批处理新手入门导读[视频教程]批处理基础视频教程[视频教程]VBS基础视频教程
[批处理文件精品]批处理版照片整理器[批处理文件精品]纯批处理备份&还原驱动在线第三方下载
返回列表 发帖

Virus.Win32.Tc.bat 恶意病毒专杀处理方案

去年中的一个病毒,如今仍阴魂不散,专杀是没有了,网上搜索倒是一大堆问号


本病毒大致有几个比较明显特点(注,仅限去年传播的版本):

1. 采用dll替换方式,直接注入svchost.exe运行,迅速破坏系统众多服务,重启无效,这一行为相当恶劣,其中bits服务肯定是首当其冲的

2. 迅速感染全盘所有exe/html之类可执行文件,不停调用rar.exe感染压缩包内文件,这一行径过于卑鄙,让人损失巨大,利用常人心态是一件很可怕的事,你是常人吗?

3. 不停利用svchost.exe后台加载ie下载大量木马,进一步破坏系统,你就找不着iexplore.exe进程在哪里

4. 直接利用IFEO破坏杀软,直接删除safeboot造成安全模式蓝屏,甭想着一着毒就杀软,安全模式了,压根没用

5. 到如今仍没有专杀工具,杀毒软件对压缩包查杀能力太差,被破坏的exe程序无法再修复


可惜很多压缩包,很多资料资料未处理,杀软对压缩包和特殊处理文件过于软弱,更谈不上修复了

重要是穷得可怜,整盘的资料没地方搁,为求性能,杀软又不会装:)

还好,每次凭感觉,三下五除二,马上消灭隐藏的火星,可是呢,待到何年月才会翻完这么多的资料呢

废话扯多了,只求仁者仁、智者智,高出几个高手,指点下江下,给出一个专业级的查杀和修复工具,天下福音了

以下是自己的脚本:Virus.Win32.Tc.bat 恶意病毒专杀处理方案(仅作自己手杀的辅助工具,注意看清楚了适用条件,可能你会因此而想到很多哦)
  1. @echo off
  2. title Virus.Win32.Tc专杀
  3. color 2f
  4. ::mode con cols=110 lines=40
  5. echo -----------------------------------------------------------------------------
  6. echo 名称:Virus.Win32.Tc.bat 恶意病毒专杀处理方案
  7. echo.
  8. echo 作者:Just4/CSDN
  9. echo.
  10. echo 日期:2010.09.03
  11. echo ----------------------------------------------------------------------------
  12. :: 说明:Virus.Win32.Tc、Type_Win32、Virus.Win32.Parite.b 一大堆关联名字
  13. ::
  14. :: 病毒特点:
  15. ::
  16. :: 1. 采用dll替换方式,直接注入svchost.exe运行,迅速破坏系统众多服务,重启无效,这一点行为相当恶劣
  17. ::
  18. :: 2. 迅速全盘感染所有exe等文件,不停调用rar.exe感染压缩包内文件,这一点行径过于卑鄙,让人损失巨大
  19. ::
  20. :: 3. 不停利用svchost.exe后台加载ie下载大量木马,进一步破坏系统
  21. ::
  22. :: 4. 直接利用IFEO破坏杀软,直接删除Safeboot造成安全模式蓝屏
  23. ::
  24. :: 5. 到如今仍没有专杀工具,杀毒软件对压缩包查杀能力太差,被破坏的exe程序无法再修复
  25. ::
  26. :: 注意:本脚本并不清理启动项、木马和垃圾,并不修复exe/rar等被感染文件
  27. ::
  28. ::       仅适于Win2k3平台,手工升级SP2补丁,否则修复无效,错误信息是为手工查杀作准备的
  29. ::
  30. ::       希望有高手朋友能给出一个像样的专杀方案,多谢:)
  31. :: ----------------------------------------------------------------------------
  32. echo 按任意键开始查杀病毒......
  33. ping 127.1 -n 2 >nul 2>&1
  34. pause>nul
  35. cls
  36. echo ## 开始查杀病毒!!!
  37. echo.
  38. echo #1.先杀掉依赖进程svchost.exe
  39. echo #  以lanmanserver/netman/wzcsvc/audiosrv/w32time等为特征
  40. rem tasklist /m srvsvc.dll
  41. for /f "skip=2 tokens=1,2" %%i in ('tasklist /m srvsvc.dll') do if "%%i"=="svchost.exe" taskkill /pid %%j /f /t
  42. echo.
  43. echo #2.再杀掉木马后台下载进程iexplore.exe(实为svchost.exe加载)
  44. echo #  最好及时断网处理
  45. taskkill /im iexplore.exe /f /t
  46. echo.
  47. echo #3.删除IFEO限制
  48. reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" /f
  49. echo.
  50. echo #4.修复Safeboot蓝屏,需有Safeboot.reg备份
  51. rem reg import safeboot.reg
  52. echo.
  53. echo #5.删除病毒传播体lsasvc.dll
  54. if not exist "%systemroot%\system32\lsasvc.dll\" (
  55.   del %systemroot%\system32\lsasvc.dll /s /f
  56.   md  %systemroot%\system32\lsasvc.dll\test..\
  57.   attrib %systemroot%\system32\lsasvc.dll +s +h +r
  58.   echo y|cacls %systemroot%\system32\lsasvc.dll /d everyone
  59. )
  60. echo.
  61. echo #6.删除感染程序释放的病毒体backup.exe
  62. if not exist "%temp%\backup.exe\" (
  63.   del "%temp%\backup.exe" /f /a
  64.   md "%temp%\backup.exe\test..\"
  65.   attrib "%temp%\backup.exe\test..\" +s +h +r
  66.   echo y|cacls "%temp%\backup.exe" /d everyone
  67. )
  68. echo.
  69. echo #7.删除回收站隐藏病毒体~df*.exe
  70. del %sysdrive%\recycler\*.exe /s /f /a
  71. echo.
  72. echo #8.删除rar.exe以避免压缩文档损失
  73. if not exist "%programfiles%\winrar\rar.exe\" (
  74.   del "%programfiles%\winrar\rar.exe" /f
  75.   md "%programfiles%\winrar\rar.exe\test..\"
  76.   attrib "%programfiles%\winrar\rar.exe" +r +s +h
  77.   echo y|cacls "%programfiles%\winrar\rar.exe" /d everyone
  78. )
  79. echo.
  80. echo #9.删除系统目录下的隐藏病毒文件,并不删除其它目录下病毒文件
  81. del %systemroot%\system32\*.exe /s /ah /f
  82. del %systemroot%\system32\*.dll /s /ah /f
  83. del %systemroot%\system32\*.sys /s /ah /f
  84. del %systemroot%\system32\*.fon /s /ah /f
  85. del %systemroot%\system32\*.
  86. echo.
  87. echo -----------------------------------------------------------------------------
  88. echo ## 开始修复被替换的系统服务项,需有补丁备份,需重启修复启动类型
  89. ping 127.1 -n 2 >nul 2>&1
  90. echo.
  91. echo # 修复后台更新服务Bits --^> qmgr.dll
  92. del %systemroot%\system32\qmgr.dll /s /f /a
  93. copy %systemroot%\ServicePackFiles\i386\qmgr.dll %systemroot%\system32\qmgr.dll /y
  94. sc config bits start= disabled
  95. echo.
  96. echo # 修复远程注册表服务Regsvc --^> regsvc.dll
  97. del %systemroot%\system32\regsvc.dll /s /f /a
  98. copy %systemroot%\ServicePackFiles\i386\regsvc.dll %systemroot%\system32\regsvc.dll /y
  99. sc config regsvc start= disabled
  100. echo.
  101. echo # 修复计划任务服务Schedule --^> schedsvc.dll
  102. del %systemroot%\system32\schedsvc.dll /s /f /a
  103. copy %systemroot%\ServicePackFiles\i386\schedsvc.dll %systemroot%\system32\ /y
  104. sc config schedule start= disabled
  105. echo.
  106. echo # 修复帮助和支持服务Helpsvc --^> pchsvc.dll
  107. del %systemroot%\system32\pchsvc.dll /s /f /a
  108. reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Helpsvc\parameters" /v ServiceDll /t reg_expand_sz /d "%WINDIR%\PCHealth\HelpCtr\Binaries\pchsvc.dll" /f
  109. echo.
  110. echo # 修复管理Xml配置文件服务Xmlporv --^> xmlprov.dll
  111. del %systemroot%\system32\xmlprov.dll /s /f
  112. copy %systemroot%\ServicePackFiles\i386\xmlprov.dll %systemroot%\system32\ /y
  113. sc config xmlprov start= disabled
  114. echo.
  115. echo # 修复便携的媒体序号服务WmDmPmSn --^> mspmsnsv.dll
  116. del %systemroot%\system32\mspmsnsv.dll /s /f
  117. copy %systemroot%\ServicePackFiles\i386\mspmsnsv.dll %systemroot%\system32\ /y
  118. sc config wmdmpmsn start= disabled
  119. echo.
  120. echo # 直接删除可移动存储管理程序Ntmssvc --^> ntmssvc.dll
  121. del %systemroot%\system32\ntmssvc.dll /s /f
  122. sc delete ntmssvc /f
  123. echo.
  124. echo # 直接删除Ias服务 --^> ias.dll
  125. del %systemroot%\system32\ias.dll /s /f
  126. sc delete ias /f
  127. echo.
  128. echo # 修复拨号网络服务tapisrv --^> tapisrv.dll
  129. del %systemroot%\system32\tapisrv.dll /s /f /a
  130. copy %systemroot%\ServicePackFiles\i386\tapisrv.dll %systemroot%\system32\ /y
  131. sc config tapisrv start= demand
  132. echo.
  133. echo # 修复应用程序管理服务Appmgmt --^> appmgmts.dll
  134. del %systemroot%\system32\appmgmts.dll /s /f /a
  135. copy %systemroot%\ServicePackFiles\i386\appmgmts.dll %systemroot%\system32\ /y
  136. reg add "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\AppMgmt" /v Start /t reg_dword /d 3 /f
  137. echo.
  138. echo # 修复加密服务Cryptsvc --^> cryptsvc.dll
  139. del %systemroot%\system32\cryptsvc.dll /s /f /a
  140. copy %systemroot%\ServicePackFiles\i386\cryptsvc.dll %systemroot%\system32\ /y
  141. echo y|cacls %systemroot%\system32\cryptsvc.dll /g system:r administrators:r
  142. reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CryptSvc" /v Start /t reg_dword /d 3 /f
  143. echo.
  144. echo # 修复共享服务browser --^> srvsvc.dll/wkssvc.dll/browser.dll
  145. del %systemroot%\system32\browser.dll
  146. copy %systemroot%\ServicePackFiles\i386\browser.dll %systemroot%\system32\ /y
  147. sc config browser start= demand
  148. echo.
  149. echo -----------------------------------------------------------------------------
  150. echo # 修复完成,请及时征对各项提示分别进行再处理!!!
  151. echo.
  152. echo # 最好重启系统再运行一遍,直接进安全模式用杀软全盘查杀!!!
  153. echo.
  154. echo # 仅适于系统异常时立即进行查杀,错误信息仅为手工二次查杀做准备!!!
  155. rem 直接重启
  156. rem shutdown /r /t 0 /f
  157. rem 不重启直接恢复系统重要服务
  158. net start lanmanserver >nul 2>&1
  159. net start lanmanworkstation >nul 2>&1
  160. net start audiosrv >nul 2>&1
  161. net start netman >nul 2>&1
  162. net start wzcsvc >nul 2>&1
  163. net start helpsvc >nul 2>&1
  164. net start winmgmt >nul 2>&1
  165. pause>nul
复制代码
转自:http://topic.csdn.net/u/20100904 ... f-135284d6834d.html

返回列表