返回信息流rt
这是一条镜像帖。来源：北邮人论坛 / security / #5190同步于 2006/11/28
该镜像源已超过 30 天没有更新，可能在源站已被删除。
Security机器人发帖
【求救】有达人真正解决了mmc.exe问题么
guolei
2006/11/28镜像同步7 回复
订阅后，新回复会通过你的通知中心匿名送达。
7 条回复
不是瑞星的先卸载原杀毒软件，装上瑞星，升级到22日以后，杀毒，重装系统，装喜欢的杀毒软件，搞定。
【 在 guolei (funion) 的大作中提到: 】
: rt
按网上杀tel.xls.exe的方法把所有盘的木马文件都杀干净
然后进安全模式,删除system32下的mmc.exe跟wuauserv.dll，找干净的文件再放进去就可以了,我试了同学的机子成功了,也是根据别人的帖子总结的
哪里有可以升级的?
学校服务器上的,不能升级啊!
【 在 baj 的大作中提到: 】
: 不是瑞星的先卸载原杀毒软件，装上瑞星，升级到22日以后，杀毒，重装系统，装喜欢的杀毒软件，搞定。
“网上杀tel.xls.exe的方法”
能具体说说吗？谢谢
【 在 lth40555 (库班) 的大作中提到: 】
: 按网上杀tel.xls.exe的方法把所有盘的木马文件都杀干净
: 然后进安全模式,删除system32下的mmc.exe跟wuauserv.dll，找干净的文件再放进去就可以了,我试了同学的机子成功了,也是根据别人的帖子总结的
【 在 baj 的大作中提到: 】
: “网上杀tel.xls.exe的方法”
: 能具体说说吗？谢谢
去google搜tel.xls.exe,一堆一堆的....
Excel图标 tel.xls.exe SocksA.exe svchost.exe 解决方案
病毒名称：Trojan.Win32.VB.atg（Kaspersky）
病毒别名：Worm.FileCopy.u.45056（毒霸）
Trojan.VB.vqy（瑞星）
病毒大小：45,056 字节
加壳方式：N/A
样本MD5：38f0d47e4bbf2c5f05c51f6c48a90629
样本SHA1：ac97088838bd44a351e678b53ad77893a89c9720
发现时间：2006.10
更新时间：2006.10
关联病毒：
传播方式：可通过可移动磁盘、共享驱动器等途径传播
技术分析
==========
病毒是一个具有Excel图标的EXE可执行程序，运行后复制自身到系统目录：
%Windows%\svchost.exe
并创建多个副本：
%Windows%\Session.exe
%Windows%\System32%\FileKan.exe
%Windows%\System32%\SocksA.exe
向每个分区根目录复制：
tel.xls.exe
AUTORUN.INF
并创建AUTORUN.INF的副本：
%Windows%\BACKINF.TAB
AUTORUN.INF内容：
CODE:
[AutoRun]
open=tel.xls.exe
shellexecute=tel.xls.exe
shell\Auto\command=tel.xls.exe
shell=Auto
创建启动项：
CODE:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ASocksrv"="SocksA.exe"
破坏“显示所有文件和文件夹”设置：
CODE:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"="0"
每隔10秒钟检查复制病毒副本，重写注册表启动项和“显示所有文件和文件夹”设置信息：
从%Windows%\Session.exe复制还原各分区根目录的tel.xls.exe，从%Windows%\BACKINF.TAB复制还原各分区根目录的AUTORUN.INF。
清除步骤
==========
1. 结束病毒进程：
%Windows%\svchost.exe
2. 删除病毒文件：
%Windows%\Session.exe
%Windows%\svchost.exe
%Windows%\BACKINF.TAB
%Windows%System32%\FileKan.exe
%Windows%System32%\SocksA.exe
3. 通过磁盘分区右键菜单进入根目录，右键点击分区盘符，点击菜单中的“打开”进入分区根目录，删除根目录下的文件：
tel.xls.exe
AUTORUN.INF
4. 删除病毒启动项：
CODE:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ASocksrv"="SocksA.exe"
5. 修改“显示所有文件和文件夹”设置，到注册表以下位置：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
删除右边病毒创建的字符串值："CheckedValue"="0"
新建DWORD值，名称：CheckedValue，数据：1
如果不会结束进程的操作，而且系统已经设置显示所有文件和文件夹，也可以尝试以下另外一种清除方法：
1. 删除病毒文件：
%Windows%\Session.exe
%Windows%\BACKINF.TAB
%Windows%\system32%\FileKan.exe
%Windows%\system32%\SocksA.exe
2. 通过磁盘分区右键菜单进入根目录，右键点击分区盘符，点击菜单中的“打开”进入分区根目录，删除根目录下的文件：
tel.xls.exe
AUTORUN.INF
3. 重新启动计算机
4. 删除病毒文件：
%Windows%\svchost.exe
5. 删除病毒启动项：
CODE:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ASocksrv"="SocksA.exe"
6. 修改“显示所有文件和文件夹”设置，到注册表以下位置：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
删除右边病毒创建的字符串值："CheckedValue"="0"
新建DWORD值，名称：CheckedValue，数据：1