个人原创推荐：VBS病毒手动清除教程

琼ヾ苍

& D3 T* g4 `) r; R+ |
# y. g& E4 Z" n8 [! ^  P今晚维修，有至少两台电脑种了 VBS 病毒。 鉴于此，所以 我决定 打开久经未动的 虚拟机。
开始研究如何手动 删除 这个VBS 病毒。 清除这个病毒的过程中，我是靠着自己曾经拥有的清毒经验
自己一步一脚印探索着删除。 经过几次，尝试和研究 终于才把 这个病毒征服了。
/ G) q; I/ {2 W- U- m) y+ d, W下面请看 我清除病毒的整体步骤，希望对 诚毅学子 以及 计算机协会 的同胞们有所帮助。
步骤一、 我们先运行病毒。
" j  m$ \0 _1 f步骤二、 这时 我们打开任务管理器 你会发现什么？   

   妖兽 发现了什么 ... wscript.exe 这个就是 这次病毒 的一个得力 辅角，许多懂进程的人
以下就能发现 它的不对，因为没事它是不会 随便 跑出来溜达的。 那么结束他，可以吗？
事实上是没用的 即便了 结束了上千次 也无济于事，它照样会再次 启动。
/ v6 d; J* T. _- `   那么该怎么办？ 不急 先继续看我分析。
* N, X' q0 s, {步骤三、 病毒症状   

$ V9 \( q  u! o
看到此图 大家一定感到 很熟悉，所有文件夹都变成了 快捷方式。换句话说，当你双击了 该文件夹后
  U9 @" J6 P$ _# f! Y0 w2 j! b+ ~就算是 种了病毒的圈套... 那样 你就可以从此无限的浸淫在这病毒的摇篮中，无绵无休。
$ P# U9 W  _# E' k步骤四、 脚本提示

* M$ M" D  o% _, T& t
  病毒运行过程可能出现 这样提示信息 视每个人电脑情况不同 而定。(很明显 这是vbs 文件在运行)
步骤五、 注册表启动项

上图，是 我用XueTr(一个和冰刃同样牛的手刹工具) 打开启动项 发现了什么
  C:\WINDOWS\system32\smss.exe:539207912.vbs 这个路径明显有问题
后面 跟着那串文件名 539207912.vbs 我们可以很肯定的断定 它肯定是病毒。 但不急 我们继续。
& j0 b0 r" b0 T- v% T4 C步骤六、 文件关联   

+ ~- [% ?2 h0 T$ |% b' X5 g8 @2 H% E
/ R9 |0 E  t8 l) G- A) V  大大 惊讶 吧~~ 这么多 文件关联 都被篡改了。 什么是文件关联？ 不知道 ？
简单说吧 我们是不是可以直接打开记事本文件，这样的功能 就是因为有了文件关联。
它把 txt 后缀的文件 自动关联 到了 notepad.exe 文件，这样我们就可以直接顺利打开文件了。
这样说 如果这个被篡改了 那就危险 明显这些文件都被引导到了 病毒文件。
步骤七、 清毒前的工作   

3 J. O: b0 O3 e* d; z
这是 XueTr 拥有的 特殊功能 它能 禁止创建 进程、文件、线程。 这些到底什么
2 h( d0 {1 X7 `6 a' _2 y7 D" D意思 我就不解释了 不懂得 自己百度吧 哈。
3 w  K* a) [1 ~$ K0 @7 i- s! l9 H" U. A步骤八、 处理svchost.exe 模板注入   

2 z+ C3 x1 }# A0 g
我们打开 svchost.exe　模板（动态链接库）文件查询发现　vbscript.dll 文件。
/ T) M* K! A/ z; y7 C0 Z8 {这个一定 要全局卸载  不然后面 会有罪够 让你受本人深受体会。
(另外，你若仔细看 会发现什么 svchost.exe 文件实际已经被注入了 vbscript.dll 文件)
6 d# M1 E! m: j步骤九、解释辅助进程

4 L$ g* @4 S4 `/ ?( m0 C# {接下来 我们解释掉 wscript.exe 这个病毒辅助进程 但记住不要删除 它是正常文件。
步骤十、删除根目录 的相关病毒文件

  a5 e$ e* M3 W/ x  使用 XueTr 自带的 文件管理 功能 将根目录上 的这两个 病毒衍生文件删除。
+ P' x3 Y% j  y) C防止 你误点击到那些快捷方式引导到病毒文件 又再次中毒。
步骤十一、 删除 启动项上病毒项目

  G3 h* y' N# c# w; E6 }- s, C" Z
找到 病毒项目 接下来...

定位 到文件管理器 。。 用软件自己的文件管理器 这样你才能找到 病毒文件(它是被隐藏的)
用 资源管理器 是看不到的。
3 f4 i* J/ b, h然后,再回到 XueTr 上启动项功能 上删除 选中的内容 防止它 开机自动运行 而又中毒。
4 g! Y8 i8 U: e7 X9 z步骤十一、 恢复文件关联

/ U2 @! u7 [7 K. Z$ Q/ \
) H$ w/ i4 V3 r0 a5 ?; P  F如图，操作 是修复 上面提到的 文件关联功能。
0 K: e& m0 ?- v1 P9 z  i8 N' _& P- H步骤十二、双击 我电脑被劫持
在 这过程清除 过程中 我一直 多次被病毒卡到... 始终搞不清楚自己明明已经做好了相关工作
为什么 还是会再次 中毒，这个时候是让人最郁闷的 时候。 不过，我还是 通过软件一些功能
! S0 i0 R0 p" e, h4 @发现了 一些蛛丝马迹.. 并成功抓出了问题 原来 是 我的电脑 图标 也被病毒劫持了。
8 ~! [. h: Z6 A, g  c所有 我们要做的就是 恢复 原来 我的电脑图标的 关联方式。

- X$ V, R4 L- @- Z( x; |
2 h8 @% e, f! Y9 v2 Z, F打开运行 在运行框中 输入：
3 u; m3 R0 a  S$ breg add "HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell" /ve /d none /f
这样 这个问题就 迎刃而解了 。
步骤十三、收尾工作

接下来 我们用 命令提示符(cmd -- 运行框输入) 使用 dos 命令 恢复被隐藏的文件
, f; |4 f6 p* q4 @* F& @$ |* s( z  attrib -r -s -h *.* /s /d
该命令 只要 你用 dos 命令 将相关路径 引导到相关驱动路径上并输入上面命令 就OK了。
1 s! L7 S9 I7 [) @5 y- i9 S* y
4 r+ h; V& s( g; V: T3 Y. N7 i) X  写到这里 我整个 病毒清除 就算OK 接下来 你要 记得去删除 系统上所有临时文件夹
; d, N- S2 E" A% }  t- F那可能是病毒 藏身的 一个温床。 常用路径--我底下帮大家列出
' ^& H" w  E0 L3 W% [$ K; Q   C:\Windows\Temp
+ D4 E, N5 z4 i5 w, _   C:\Documents and Settings\用户名（一般为Administrator）\Local Settings\Temp目录下（默认为隐藏目录）
, W/ H/ l; s8 k# H   IE临时文件夹：C:\Documents and Settings\用户名\Local Settings\Temporary Internet Files（默认为隐藏目录） 你也可以通过这个操作查看：打开IE---工具---internet选项---常规---设置。
# D" Z1 Z2 `- k# E   等等
0 H- l: C- K' ~' z3 Y$ P7 k   隐藏的找不到的 可以用 winrar 去查出来。
" L0 j: p: W& v+ ^3 E然后，你就可以关机 重新再开机 看看效果吧。 可以偷笑了。 哈哈
  本人，第一次写这方面教程... 可能有些地方写的不尽人意请大家多多见谅。有什么错误的请大家
顺便指出啊！大家共同讨论，共同进步。
, g' u. z7 [/ Z" Q! [9 }  另外，这个清除过程 是在 虚拟机的实验环境下 做出的... 然而，实际的操作环境 可能会比这个
5 s- S5 V/ p+ m- l* o" l9 v$ @( s5 P复杂得多，但是 基本上不会脱离 上面的大致内容。 只要你多仔细观察.. 多学习处理方法。
8 X- f- x' @2 O. H  d一般都能解决好问题。
                                                          原创：映轩晓屋

AK47

楼主好久不见了！

听樊

吓死我了。。。还好我的电脑进程里没有wscript.exe

jeremy°

师傅，你好猛呀

琼ヾ苍

回复 2# AK47

; P6 ^& g6 B7 N% ?2 R5 }: w% z
    哈哈 是啊 好久 没来 发帖
8 Q- U" f9 ?: ?" t1 R   一来、没什么好作品 不好意思 来。
; D2 O* u2 j$ _  J   另外就是 有点忙 嘿。

琼ヾ苍

回复 3# 听樊
9 _: u4 f; `9 Q( @
% r& ~& z. }. E4 M  O" p7 z% _, c
    哈哈

琼ヾ苍

回复 4# jeremy°


4 M8 {- Q1 v( N    嘻嘻