文件夹同名病毒
Worm.Mail.Brontok.d 的蠕虫病毒.中毒的主要表现有：
1.打开运行-输入MSCONFIG-启动，会有三个启动项禁用不掉：
c:\windows\shellnew\bronstab.exe
c:\ Documents and Settings\*****(当前用户名)\ Local Settings\application data\smss.exe
C:\Documents and Settings\*****(当前用户名)\「开始」菜单\程序\启动\Empty.pif
2.打开-开始-运行-输入cmd-回车，电脑马上重起.
3.打开-开始-运行-输入regedit-回车，无法打开注册表.
4.打开我的电脑-工具，会看到文件夹选项消失了，致使你不能显示所有隐藏文件.有个办法可以让他显示出来，打开开始-运行-输入gpedit.msc-回车，依次选折用户配置-管理摸版-windows组件-windows资源管理器，右边的窗口会有个 "从“工具”菜单删除“文件夹选项”菜单"选项-双击-选折"已禁用"，确定.这样以后你就可以去显示所有隐藏文件了.只是很可惜，显示了一会儿，那些隐藏文件又被病毒给隐藏回去了，显然，这种方法这时行不通.
我们现在可以这样分析下，要手动清除该病毒，必须找到他的文件，将其删除，还有就是修改注册表.可是现在，注册表被禁用，病毒的文件被隐藏，又无法显示出来，那怎么办呢？下面我们开始解决.
第一.显示隐藏文件和打开被禁用的注册表（这里我提供两个解决方法）：
（一）电脑启动时，按F8进入安全模式.执行上面第4点的操作，可以显示工具栏里的“文件夹选项”.同样在组策略里，选折用户配置-管理摸版-系统-"阻止访问注册表编辑工具"将其改为"已禁用"，这样就可以显示注册表了.在安全模式下能否行得通我不知道，该方法我没试过，你可以尝试下.
（二）
1.将下列内容复制到记事本，另存为扩展名为vbs的文件：（安全模式下进行）
Dim WSHShell
Set WSHShell=WScript.CreateObject("WScript.Shell")
WSHShell.RegDelete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\"
2.运行该文件，就可以把注册表打开了.然后打开注册，找到current_user\software\microsoft\windows\currentversion\Explorer\Advanced 修改以下三个项
HideFileExt的数据值改为0，（可以显示文件扩展名 ）
Hidden的数据值改为1，（可以显示隐藏文件 ）
ShowSuperHidder的数据值改为1，（可以显示受保护的系统文件 ）
第二.清除病毒的相关文件（安全模式下进行）
1.打开注册表，找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run，删除"Bron-Spizaetus" = "%Windir%\ShellNew\bronstab.exe"
再找到HKEY_current_user\software\microsoft\windows\currentversion\run，下面有个启动项，具体名字我记不得了，自己应该可以看出来.
最好找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon的项"Shell"数据值改为"Explorer.exe".
2.删除病毒文件，请删除以下文件：
c:\windows\shellnew
c:\windows\eksplorasi.exe
c:\ Documents and Settings\*****(当前用户名)\ Local Settings\application data\smss.exe
c:\ Documents and Settings\*****(当前用户名)\ Local Settings\application data\ services.exe
c:\ Documents and Settings\*****(当前用户名)\ Local Settings\application data\ lsass.exe
c:\ Documents and Settings\*****(当前用户名)\ Local Settings\application data\ inetinfo.exe
c:\ Documents and Settings\*****(当前用户名)\ Local Settings\application data\ csrss.exe
C:\Documents and Settings\*****(当前用户名)\Local Settings\Application Data\smss.exe
C:\Documents and Settings\*****(当前用户名)\「开始」菜单\程序\启动\Empty.pif
在C:\Documents and Settings\*****(当前用户名)\Local Settings\Application Data\下面可能还会有多个文件，如bron.tok-10-17，全部删除.
3.最后的整理.打开我的文档，按顺序打开所有文件夹，会发现每个文件夹下都有一个与该文件夹同名的文件夹（其后缀为.exe），依次删除，千万别点开，否则一运行它又要中毒了.
第三.特别提醒
1.Administrator用户在没有登入的情况下也会中毒，因此在病毒清理完成后，用你电脑上的每个用户名登入电脑，检查是否中毒.方法与上面说的一样.
2.在电脑中毒期间，如果移动存储插过电脑，如：手机，mp3,U盘等，请检查移动存储，下面会有一个文件夹（其后缀为.exe），同样不要点开，删除，以防传染给其他计算机.
转自
http://bbs.54master.com/viewthread.php?tid=213988
