易语言》编写得。

然后会获取要感染计算机得系统目录，获取后会在“C:\WINDOWS\system32”系统目录下创建一个6位随机数字、字母组成得文件夹，文件夹得属性就是“只读”、“系统”与“隐藏”得文件属性，本次测试病毒创建得文件夹名称就是“5A8DCC”。病毒成功创建文件夹“5A8DCC”之后，将释放在“C:\Documents and Settings\Administrator（受害者得用户名）\Local Settings\Temp\E_N4”临时文件夹目录下得9个病毒组件复制到“C:\WINDOWS\system32\5A8DCC”目录下。随后还会在“C:\WINDOWS\system32”系统目录下创建一个6位随机数字、字母组成得文件夹，文件夹得属性就是“只读”、“系统”与“隐藏”得文件属性，

本次测试病毒创建得文件夹名称就是“ACF7EF”。再在该文件夹下面创建一个6位随机数字、字母组成得病毒主体程序，本次测试病毒创建得病毒主体程序名称就是“74BE16、EXE”，文件属性就是“只读”、“系统”与“隐藏”得文件属性。如图，病毒路径：“C:\WINDOWS\system32\ACF7EF\74BE16、EXE”。

之后给病毒主体程序“74BE16、EXE”创建一个随机启动项，在注册表“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru n”分支下创建一个与病毒主体程序“74BE16、EXE”名称相同得字符串值“74BE16”，数值数据指向病毒主体程序得路径位置“C:\WINDOWS\system32\ACF7EF\74BE16、EXE”。

再在“C:\Documents and Settings\Administrator（受害者得用户名）\「开始」菜单\程序\启动”目录下创建一个指向病毒主体程序“74BE16、EXE”得快捷方式“74BE16、lnk”。

这就是“文件夹、EXE”病毒得另外一个启动项，也就就是自启动项“开始菜单”-----“所有程序(P)”-----“启动”目录下随计算机启动被执行得。

最后，病毒程序“74BE16、EXE”被执行到系统中去运行，例如通过DOS命令查瞧“shell、fne”就是否被插入到进程被运行，在“命令提示符”得黑色窗口里面输入“TASKLIST /M shell、fne”可以查瞧到病毒模块“shell、fne”已被病毒调入到病毒进程“74BE16、lnk”中去运行了。

“文件夹、EXE”病毒运行后，会检测就是否存在可移动磁盘，如插有可移动磁盘并对其感染。另外还检查可移动磁盘分区根目录下得文件夹，然后复制这些文件夹得名称伪装创建一个与其同名得病毒程序，就连程序图标也就是模仿文件夹得图标，然后将被模仿得那个文件夹属性设为“隐藏”。伪造文件夹得病毒程序大小与“文件夹、EXE”病毒样本得大小相同都就是“1、34 MB”，而且文件属性均被病毒设置为“只读”与“系统”得文件属性。如果运行这些伪造文件夹得病毒程序就会重新释放病毒，同时也会打开被隐藏得真实原有文件夹，一般用户根本查觉不到病毒活动。如图，这就是“文件夹、EXE”病毒感染了我得手机内存卡。

尤其就是新安装得操作系统（这里指未修改过得盗版系统），“系统”与“隐藏”属性得文件与文件夹就是不被显示得，而且已知文件类型得扩展名也就是被隐藏得。这样，“文件夹、EXE”病毒伪装文件夹得病毒程序根本与文件夹无任何区别，再加上无意中打开这些“文件夹、EXE”病毒程序还会打开被隐藏得真实原有文件夹，所以电脑新手很容易被迷惑。

病毒进程“74BE16、EXE”还会连接黑客服务器下载病毒相关程序，下载下来后运行它们。例如下载两个病毒程序到病毒文件夹“5A8DCC”得目录下，本次测试病毒下载得病毒程序名称分别就是“PIAA4B2、EXE”与“ZD269、EXE”，文件属性就是“只读”、“系统”与“隐藏”得文件属性。

“文件夹、EXE”病毒还会每隔一段时间打开浏览器来访问某家网站做广告宣传，类似于“广告木马”。例如我在编写原创帖“【原创】“文件夹、EXE”病毒就是如何将文件夹变成可执行程序得！”得时候就弹出了一个“钓鱼网站”：

且每隔一段时间收集一次受害者得隐私信息，就就是受害者使用计算机得一切活动，类似于“间谍”程序。

“文件夹、EXE”病毒在“C:\WINDOWS\system32”系统目录下创建多个这样6位随机数字、字母组成得文件夹，文件属性均就是“只读”、“系统”与“隐藏”得文件属性，里面包含着病毒程序、病毒库文件、病毒配置文件。

本文转于新手无毒链接：

“文件夹、EXE”病毒解决方法：

手工解决方法：

PS：“*”代表随机数字、字母。

按“Ctrl + Alt + Del”键调出“任务管理器”，结束病毒得两个进程“******、EXE”与“*******、EXE”

一般后缀名就是“、EXE”大写得。病毒进程很容易被结束掉，瞧来这个病毒得自我保护能力几乎为“0”！由于大部分病毒程序都就是“只读”、“系统”与“隐藏”得文件属性

需要在控制面板得文件夹选项中关闭“隐藏受保护得操作系统文件”与开启“显示所有文件与文件夹”得功能才能瞧到它们。

删除“C:\WINDOWS\system32”目录下所有“******”名称得文件夹。

删除“C:\Documents and Settings\Administrator（您得用户名）\「开始」菜单\程序\启动”目录下所有“******、lnk”文件。

开始菜单-----运行输入：“regedit、exe”，引号去掉。调出“注册表编辑器”，依次展开注册表

“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”分支下找到名称就是“******”得键值项删除。

删除可移动磁盘根目录下得病毒程序，可以通过DOS命令清除。

开始菜单-----运行输入：“cmd、exe”，引号去掉。例如您得可移动磁盘盘符就是“H”

就在“命令提示符”得黑色窗口里面输入如下DOS命令。

H:

DEL /F /A autorun、inf

DEL /F /A *、exe

然后恢复每个目录下被病毒隐藏得原有文件夹，继续在“命令提示符”得黑色窗口里面输入如下DOS命令。

H:

ATTRIB -R -S -H /S /D

据一些求助者反馈，后期“文件夹、EXE”病毒变种还会破坏“显示所有文件与文件夹”得功能与全盘伪装创建“文件夹、exe”病毒程序。

展开注册表

“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explor er\Advanced

\Folder\Hidden\SHOWALL”

分支右侧窗口找到名称为“CheckedValue”得DWORD值，将数值数据修改为“1”确定就行了。

至于全盘删除病毒伪装创建得“文件夹、exe”病毒程序，同上述处理被感染得可移动磁盘得方法就是一样，按照解决方法每个磁盘做一下就行了。