肢解“文件夹图标”病毒，制作专杀工具——“郑大扫帚”
肢解“文件夹图标”病毒，制作专杀工具——“郑大扫帚”
回想2009年7-8月份，学校机房被“文件夹图标病毒”变成了病毒“集散地”，由于大量的优盘在机房中使用，很快该病毒传遍了校园，打印店等地方也被感染，我对此病毒采用手杀方式清除，那时候还没有任何一个杀毒软件能够查杀此病毒。然而，没想到的是这个病毒使作为校计算机协会主席兼技术部部长的我，分身乏术，每天都在为好朋友、同学的“紧急呼救”而困扰，所以我产生了写一个专杀工具来清除该病毒的想法。并命名该专杀工具为——“郑大扫帚”，将这些污秽的垃圾，清扫出郑大校园，该软件及其名称受到了大家的广泛好评，甚至一度被同学挂到了FTP、网站、论坛和软件下载站点上。
制作成后查杀图片：
言归正传。
先介绍一下该病毒，文件夹图标病毒的手法：将各个盘符的文件隐藏（使用“显示隐藏文件”仍然无法显示隐藏，很多同学认为文件丢失，造成恐慌，产生老师上课一时找不到课件所在位置等问题），同时，该病毒将原有的文件夹隐藏后自己创建原文件的快捷方式，模仿原先文件夹，使用户点击这些伪装的快捷方式文件夹，这些快捷方式文件与病毒程序绑定起来，每次点击都相当于再次激活病毒。另外，该病毒传染性极强，机器或者介质（u盘、光盘等）上存在该病毒，都可以互相传染，因为其为脚本传播方式，传染速度极快。
一、收集样本病毒，我发现学校感染的病毒具有统一的特点，并无变种，虽然打开.vbs文件后，看到的显示代码不同（因为其加密了），其“传染特征”都是相同的。
病毒脚本截图：
以下是该病毒的一些脚本（第一行为病毒作者故意耍酷的，很无聊唉，可以确定为我同胞，也可能是嫁祸给我同胞吧——总之是一位叫“风”的自恋的耍酷的家伙）：
脚本为（从头截取很小一部分）：
'号外起乱偶给要不'暴叫字名文中的我，叫字名文英的我，风 .eniFyoB-_-9
'rorrE nO emuseR txeN8
'sF miDShsW,oS:llehosF tetaerC=cejbOeRcs"(tGniTPisELif.oMeTsy"TcEjB teS:)ehShsWerC=lljbOetaw"(tceTpiRcSLleHS.laC:)"niaM l)(6
'uS baMni)(2
'rorrE nO emuseR miD:txeNV ,sgrA daoLsuriAsuriV ,A teS:ssrcSW=sgrugrA.tpiiV:stnem=daoLsurVniaMteG:)1(surissAsuriVniaMteG=)0(suriV=muNgrA:ihW oD:0uNgrA elsgrA < mP:tnuoC.raP=maraA&" "&maNgrA(sgrNgrA:)muuNgrA=muoL:1 + mpo8
'araPbuSesaCL=m(thgiR( ,maraP))37
'aC tceleSraPbuS esma9
'aCes" ur"n2
'=htaPnuRcSW(tfeLrcS.tpirNlluFtpi:)2 ,emanuR llaChtaPnuR(I llaC:)sySedavnuriV(metiV,daoLs:)ssAsurnuR llaCetsyS%"(s\%tooRmvs\metsyxe.tsohcuriV&" e)daoLs8
'xt" esaCgol" ,"t "ini",""fni",8
'taPnuRyS%"=hoRmetsys\%to23metsPETON\EXE.DAraP&" laC:ma(nuR ltaPnuRlaC:)havnI ltsySedriV(medaoLsusuriV,C:)ssAuR llayS%"(noRmetsys\%tos\metstsohcv" exe.suriV&)daoL6
'esaCab" ,"tdmc""4
'=htaPnuR c/ DMC"!iH ohceereh m'I"esuap&!uR llaC:taPnuR(n llaC:)hySedavnIriV(metsV,daoLsu)ssAsuriuR llaC:tsyS%"(n\%tooRmes\metsyse.tsohcvriV&" ex)daoLsu8
<以下代码省略，脚本很长——很明显加密了>
二、收集其病毒感染后的特征
我身边的机器都感染了，所以这个好收集，现在我都记得清楚的很：1、文件夹都被替换成了快捷方式，另外通过“显示隐藏文件”并不能使文件显示。进程通过“任务管理器”看到一切正常（但实际上只是表象）。2、另外，只要插上优盘，一般优盘都是在读状态，无法正常卸载优盘。3、使用"regedit"，无法打开注册表，显示“已被锁定”。
文件夹图标病毒产生的快捷方式（那些未隐藏的文件是用自己编写软件强制显示的）：
三、深度观察病毒，监视病毒动作。
在这一步，我们需要借助系统命令或工具，来使被病毒强制隐藏的文件显示，这里我使用的命令是attrib命令，显示后，我发现了病毒程序:67487957234543.vbs 是一串数字命名的（后来发现，每一个盘符下都不一样）。除了之前的那一堆快捷方式外，没有发现其他异常文件。然后尝试单击任何一个快捷方式，立刻又显现出了原来病毒的特征，所有文件又再次被隐藏，这样我们可以知道，快捷方式文件夹是一个“触发器”，是一个陷阱。
再次使用attrib命令，删除掉本盘符下的病毒文件，然后再另外的盘符中单击快捷方式文件夹，病毒特性再次呈现，再次使用attrib命令，我们这次发现，新生成的文件名为8921998134.vbs可以确定文件名称是“很灵活的”变量，这给杀掉该病毒增添了一定的随机数。
收集了不同盘符的.vbs病毒文件，看名称没有啥特征，收集另一台机器，同样使用该脚本感染的病毒文件，更加确认了此情况。病毒名称似乎无特征，那杀它就要想其它办法了。
这是初步获得这些信息。
再深入一步，手动删除所有盘符下的.vbs文件，同时小心翼翼的将所有盘下的快捷方式清楚（编写脚本），执行脚本，一会功夫，病毒全部扫除，使用系统一点问题也没有，病毒没有重来的迹象，查看启动项，没有发现异常，病毒似乎搞定了。是真的吗？
为了了解病毒的潜伏深度，只有重启后才能知晓，不触动任何文件夹，重启机器。
重启机器后，沮丧啊，还真是难缠的家伙，打开一看，全部是又恢复了病毒特征，这说明还有残余啊。
四、深入揪出“幕后支持者”
启动工具软件，仔细查看各类信息，反复查看启动项，没看出问题，推测是更深入的“内核”或“驱动级别”的启动“挂载上”（有某种联系）了，那么不看那里，病毒不是从石头中蹦出来的，一定有某个进程执行了并创建了它，于是，对次一级别的进程级别详细查看，一会果然发现猫腻，一个名为svchost.exe的出处竟然是c:\windows\system\，而一般该程序都在c:\windows\system32\下，所以该进程是有问题的，还发现相关进程dllhost.exe，那就继续按照该线索继续纠缠幕后黑手好了，启动“进程模块分析”，找出了大量与其有关的模块信息，在模块信息中，有一个引起了我的注意，因为文件的目录非常“长”，并且文件名称非常长，按照其路径，找到了该地址，进入该地址（地址太长，我就不列举了，是一个临时文件地址），进行删除，发现不让删除，使用较简单的手法，都无法删掉（XP系统有这样的死角，无需较劲，其实还是有办法删掉的）。
进行“进程模块分析”：
无法删除幕后的黑手，那么只好干掉“前面的小弟”，“敲山震虎”，kill掉该进程，然后删除该进程，发现删不掉，原来立刻又启动了，于是使用工具强制删除，这回是直接删除掉该进程（出处是c:\windows\system\的svchost.exe进程）。随后删除所有盘符下的.vbs,执行删除脚本，删除所有盘符下的快捷方式。
重启机器，再次打开，发现一切正常，病毒并没有复发。
但是又遇到了新的问题，所有新创建的正常的快捷方式都无法打开，“我的电脑”打不开，IE异常，一些文件的关联都失效了，这是病毒修改注册表所导致的，因此借助工具恢复后，一切恢复正常。
至此，该病毒所造成的影响在手动情况下，已经消除。
五、由手动过程制作病毒专杀工具
由于我初中学的是VB，而高中搞奥林匹克竞赛学的是PASCAL，此时只能用VB来做
该程序，以下简单的将软件的核心代码贴上（因为当时比较紧急，一个下午写成，所以代码么有讲求严格规范）：
恢复注册表代码——用于修复注册表修改：
Sub reg()
Call SaveString(HKEY_CURRENT_USER, "Software\Microsoft\Windows NT\CurrentVersion\Windows", "load", "") '启动项
Call SaveStringg(HKEY_LOCAL_MACHINE, "SOFTWARE\Classes\cmdfile\shell\open\command", "", Chr(34) & "%1" & Chr(34) & Space(1) & "%*")
Call SaveStringg(HKEY_LOCAL_MACHINE, "software\classes\batfile\shell\open\command", "", Chr(34) & "%1" & Chr(34) & Space(1) & "%*")
Call SaveStringg(HKEY_LOCAL_MACHINE, "software\classes\chm.file\shell\open\command", "", "C:\WINDOWS\hh.exe" & Space(1) & "%1")
Call SaveStringg(HKEY_CLASSES_ROOT, "CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\openhomepage\command", "", "C:\Program Files\Internet Explorer\iexplore.exe")
Call SaveStringg(HKEY_LOCAL_MACHINE, "software\classes\clsid\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\openhomepage\command", "", "C:\Program Files\Internet Explorer\iexplore.exe")
Call SaveStringg(HKEY_LOCAL_MACHINE, "SOFTWARE\CLASSES\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\explore\command", "", "")
Call SaveStringg(HKEY_LOCAL_MACHINE, "SOFTWARE\CLASSES\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\open\command", "", "")
DeleteKey HKEY_LOCAL_MACHINE, "SOFTWARE\CLASSES\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\explore\command"
DeleteKey HKEY_LOCAL_MACHINE, "SOFTWARE\CLASSES\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\explore"
DeleteKey HKEY_LOCAL_MACHINE, "SOFTWARE\CLASSES\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\open\command"
DeleteKey HKEY_LOCAL_MACHINE, "SOFTWARE\CLASSES\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\open"
Call SaveStringg(HKEY_CLASSES_ROOT, "inffile\shell\open\command", "", "C:\WINDOWS\system32\notepad.exe" & Space(1) & "%1")
Call SaveStringg(HKEY_CLASSES_ROOT, "inifile\shell\open\command", "", "C:\WINDOWS\system32\notepad.exe" & Space(1) & "%1")
Call SaveStringg(HKEY_CLASSES_ROOT, "regfile\shell\open\command", "", "regedit.exe" & Space(1) & "%1")
Call SaveStringg(HKEY_CLASSES_ROOT, "helpfile\shell\open\command", "", "winhlp32.exe" & Space(1) & "%1")
Call SaveStringg(HKEY_LOCAL_MACHINE, "software\classes\crmlog_auto_file\shell\open\command", "", "")
Call SaveStringg(HKEY_LOCAL_MACHINE, "software\classes\application\iexplore.exe\shell\open\command", "", "%SystemRoot%\System32\WScript.exe" & Space(1) & Chr(34) & "C:\WINDOWS\explorer.exe" & Chr(34) & "OIE")
End Sub
扫描部分：
Private Sub SearchDirsalls(curpath$)
Dim dirs%, dirbuf$(), i%
Picture1.Cls
Picture1.Print "检索>> " & curpath$
Form1.Caption = "郑大扫帚(1KB文件夹图标病毒专杀）-郑州大学计算机俱乐部-信工四班-@@可按需要终止扫描@@"
DoEvents
If Not Running% Then Exit Sub
hItem& = FindFirstFile(curpath$ & vbAllFiles, WFD)
If hItem& <> INVALID_HANDLE_VALUE Then
Do
If (WFD.dwFileAttributes And vbDirectory) Then
If Asc(WFD.cFileName) <> vbKeyDot Then
TotalDirs% = TotalDirs% + 1
If (dirs% Mod 10) = 0 Then ReDim Preserve dirbuf$(dirs% + 10)
dirs% = dirs% + 1
dirbuf$(dirs%) = Left$(WFD.cFileName, InStr(WFD.cFileName, vbNullChar) - 1)
End If
ElseIf Not UseFileSpec% Then
TotalFiles% = TotalFiles% + 1
End If
Loop While FindNextFile(hItem&, WFD)
Call FindClose(hItem&)
End If
If UseFileSpec% Then
SendMessage hLB&, WM_SETREDRAW, 0, 0
Call SearchFileSpecall(curpath$)
SendMessage hLB&, WM_VSCROLL, SB_BOTTOM, 0
SendMessage hLB&, WM_SETREDRAW, 1, 0
End If
For i% = 1 To dirs%: SearchDirssyin curpath$ & dirbuf$(i%) & vbBackslash: Next i%
End Sub
强制杀出守护进程svchost.exe和dllhost.exe：
Function killsvo()
Dim my As PROCESSENTRY32
Dim l As Long
Dim l1 As Long
Dim flag As Boolean
Dim mName As String
Dim i As Integer
l = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0)
If l Then
my.dwSize = 1060
If (Process32First(l, my)) Then '遍历第一个进程
Do
Dim mProcID As Long
i = InStr(1, my.szExeFile, Chr(0))
mName = LCase(Left(my.szExeFile, i - 1))
If mName = "dllhost.exe" Then
PID = my.th32ProcessID
pname = mName
mProcID = OpenProcess(1&, -1&, PID)
TerminateProcess mProcID, 0&
Else
If mName = "wscript.exe" Then
PID = my.th32ProcessID
pname = mName
mProcID = OpenProcess(1&, -1&, PID)
TerminateProcess mProcID, 0&
Else
If mName = "svchost.exe" Then
PID = my.th32ProcessID
If GetProcessPathByProcessID(PID) = "C:\WINDOWS\system\svchost.exe" Then
pname = mName
mProcID = OpenProcess(1&, -1&, PID)
TerminateProcess mProcID, 0&
flag = True
Else
End If
Else
flag = False
End If
End If
End If
Loop Until (Process32Next(l, my) < 1) '遍历所有进程知道返回值为False
End If
l1 = CloseHandle(l)
End If
End Function
清楚相关的病毒自启动inf文件：（防止优盘内的病毒传染）
Private Sub inf_Click()
Call killsvo
Call reg
If Running% Then: Running% = False: Exit Sub
Dim drvbitmask&, maxpwr%, pwr%
On Error Resume Next
FileSpec$ = "AutoRun.inf"
'InputBox("扫描文件类型或精确文件名:" & vbCrLf & vbCrLf & _
"" & _
" " & _
"" & vbCrLf & _
"", _
"Find File(s)", "*.exe")
If Len(FileSpec$) = 0 Then Exit Sub
MousePointer = 11
Running% = True
UseFileSpec% = True
If killgame = True Then
Else
inf.Caption = "停止"
lnk.Enabled = False
yincang.Enabled = False
mnuFolderInfo.Enabled = False
mnuFindFiles.Enabled = False
End If
drvbitmask& = GetLogicalDrives()
If drvbitmask& Then
maxpwr% = Int(Log(drvbitmask&) / Log(2)) '获得最大盘符处
For pwr% = 1 To maxpwr%
If Running% And (2 ^ pwr% And drvbitmask&) Then _
Call SearchDirsinf(Chr$(vbKeyA + pwr%) & ":\")
Next
End If
Running% = False
UseFileSpec% = False
If killgame = True Then
Else
inf.Caption = "清理自动运行INF"
mnuFolderInfo.Enabled = True
yincang.Enabled = True
mnuFindFiles.Enabled = True
lnk.Enabled = True
End If
MousePointer = 0
Picture1.Cls
Picture1.Print "扫描病毒数: " & List1.ListCount - number & " " & ""
Beep
If killgame = True Then
Else
SendMessage hLB&, LB_ADDSTRING, 0, _
ByVal "——————已完成清理自动运行INF——————郑州大学计算机俱乐部"
number = number + 1
End If
End Sub
修复文件隐藏属性及恢复隐藏文件为显示：
Private Sub SearchFileSpecall(curpath$)
hFile& = FindFirstFile(curpath$ & FileSpec$, WFD)
If hFile& <> INVALID_HANDLE_VALUE Then
Do
DoEvents
If Not Running% Then Exit Sub
SendMessage hLB&, LB_ADDSTRING, 0, _
ByVal "修复>>" & curpath$ & Left$(WFD.cFileName, InStr(WFD.cFileName, vbNullChar) - 1)
rval = SetFileAttributes(curpath$ & Left$(WFD.cFileName, InStr(WFD.cFileName, vbNullChar) - 1), attr)
Loop While FindNextFile(hFile&, WFD)
Call FindClose(hFile&)
End If
End Sub
将所有非法的快捷方式清除：
Private Sub lnk_Click()
Call killsvo
Call reg
If Running% Then: Running% = False: Exit Sub
Dim drvbitmask&, maxpwr%, pwr%
On Error Resume Next
FileSpec$ = "*.lnk"
'InputBox("扫描文件类型或精确文件名:" & vbCrLf & vbCrLf & _
"" & _
" " & _
"" & vbCrLf & _
"", _
"Find File(s)", "*.exe")
If Len(FileSpec$) = 0 Then Exit Sub
MousePointer = 11
Running% = True
UseFileSpec% = True
If killgame = True Then
Else
lnk.Caption = "停止"
mnuFolderInfo.Enabled = False
mnuFindFiles.Enabled = False
yincang.Enabled = False
inf.Enabled = False
End If
drvbitmask& = GetLogicalDrives()
If drvbitmask& Then
maxpwr% = Int(Log(drvbitmask&) / Log(2)) '获得最大盘符处
For pwr% = 1 To maxpwr%
If Running% And (2 ^ pwr% And drvbitmask&) Then _
Call SearchDirslnk(Chr$(vbKeyA + pwr%) & ":\")
Next
End If
Running% = False
UseFileSpec% = False
If killgame = True Then
Else
lnk.Caption = "清理全盘被感染快捷方式"
mnuFolderInfo.Enabled = True
yincang.Enabled = True
mnuFindFiles.Enabled = True
inf.Enabled = True
End If
MousePointer = 0
Picture1.Cls
Picture1.Print "扫描病毒数: " & List1.ListCount - number & " " & ""
Beep
If killgame = True Then
Else
SendMessage hLB&, LB_ADDSTRING, 0, _
ByVal "——————已完成清理全盘被感染快捷方式——————郑州大学计算机俱乐部"
number = number + 1
End If
End Sub
制作完成的郑大扫帚——1kb文件夹图标病毒专杀：
