删除根目录“llm.exe”和“autorun.inf”

铁兵 提交于 周三, 2007-05-23 14:57
內文

  症状是屏幕每隔一段时间黑屏闪烁一次,各磁盘根目录下产生“llm.exe”和“autorun.inf”两个文件,双击无法打开硬盘,删除后立刻重新产生,并且屏蔽了隐藏文件察看功能。

首先修改注册表:

“开始”->“运行”->“regedit”打开注册表编辑器。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]

将其中的“CheckedValue”键删除,因为病毒已将其类型改为“SZ”,及时将值改为“1”也无法察看。删除后新建类型为“DWORD”的键,名称改为“CheckedValue”,键值为“1”。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon]

将其中的“Userinit”键内容改为“userinit.exe,”(含逗号),这时我们可以发现修改之前该键的内容中有一个“microsoft\*(乱码).exe”,这个文件其实就是病毒文件之一。

将其中的“Shell”键内容改为“EXPLORER.EXE”,这时我们可以发现修改之前该键的内容中有一个“C:\WINDOWS\system32\dllcache\dcache.exe”,没错,这个文件就是病毒文件之二。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

将其中的“System”键删除。该键的内容为“C:\WINDOWS\system32\advanced.exe”,这是第三个病毒文件。

  注册表修改完毕后进入C盘Windows文件夹System32文件夹,显示隐藏文件和系统文件以及扩展名,找到隐藏的“advanced.exe”文件 (44.2kb,没有图标),该文件此时无法删除,但可以将其文件名修改,改成什么都可以,只要下次你能找到并且文件名不是原来的那个就可以。然后新建一 个文本文档(其实新建什么都行),将其名称改为“advanced.exe”(一定要显示扩展名,不然就变成“advanced.exe.txt”了), 属性改为“只读”(0kb,程序图标)。

  然后找到“dllcache”文件夹,删除隐藏的“dcache.exe”文件(44.2kb,没有图标);回到上级目录,找到“microsoft”文件夹,删除隐藏的“*(乱码).exe”文件(44.2kb,没有图标)。

  这时再回到各根目录下将隐藏的“llm.exe”(44.2kb,没有图标)和“autorun.inf”文件都删掉。这时,即使再次产生,生成的“llm.exe”文件也是与我们之前建立的“advanced.exe”(0kb,程序图标)相同,即没有任何危害性了。

  重启电脑再检查一下,如果注册表和Windows文件夹中都没有什么变化就可以将我们自己建立的那个假的“advanced.exe”删除了。