新近碰到的病毒（TR.Spy.Babonock.A）

先來段Microsoft的說明：

Worm:Win32/Babonock.A

Alert level: Severe Detected with Windows Defender Antivirus

Also detected as:Worm/Win32.AutoIt (AhnLab)Trojan-Spy.Win32.AutoIt.p (Kaspersky)Worm/Autoit.ANVE (AVG)TR/Spy.Babonock.A (Avira)Win32/Autoit.HG worm (ESET)Trojan-Spy.Win32.Babonock (Ikarus)Mal/Babonock-A (Sophos)W32.Harakit (Symantec)TROJ_SPNR.07JT11 (Trend Micro)

Summary

---

Summary

TrojanSpy:Win32/Babonock.A is a trojan that collects information about your computer, which it then sends to a remote server.

?

翻譯一下：

蠕蟲病毒，危險，Windows Defender檢測到的，其他能夠檢測的防病毒軟件還有很多（不過它們給病毒起的名字不一樣）

這是個木馬程序，收集你電腦的信息，發給遠程服務器。

?

當我的U盤插上公共電腦就導致中毒了，中毒后我的U盤中的目錄就被隱藏了，病毒偽裝復制了幾個EXE文件，并把他偽裝成目錄，360報毒，但是我開始沒反應過來，后來系統反復報錯我才明白U盤是真的中病毒了。然后，用電腦上的殺毒軟件殺毒后問題并沒有結束。

1. 病毒是Office目錄下的rundll32.exe文件，偽裝了一個Windows的系統文件，并且偽裝了圖標成文件夾的樣子，當然被殺毒軟件找出并消滅。

2. U盤中復制的病毒文件也被一并消滅，但是U盤被隱藏的目錄仍然不可見，在Windows的資源管理器中也無法修改其隱藏屬性。

3. 那里因為病毒把目錄的屬性改成系統和隱藏，解決辦法：進入命令行模式（cmd）→進入到U盤的目錄下→使用dos命令修改目錄屬性（attrib –s –h /s /d)→現在有問題的目錄就恢復正常了

4. 如果沒有殺毒軟件也可以自己去windows的注冊表中，修改“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\”下的rundll32.exe自啟動運行，也可以使病毒下次無法正常啟動。當然這個方法也是手工檢查機器是否中毒的方法。