文本文件图标services.exe解决方案

档案编号：CISRT2006020
病毒名称：Trojan-PSW.Win32.QQDragon.bl（Kaspersky）
病毒别名：
病毒大小：32,768 字节
加壳方式：N/A
样本MD5：a0fd84459e5751bdb75cd5cc7d409e69
发现时间：N/A
更新时间：N/A
关联病毒：
传播方式：


技术分析
==========

病毒文件为文本文件图标的exe可执行程序，运行后复制自身到系统目录：
%WINDOWS%services.exe

并遍历文件夹，以随机字母和数字组成的文件名复制自身到各文件夹中，如：
uenginkkuwh.exe
uanowizhi.exe
kytcuanguan157.exe
uaninsf359.exe
iangyunkif152.exe
cifluzcuen450.exe
wxdiensi846.exe
chifuaomong.exe
yrian961.exe
qwiengchi.exe
tfbanchi39.exe
ianiangokh.exe
hmokyunueng432.exe
uanmgyiosi34.exe
ziluan467.exe
yunging431.exe

创建自启动项：


清除步骤
==========

启动系统进入安全模式，使用反病毒软件全盘扫描查杀即可清除。

清除后别忘记删除病毒创建的自启动项：


如果你使用的反病毒软件还不能查到病毒文件，那么可以尝试手动处理：

1. 根据病毒文件的一些共同特征进行全盘搜索：
创建时间或修改时间相同或相近、文件大小约32K、文本文件图标的exe程序

2. 查看一个或多个病毒文件的属性，记录下创建时间或修改时间

3. 全盘搜索*.exe，根据病毒文件的创建时间或修改时间进行搜索，并指定文件大小至少31K或者至多33K

4. 搜索完成后再根据病毒的文本文件图标来判断搜索结果里找到的是否为病毒文件，最终锁定病毒文件

5. 确定病毒文件后就可以删除它们了，需要注意的是删除前应该先将进程中的病毒进程结束，可以使用ProceXP等进程工具结束%WINDOWS%services.exe进程，还可能存在随机字母数字的病毒进程，也要结束它们，最后直接删除搜索到的病毒文件