Worm.Win32.Viking.p威金变种的查杀

常常碰到名为“_desktop.ini”的一个隐藏文件。经查是一种叫做威金的蠕虫病毒。它的症状是感染10MB以下的可执行程序，表现为改变程序的图标，并且导致可执行程序不能被执行。计算机反应变慢，断网等现象。通过网上下载的专杀工具试图驱逐无果，删是删不掉的，它从你的计算机的最后一个盘向上不停的复制。似乎只有通从新分区后再做重做系统才会彻底。但是这样，就丢了计算机上很多宝贵的东东。
这几天被病毒害苦了，到处都是_desktop.ini
　　
网上搜了一下。。基本搞定,　下面这个方法不错。
批量删除_desktop.ini的命令
现在使用DOS命令批量删除_desktop.ini，如下：
　　del d:\_desktop.ini /f/s/q/a
　　强制删除d盘下所有目录内（包括d盘本身）的_desktop.ini文件并且不提示是否删除
　　/f 强制删除只读文件
　　/q 指定静音状态。不提示您确认删除。
　　/s 从当前目录及其所有子目录中删除指定文件。显示正在被删除的文件名。
　　/a的意思是按照属性来删除了
　　这个命令的作用是在杀掉viking病毒之后清理系统内残留的_desktop.ini文件用的

手动清除方案：

１、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用“进程管理”关闭病毒进程
(2) 删除病毒文件
%WINDDIR%\rundl132.exe
%Program Files%\_desktop.ini
桌面\viDll.dll
系统根目录\_desktop.ini
系统根目录\1.txt
系统根目录\MH_FILE\MH_DLL.dll
系统根目录\TODAYZTKING\TODAYZTKING.dll
会在大量文件夹中释放文件_desktop.ini
%WINDDIR%\0sy.exe
%WINDDIR%\1sy.exe
%WINDDIR%\2sy.exe
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_CURRENT_USER\Software\Microsoft\Windows NT
\CurrentVersion\Windows
键值: 字串: "load "="C:\WINDOWS\rundl132.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
键值: 字串: "ver_down0"="0.859: Source:C:\WINDOWS\system32\_0000012_.tmp.dll (3.0.3790.218001111)"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
键值: 字串: " ver_down1"="0.687: 2006/06/13 20:52:04.23s444 (local)"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
键值: 字串: " ver_down2"="0.859: Source:C:\WINDOWS\system32\_000006_.tmp.dll
(3.0.3790.21801)"
HKEY_LOCAL_MACHINE\SOFTWARE\Soft\
HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW\
HKEY_LOCAL_MACHINE\SOFTWARE\Soft\DownloadWWW\auto
键值: 字串: "1"

[1] [2] 下一页