作者：乔山办公网日期：
返回目录：excel表格制作
不用重装，帮助——检测并修复就可以，记得要重起
“幽灵””（Worm.Hack.wukill.j）蠕虫病毒百， 这是一个通过邮件和本机文件夹复制传播的恶性蠕虫病毒。病毒在每月28日时会影响系统的剪贴度板工作，导致用户复制任何文字后，再问粘贴就会出现"Hello!"字符串。 你可以手工杀毒：在进程中直接中止KI.exe或Mstray.exe进程，然后搜索硬盘上所有WINFILE.EXE文件，删除答！（这样就恢复正常了）最版后在MSCONFIG中去掉KI.exe或Mstray.exe启动项！重启机器即可！（这样以后就不会再权发病了）。 但我还是推荐用杀毒工具去杀。
先用最新版本的杀毒软件查杀一下,
然后修复一下系统,估计这样不会损坏资料.
如果还不好,那就修复一下OFFIC软件
[病毒名]：I-Worm.Wukill
病毒发病特征：
1.只在每月28号发病。
2.无法进行正常的复制、剪切、粘贴等与剪贴板有关的任何操作！
3.如果是粘贴文本的话，会在粘贴处出现“hello”字样，而不是原文！
[破坏方法]：这个病毒采用文件夹图标，具有很大迷惑性。该病毒运行后，会将自己大量复制到其他目录中。
一、病毒首次运行时将显示"This File Has Been Damage!"；
二、将自己复制到windows目录下并改名为Mstray.exe；
三、修改注册表：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
以达到其自启动的目的；
四、枚举磁盘目录，在每个根目录下释放下列文件：
winfile.exe，病毒主体程序
comment.htt，利用IE漏洞调用同一个目录下的"winfile.exe"，属性为隐藏。
desktop.ini系统为隐藏。采用web方式浏览文件夹时，系统会调用该文件，该文件调用comment.htt，从而激活病毒。
五、病毒修改注册表，隐藏系统文件、隐藏受系统保护的文件、隐藏已知的扩展名称。
这样，用户看不到comment.htt和Desktop.ini，winfile.exe被隐藏后缀明，又是文件夹图标，用户极容易认为是文件夹而点击。
同时病毒在当前路径下生成的自身拷贝，名称采用上级目录，或者是当前窗口的标题,增加隐蔽性。
六、病毒调用Outlook发送携带病毒的信件。
手工清除
找到Mstray.exe（注意这个是系统和隐藏的文件,在系统文件夹下找到它）,删除掉.并修改注册表,去掉HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run 下KI.exe和Mstray.exe启动项，接着:利用的Windows的搜索功能,搜索所有的:
Winfile.exe,comment.htt,desktop.ini（;去掉文件系统保护，隐藏属性)
有些desktop.ini是windows原有的文件。
最后:查找硬盘内所以的*.exe]文件, 你会发现好多的文件夹图标形式的.exe文件,删除掉所有这些文件
worm.sober 病毒名称: Worm.Sober
中文名称: 清醒
威胁级别: 3C
病毒类型: Worm
受影响系统: Win9x/NT/2K/XP
病毒别名:
I-Worm.Sober[AVP]
W32.Sober@mm[Symantec]
该蠕虫病毒会伪装成含反病毒软件的邮件，引诱户打开其附件。病毒激活后会在宿主机器上发送大量带毒邮件，大量浪费系统资源和网络资源。Sober病毒已在欧洲，尤其是英国和德国造成了巨大的影响。
技术特征：
1、自我复到系统目录（%system%)，病毒复本的文件名为：
similare.exe
systemchk.exe
winrea.exe
2、添加注册表启动项，以随机启动
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"syspath" = "%System%\drv.exe"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"syspath" = "%System%\drv.exe"
3、通过邮件传播，邮件主题不定，正文为英文和德文文本，附件后缀可能为bat、com、exe、pif、scr。
a、通常邮件主题和内容为“该邮件的附件为"Sobig-Worm"(“巨无霸”Worm.Sobig）病毒的清除工具”，以引诱用户打开其附件；
例如：
Subject: New Sobig-Worm variation (please read)
Body text: New Sobig variation in the net.
You must change any settings before the worm control your computer!
But, read the official statement from Norton Anti Virus!
File attachment: NAV.pif
b、染毒的邮件通常带有如下签名：
Automatic Mail notification: Robot-System__#
c、病毒搜索后缀为“htt、rtf、doc、xls、ini、mdb、txt、htm、html、wab、pst、fdb、cfg、ldb、eml、abc、ldif、nab、adp、mdw、mda、mde、ade、sln、dsw、dsp、vap、php、asp、shtml、shtm”文件中的邮件地e799bee5baa6e79fa5e98193e58685e5aeb9334址，并发送带毒文件给他们。
解决方案:
如果您的系统突然速度下降，或是在打开某一程序时，弹出下图中的对话框，则您的系统有可能中了“清醒”蠕虫病毒了，请采用以下方法查杀：
1、请升级您的金山毒霸到10月30日的版本，既可完全查杀该病毒；
2、请不要相信以任何名义来发送反病毒工具的邮件，此次特别是针对“巨无霸”(Worm.Sobig）病毒的工具；
3、手工清除方法：
对于WIN9X用户可以在纯DOS模式下删除以下病毒文件：
%system%\similare.exe
%system%\systemchk.exe
%system%\winrea.exe
对于Win2000/WinXP用户，请使用进程管理器结束名为：“similare.exe、systemchk.exe、winrea.exe”的进程，然后删除以下文件：
%system%\similare.exe
%system%\systemchk.exe
%system%\winrea.exe
删除病毒在注册表中添加的启动项目：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"syspath" = "%System%\drv.exe"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"syspath" = "%System%\drv.exe"