[求助] 所有的EXE文件图标都成花的了

也有可能是这个病毒！

winfile.exe病毒原理及解决方法
winfile.exe]
[病毒名]：I-Worm.Wukill
[破坏方法]：这个病毒采用文件夹图标，具有很大迷惑性。该病毒运行后，会将自己大量复制到其他目录中。
一、 病毒首次运行时将显示"This File Has Been Damage!"；
二、 将自己复制到windows目录下并改名为Mstray.exe；
三、 修改注册表： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
以达到其自启动的目的；
四、 枚举磁盘目录，在每个根目录下释放下列文件：
winfile.exe 病毒主体程序
comment.htt 利用IE漏洞调用同一个目录下的"winfile.exe"，属性为隐藏。
desktop.ini 系统为隐藏。采用web方式浏览文件夹时，系统会调用该文件，该文件调
用comment.htt ，从而激活病毒。
五、 病毒修改注册表，隐藏系统文件、隐藏受系统保护的文件、隐藏已知的扩展名称。
这样，用户看不到comment.htt和Desktop.ini， winfile.exe被隐藏后缀明，又是文件
夹图标，用户极容易认为是文件夹而点击。
同时病毒在当前路径下生成的自身拷贝，名称采用上级目录，或者是当前窗口的标题，
增加隐蔽性。
六、病毒调用Outlook发送携带病毒的信件。
手工清除在没有杀毒软件的情况下) 首先:找到Mstray.exe(注意这个是系统和隐藏的文件,所以大家应该知道怎么才能找到它了,在系统文件夹下),删除掉.并修改注册表,去掉对应的启动项.
接着:利用的Windows的搜索功能,搜索所有的:Winfile.exe,comment.htt,desktop.ini(注意:查看->去掉系统保护,去掉隐藏)删除!注意还得清楚不要删错了哦!有些desktop.ini是windows原有的文件)
最后:查找硬盘内所以的[*.exe]文件,(注意:如上),你会发现好多的文件夹图标形式的.exe 文件,删除掉所有 这些文件.一切OK!

原帖由 yukidick 于 2006-6-1 22:48 发表
我同学也出现过这样的问题 重建图标缓存 也没能解决问题 系统还原也不行
希望高手解答

太夸张了，系统还原指的是XP自带的系统还原？
Ghost还原不可能不行吧

原帖由 xplhx 于 2006-6-1 14:10 发表

不行，好象是所有的EXE文件被改了，怎么办啊

如果只是所有EXE文件图标变花，其它图标正常的话，那很可能是中了只感染exe文件的PE病毒
以前中过一次，(不过exe图标没变花)，当时用最新病毒库的KV全盘杀毒，连非系统盘的所有exe文件都被感染了，杀毒软件扫描到病毒也只能是删除，绝大多数都清除不了，最后是把D盘的所有exe都删了，格了C盘重装系统

你遇到的情况，如果只是图标变花，没其它异常，可以把你机器上的exe复制到其它机器上，看看图标是否正常，如果也是花的，那也只能 如果在别的的机器上没变花，那应该是显卡驱动或注册表某个地方出问题了

刚才我在网上查了一下，我当时就哭了因为我就是那个不幸的网管，50台机器啊，连个母盘都没有，这下我可要几天上全班重做系统了哇~~~~~~~~~~~~~~~

病毒名称 Worm@W32.Looked
病毒别名 Virus.Win32.Delf.62976 [Kaspersky], W32/HLLP.Philis.j [McAfee],W32.Looked [symantec]   Net-Worm.Win32.Zorin.a
病毒型态 Worm (网络蠕虫)
病毒发现日期 2004/12/20
影响平台 Windows 95/98/ME , Windows NT/2000/XP/2003

风险评估

散播程度：中
破坏程度：中
主要症状:
1、占用大量网速，使机器使用变得极慢。
2、会捆绑所有的EXE文件，只要一运用应用程序，在winnt下的logo1.exe图标就会相应变成应用程序图标。
3、有时还会时而不时地弹出一些程序框，有时候应用程序一起动就出错，有时候起动了就被强行退出。
4、网吧中只感梁win2k pro版，server版及XP系统都不感染。
5、能绕过所有的还原软件。

详细技术信息：  

病毒运行后，在%Windir%生成  Logo1_.exe  同时会在windws根目录生成一个名为 %WinDir%\virDll.dll
该蠕虫会在系统注册表中生成如下键值：

[HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW]盗取密码

　　病毒试图登陆并盗取被感染计算机中网络游戏传奇2的密码，将游戏密码发送到该木马病毒的植入者手中。
　　
阻止以下杀毒软件的运行
　　病毒试图终止包含下列进程的运行，这些多为杀毒软件的进程。 包括卡巴斯基，金山公司的毒霸。瑞星等。98%的杀毒软件运行。
   国产软件在中毒后都被病毒杀死，是病毒杀掉-杀毒软件。如金山，瑞星等。哪些软件可以认出病毒。但是认出后不久就阵亡了。

通过写入文本信息改变病毒感染运行windows操作系统的计算机，并且通过开放的网络资源传播。一旦安装，蠕虫将会感染受感染计算机中的.exe文件。

该蠕虫是一个大小为82K的Windows PE可执行文件。

通过本地网络传播

该蠕虫会将自己复制到下面网络资源：ADMIN$   IPC$
症状

蠕虫会感染所有.exe的文件。
蠕虫会从内存中删除下面列出的进程：EGHOST.EXE  IPARMOR.EXE    KAVPFW.EXE    KWatchUI.EXE   MAILMON.EXE   Ravmon
     网吧遭此病毒破坏造成大面积的卡机，瘫痪。危害程度可以和世界排名前十的爱情后门变种相比。该病毒可以通过网络传播，传播周期为3分钟。如果是新做的系统处于中了毒的网络环境内，只要那个机器一上网，3分钟内必定中招。中招后你安装　rising SkyNet Symantec McAfee Gate Rfw.exe RavMon.exe 　kill  NAV 等杀毒软件 都无法补救你的系统，病毒文件 Logo1_.exe 为主体病毒，他自动生成病毒发作所需要的的 SWS32.DLL SWS.DLLL KILL.EXE 等文件。这些文件一但衍生。他将迅速感染系统内EXPLORE  等系统核心进程 及所以.exe  的可执行文件，外观典型表现症状为 传奇 ，泡泡堂，等游戏图标变色。 此时系统资源可用率极低，你每重新启动一次，病毒就会发作一次。
  该病毒对于防范意识较弱，还原软件未能及时装到位的网吧十分致命，其网络传播速度十分快捷有效。旧版的杀毒软件无法检测，新版的无法彻底根杀。一但网吧内某台机器中了此病毒，那么该网吧所有未中毒的机器都处于危险状态。由于病毒发作贮留于内存。且通过EXPLORE.exe 进行传播。因此即使是装了还原精灵，还原卡的机器也同样会被感染。你重新启动后系统可以还原。但是你一但开机还是会被感染。

病毒发作会生成另外病毒 PWSteal.Lemir.Gen 和 trojan.psw.lineage 等等。都是些非常厉害的后门程序。和外挂病毒相似，但是其威力是外挂病毒的50倍以上。在WIN98平台下，改病毒威害比较小。在WIN2000 /XP/2003 平台对于网吧系统是致命的
        运行系统极度卡机。你重新启动后你会发现你所有游戏的.EXE 程序全部都感染了

最新杀毒软件杀完后。除了系统可以勉强运行。其他的你也别想运行了。

病毒清理办法

如果在病毒没有发作情况下杀毒是可以完全搞定的。如果发作了也不要杀毒了。直接克盘恢复吧。

一、找到注册表中[HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW]删除DownloadWWW主键

二、找到
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\system.ini\boot]
   winlogo 项
把WINLOGO 项 后面的C:\WINNT\SWS32.DLL 删掉
接下来把HKEY_LOCAL_MACHINE]SOFTWARE/Microsoft/Windows/CurrentVersion/Run 键中  /RunOnce/RunOnceEx  两个中其中有个是也是

C:\WINNT\SWS32.dll
把类似以上的全部删掉 注意不要删除默认的键值（删了的话后果自负）

如果没有以上键值，则直接跳过此步骤
　
三  结束进程

按“Ctrl+Alt+Del”键弹出任务管理器，找到logo1_.exe 等进程，结束进程，可以借助绿鹰的进程管理软件处理更方便。找到EXPL0RER.EXE进程，找到它后选中它并点击“结束进程”以结束掉（如果EXPL0RER.EXE进程再次运行起来需要重做这一步）。

四 装杀毒软件
装完后不要重新启动（切记）直接升级病毒库，升级完后，把C:\winnt  目录下所有带毒文件删除。然后运行杀毒软件开始杀毒。
杀完后。还有几个杀毒软件无法删掉的东西要把名字记下来。因为不同的系统有不同的名字。所以这里说不清楚了。自己记下来。,重新启动后再次杀毒。记的把可疑的进程的结束。否则杀毒软件无法干净杀毒。还有最重要的一点记的把杀毒软件无法清除的病毒设置为删除文件。一般要重复杀毒3-5次才能杀干净。
五。看看杀毒后的系统。
缺少的了很多系统文件。系统处于危险状态。如果你有GHOST 备份。这个时候恢复一下。系统可以干净无损。如果没有请运行 SFC 命令检查文件系统。具体操作为 运行-输入CMD 命令进入DOS 提示符。-输入SFC /scannow --  提示放入系统光盘。--放进去吧。然后慢慢等。
看看成果。杀毒效果显著。毒杀干净了。但是杀完毒后很多游戏都玩不了。忙了一圈都不知道自己在忙什么。郁闷吧。然后重新做系统吧。谁叫中毒的是网吧的系统

杀毒及重装系统后的防范

有些网友在处理病毒的时候可能有这样的感觉好不容易清除了，或者没办法重新装了系统，但是没多长时间又中了同样的病毒，所以说有免疫程序实最好的了。下面就将免疫程序公布如下，供网友们下载使用：
建议做系统的时候把默认共享关闭。关闭IPC$ ADMIN$ 关闭554 关闭ICMP路由。给ADMINISTRATOR 组所有成员设置密码。最好数字加英文



[ 本帖最后由 xplhx 于 2006-6-2 11:46 编辑 ]

是中毒的，我也看到过!

今天老板打电话要求我在两天内将系统全部做好，我哭啊，没有帮手的话我一人能搞定么？？我现在只想给制作这个病毒的人一句话：你去死吧！！！

安装MCAFEE

原帖由 MarsX 于 2006-6-2 21:00 发表
安装MCAFEE

安装后也不行，查出来后删除不了，我现在通宵重做系统呢

有没有彻底免疫的办法

同情...
通宵做好系统后，记得Ghost一下，以后万一再中了这么厉害的病毒，恢复起来也快