Yuyun是vbs脚本病毒,经过加密,运行后会在桌面上创建一个无法直接删除的文件Yuyun_Cantix,双击这个文件会在桌面上建快捷方式。病毒还会修改注册表,禁用注册表编辑器并使每次explorer.exe启动时都运行病毒。C盘的各个文件夹中都会出现大小为1kb的快捷方式和Thumb.db等病毒的副本。
雨云蠕虫病毒一旦感染,会在“我的文档”中生成隐藏属性的病毒体(database.mdb)并由系统自动加载,然后在每个文件夹中生成隐藏属性的病毒体(thumb.db),隐藏属性的autorun.inf文件以及若干仿文件夹的快捷方式。而其快捷方式内均调用wscript.exe加载病毒体,有时还会在每个文件夹中生成2个自我介绍的RTF文件。该蠕虫病毒可以通过共享文件夹和U盘传播。而且暂时没发现有杀毒软件可将其清除干净。
一、删除电脑桌面出现的Yuyun_Cantix的方法如下:
1、首先打开计算机,然后在左下角的开始菜单栏中,单击“运行”,如下图所示。
2、其次,在弹出的运行窗口中输入“regedit”,然后按Enter键进行确认,如下图所示。
3、接着,在弹出的注册表窗口中点击打开HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Desktop中的NameSpace项,如下图所示。
4、然后,右键单击删除在弹出的窗口中的“{1111111-2222-3333-4444-555555555555}”,如下图所示。
5、最后,返回桌面,可以看到Yuyun_Cantix已被删除。
二、可利用BAT批处理文件将其基本清除。批文件内容如下:
----------------------------------------------------------------------------------------
@echooff
Echo程序先中止wscript.exe
tskillwscript
ECHO程序正在搜索和删除Yuyun蠕虫藏身的thumb.db和database.mdb文件
delthumb.db/f/q/s/ah
deldatabase.mdb/f/q/s/ah
echo程序正在寻找和删除Yuyun蠕虫生成的的快捷方式
for/r%%ain(*.lnk)do(findstr/m/ilc:"wscript""%%a")&&del/q/f"%%a"
echo程序正在寻找和删除Yuyun蠕虫留下的隐藏autorun.inf文件
for/r%%ain(autorun.inf)do(findstr/m/ilc:"wscript""%%a")&&del/q/f/ah"%%a"
echo程序正在寻找和删除Yuyun蠕虫留下的RTF说明文件
for/r%%ain(*.rtf)do(findstr/m/ilc:"yuyun""%%a")&&del/q/f"%%a"
----------------------------------------------------------------------------------------------
将上述几行粘贴到记事本,另存为BAT文件,该批文件只会杀当前文件夹下的蠕虫,所以要在本机的所有磁盘根目录各粘贴一份并分别运行一次,即可基本清除雨云蠕虫,即使有部分文件无法清除,由于病毒体thumb.db和database.mdb已经被全杀,所以也不会留下隐患。把批文件复制到U盘和共享文件夹,便可快速地局部清除雨云蠕虫病毒。
然后,可以安装火绒杀毒进行全盘查杀,在重启电脑时如果出现“找不到xxxx.mdb文件”的错误,这是因为病毒体给杀掉了,点开始-运行-输入"msconfig"后回车,选启动项,将"xxxxx"前的小钩去除,避免开机启动即可。