新近碰到的病毒（TR.Spy.Babonock.A）

先来段Microsoft的说明：

Worm:Win32/Babonock.A

Alert level: Severe Detected with Windows Defender Antivirus

Also detected as:Worm/Win32.AutoIt (AhnLab)Trojan-Spy.Win32.AutoIt.p (Kaspersky)Worm/Autoit.ANVE (AVG)TR/Spy.Babonock.A (Avira)Win32/Autoit.HG worm (ESET)Trojan-Spy.Win32.Babonock (Ikarus)Mal/Babonock-A (Sophos)W32.Harakit (Symantec)TROJ_SPNR.07JT11 (Trend Micro)

Summary

---

Summary

TrojanSpy:Win32/Babonock.A is a trojan that collects information about your computer, which it then sends to a remote server.

翻译一下：

蠕虫病毒，危险，Windows Defender检测到的，其他能够检测的防病毒软件还有很多（不过它们给病毒起的名字不一样）

这是个木马程序，收集你电脑的信息，发给远程服务器。

当我的U盘插上公共电脑就导致中毒了，中毒后我的U盘中的目录就被隐藏了，病毒伪装复制了几个EXE文件，并把他伪装成目录，360报毒，但是我开始没反应过来，后来系统反复报错我才明白U盘是真的中病毒了。然后，用电脑上的杀毒软件杀毒后问题并没有结束。

1. 病毒是Office目录下的rundll32.exe文件，伪装了一个Windows的系统文件，并且伪装了图标成文件夹的样子，当然被杀毒软件找出并消灭。

2. U盘中复制的病毒文件也被一并消灭，但是U盘被隐藏的目录仍然不可见，在Windows的资源管理器中也无法修改其隐藏属性。

3. 那里因为病毒把目录的属性改成系统和隐藏，解决办法：进入命令行模式（cmd）→进入到U盘的目录下→使用dos命令修改目录属性（attrib –s –h /s /d)→现在有问题的目录就恢复正常了

4. 如果没有杀毒软件也可以自己去windows的注册表中，修改“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\”下的rundll32.exe自启动运行，也可以使病毒下次无法正常启动。当然这个方法也是手工检查机器是否中毒的方法。