瑞星卡卡安全论坛

求助:我的电脑安装的是xp,现在出现d盘无法双击打开，右键第一选项为“自动播放”，右键打开d盘发现存在autorun文本文件，内容为：[autorun]  OPEN=D:\pagefile.pif，同时存在一个名为pagefile指向MO-DOS的快捷方式删除autorun文本文件后重新启动电脑又出现。烦请给各位高人给看看如何处理？小弟感激不尽~！

拜托各位了，在线等回复！谢谢了！

用杀毒软件查出到有病毒吗..就光D盘打不开吗..其他呢

【回复“帅的被贼砍”的帖子】
用瑞星2006查了好几次，都没有病毒，只有D盘这样，其他正常。D盘格式化没用，重装系统还是不行。是病毒吗？

都重装系统了不行..安装系统前不有个磁盘分区吗..重新分一下..没准你的D盘坏掉了......

先关掉硬盘的自动运行再进行杀毒
打开注册表编辑器，展开到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Exploer主键下，在右侧窗格中找到“NoDriveTypeAutoRun”．把将“NoDriveTypeAutoRun”的键值改为9D,00,00,00后关闭注册表编辑器．

杀的时候最好把网断开

硬盘没坏,我前几天也中过,和你的情况一样.只格D盘或格式化系统盘后重做系统是没用的.

必须断线后格系统盘和D盘才行,然后打齐补丁,使用下网警的防火规则吧.

参考一下这文章http://www.liuxingcat.51r.com/user2/liuxingcat/archives/2006/40988.shtml

希望制顶

用HJ扫个日志发上来看看！

呵呵，和我上次一样，这个方法应该有效~  应该是中了落雪病毒，这个病毒是传奇世界的一个盗号木马~
1/结束进程WINLOGON.EXE(路径:C:\WINDOWS\WINLOGON.EXE).
2/将注册表修复工具RegFix.exe的后缀改为.scr。运行RegFix.scr，选择“全自动修复”，修复主要文件关联。
3/删除下列文件:

C:\WINDOWS\1.com
C:\WINDOWS\ExERoute.exe
C:\WINDOWS\explorer.com
C:\WINDOWS\finder.com
C:\WINDOWS\WINLOGON.EXE
C:\WINDOWS\Debug\DebugProgram.exe
C:\Program Files\Common Files\iexplore.pif
C:\Program Files\Internet Explorer\iexplore.com
C:\WINDOWS\system32\command.pif
C:\WINDOWS\system32\dxdiag.com
C:\WINDOWS\system32\finder.com
C:\WINDOWS\system32\MSCONFIG.COM
C:\WINDOWS\system32\regedit.com
C:\WINDOWS\system32\rundll32.com
D:\autorun.inf
D:\pagefile.pif

4/清理注册表：

HKEY_CLASSES_ROOT\.bfc\ShellNew
将"Command"="%SystemRoot%\\system32\\rundll32.com"改为"Command"="%SystemRoot%\\system32\\rundll32.exe"

HKEY_CLASSES_ROOT\.lnk\ShellNew
删除"Command"="rundll32.com

HKEY_CLASSES_ROOT\Applications\iexplore.exe\shell\open\command
将@="\"C:\\Program Files\\Internet Explorer\\IEXP1ORE.com\" %1"改为@="\"C:\\Program Files\\Internet Explorer\\IEXPLORE.EXE" %1"

HKEY_CLASSES_ROOT\cplfile\shell\cplopen\command
将@="rundll32.com shell32.dll,Control_RunDLL \"%1\",%*"改为@="rundll32.exe shell32.dll,Control_RunDLL \"%1\",%*"

HKEY_CLASSES_ROOT\dunfile\shell\open\command
将@="%SystemRoot%\\system32\\rundll32.com NETSHELL.DLL,InvokeDunFile %1"改为@="%SystemRoot%\\system32\\rundll32.exe NETSHELL.DLL,InvokeDunFile %1"

HKEY_CLASSES_ROOT\htmlfile\shell\print\command
将@="rundll32.com %SystemRoot%\\system32\\mshtml.dll,PrintHTML \"%1\""改为@="rundll32.exe %SystemRoot%\\system32\\mshtml.dll,PrintHTML \"%1\""

HKEY_CLASSES_ROOT\inffile\shell\Install\command
将@="%SystemRoot%\\System32\\rundll32.com setupapi,InstallHinfSection DefaultInstall 132 %1"该为@="%SystemRoot%\\System32\\rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1"

HKEY_CLASSES_ROOT\InternetShortcut\shell\open\command
删除@="finder.com "

HKEY_CLASSES_ROOT\scrfile\shell\install\command
删除@="finder.com"

HKEY_CLASSES_ROOT\scriptletfile\Shell\Generate Typelib\command
删除@="\"C:\\WINDOWS\\system32\\finder.com\""

HKEY_CLASSES_ROOT\telnet\shell\open\command
删除@="finder.com"

HKEY_CLASSES_ROOT\Unknown\shell\openas\command
删除@="%SystemRoot%\\system32\\finder.com"

HKEY_CLASSES_ROOT\winfiles\Shell\Open\Command
删除@="C:\\WINDOWS\\ExERoute.exe \"%1\" %*"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除"Torjan Program"="C:\\WINDOWS\\WINLOGON.EXE"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除"Torjan Program"="C:\\WINDOWS\\WINLOGON.EXE"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
将"Shell"="Explorer.exe 1"改为"Shell"="Explorer.exe"