绅士的品格港剧网:pagefile.pif病毒解决方案

呵呵 我也中过此奖。。。
实例证明，瑞星杀毒软件实在是太脆弱了。。。经过是这样的，同事告诉我：“电脑又崩溃了”，我答：“还原啊，笨”，帮他还原后不一会，“不行啊，硬盘还是打不开”，仔细一看瑞星监控已经被关闭了。。。这才反应到有病毒作怪，最后经过分析才发现只要双击D盘病毒就会立即控制电脑并取消瑞星监控。。。这瑞星怎么这样不抗折腾啊，双击一下就缴械了？？？
解决办法很简单，系统还原（可见平时作好备份是多么重要，一劳永逸啊）后不要双击D盘（包括E盘、F盘等），先将文件夹选项的“查看”改为“显示所有文件和文件夹”，去掉“隐藏受保护的操作系统文件”对勾，右键打开D盘，把Autorun.inf和Pagefile.pif两个隐藏文件删掉（E、F盘同理），重启电脑后，OK！
小提示：重装系统后，养成不打开网页（最好别联网）也不双击其它分区的习惯，先小心地用GHOST把系统备份好！！！免得备份的系统存在垃圾。。。

D盘右键第一项是自动播放,双击不能打开.

是Autorun.inf这个文件的问题,就像有些光盘的自启动一样,你双击不一定能进入光盘,而是弹出一个安装的画面,就是Autorun.inf这个文件里做了设置,很多病毒都会在这个文件里动手脚，先杀病毒。其他盘正常吗？
确定无毒后打开我的电脑-工具－文件夹选项－文件类型, 找到“驱动器”,
点下方的“高级”－点选“编辑文件类型”里的“新建”－操作里填写“open”（这个可随意填写）－用于执行操作的应用程序里填写explorer.exe－确定
应该能解决问题！

还有个方法：鼠标双击我的电脑－工具－文件夹选项－查看－显示所有文件和文件夹，然后进入d盘，把autorun.inf删除，重启即可。
如果找不到autorun.inf，那么
1、开始-->运行-->cmd（打开命令提示符）
2、dir autorun.inf /a （没有参数a是看不到的，a是显示所有的意思），此时你会发现一个autorun.inf文件
3、attrib autorun.inf -s -h -r 去掉autorun.inf文件的系统、只读、隐藏属性，否则无法删除。
4、del autorun.inf
重启即可。
注意：要保证无病毒了才有用，要不还会生成这个文件

还有终极杀此度法，不错的

本人以前曾中过此木马，供参考：
（转摘）关键词： WINLOGON.EXE ExERoute.exe Torjan Program 木马

一老马，应该说半新不旧，现在感染它的人没刚出来的时候那么多，但还是一直有人会遇到。

这是一个游戏盗号木马，除了创建自启动项、关联EXE文件外，它还修改了很多其它关联信息，较普通木马在处理上稍微有些麻烦。这系列马儿变种较多，刚出来的时候主程序文件的名字有csrss.exe、smss.exe和services.exe，之后又陆续出现了lsass.exe、 winlogon.exe等等，这次举例说的是个winlogon.exe的版本，图标是红底黑色龙头图案。

产生文件：
%Windows%\1.com
%Windows%\ExERoute.exe
%Windows%\explorer.com
%Windows%\finder.com
%Windows%\WINLOGON.EXE
%Windows%\Debug\DebugProgram.exe
%System%\command.pif
%System%\dxdiag.com
%System%\finder.com
%System%\MSCONFIG.COM
%System%\regedit.com
%System%\rundll32.com
%ProgramFiles%\Common Files\iexplore.pif
%ProgramFiles%\Internet Explorer\iexplore.com
D:\autorun.inf
D:\pagefile.pif

新建一个winfiles文件类型，修改.EXE关联指向它：
[HKEY_CLASSES_ROOT\winfiles]

创建的启动信息有：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Torjan Program"="%Windows%\WINLOGON.EXE"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices]
"Torjan Program"="%Windows%\WINLOGON.EXE"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="Explorer.exe 1"
原始值：
"Shell"="Explorer.exe"
除此之外，木马还修改了很多其它关联信息，使用command.pif、explorer.com、iexplore.pif、 iexplore.com、finder.com、rundll32.com木马文件进行关联，比如：快捷方式（.lnk）的关联、控制面板文件（cplfile）的关联、IE的关联、HTTP/FTP/TELNET的关联、HTML文件关联、INF和SCR文件的关联，还有驱动器（drive）和文件（file）的关联、未知文件类型的关联等。

这就是它和一般常见木马在处理上不太一样的地方，除了要删除木马文件和恢复启动信息之外，还要从注册表编辑器里恢复那些被木马修改过的关联信息。

处理时一般可以这样操作：
可以借助一下ProceXP和SREng工具，首先把它们都运行起来，然后用ProceXP结束木马进程，再用SREng恢复EXE文件关联，接下来删除和恢复木马的启动信息，删除掉那堆木马文件。

以上操作完成后再打开注册表编辑器，开始恢复被修改的关联信息：
已经知道关联信息被下面这些文件修改，那么就在注册表编辑器里分别查找它们，并把它们修改回对应的原始信息：
command.pif、explorer.com、iexplore.pif、iexplore.com、finder.com、rundll32.com

查找：command.pif，把找到的“command.pif”改为“rundll32.exe”
查找：explorer.com，把找到的“explorer.com”改为“explorer.exe”
查找：iexplore.pif，把找到的“iexplore.pif”，连同路径一起改为对应的正确路径“%ProgramFiles%\ Internet Explorer\iexplore.exe”，例如：C:\Program Files\Internet Explorer\iexplore.exe
查找：iexplore.com，把找到的“iexplore.com”改为“iexplore.exe”
查找：finder.com，把找到的“finder.com”改为“rundll32.exe”
查找：rundll32.com，把找到的“rundll32.com”改为“rundll32.exe”

这样处理后基本上就算是恢复了，不过有些地方还是要注意一下，像注册表值的“类型”，比如：
HKEY_CLASSES_ROOT\Unknown\shell\openas\command
(默认)的“类型”应该是REG_EXPAND_SZ

最后再说一点，这一系列木马的新变种还会修改一些安全软件的程序，清除木马后如果安全软件不能运行还需要修复或升级一下相关的安全软件。

附：D盘的“自动播放”
D:\autorun.inf
D:\pagefile.pif
D:\autorun.inf的作用是当你在双击D盘驱动器直接打开D盘时，autorun.inf中指向的D:\pagefile.pif木马程序会被运行起来，这是系统“自动播放”的缘故，被病毒利用了而已，如果你的系统禁止了“自动播放”，那么这种木马（病毒）也就不能成功地利用这个方法来启动木马（病毒）程序。
右键点击D盘驱动器图标，从出现的右键菜单里选择“打开”可以进入到D盘根目录，然后直接删除autorun.inf和pagefile.pif。

关于pagefile.pif文件产生D盘无法正常打开的详细解决方案

死机后重启，发现D盘无法正常访问，双击后没有反映，其他盘正常。右键--打开后，发现多出一个文件，前提：打开了显示所有文件（工具--文件夹选项--查看--显示所有文件和文件夹选中，然后确定），文件名为“pagefile.pif”，马上查毒，没有病毒..我用的是正版金山毒霸2006。正奇怪时发现金山网镳的任务栏图标小时了，但毒霸主程序没有结束掉。

马上打开任务管理器，没有发现可疑进程，删除“pagefile.pif”文件，OK一下就删除了。

再打开D盘，显示“找不到pagefile.pif，指定位置：”，马上右键打开D盘，没有找到AutoRun.inf（小常识：我们都知道平时一些游戏光盘可以自动启动，那是因为在光盘下有个"AutoRun"的文件，它是自动运行的一个基础文件。可是D盘里没有这个文件啊。马上搜索pagefile.pif，结果，搜索为系统见，才恍然大悟，马上“工具--文件夹选项--查看--去掉“隐藏受保护的操作系统文件”然后确定”，OK，多出一个Auturun文件，我们知道有系统属性的文件是无法直接删除的，我们要剔除它的系统属性，打开CMD(开始--运行--CMD.exe)，输入：attrib D:\autorun.inf -s -h -r回车，然后直接删除文件。

OK，基本工作已经完成，然后我想换个杀毒软件试试能不能扫到病毒，刚打开IE就发现D盘那两个文件又出来了！OK绑定了exe文件，恢复exe文件关联，在CMD下输入assoc.exe=exefile，回车。这时，恢复了文件关联。下载木马克星，晕！被杀，用瑞星在线杀毒（www.3721.com 不是 www.rising.com.cn)，全面扫描C,D两盘，杀掉病毒，然后删除两个D盘的文件，最后恢复下exe文件关联，在注册表里然后删除相关注册表键值：进入注册表以后，展开HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{......}\shell，删除shell下的autorun键值，刷新以后，此时就应该可以打开盘符了。可能有多个!! OK全部检查下，保证D盘里没有文件存在，exe文件关联正确，注册表里没有启动项。

重启OK！

一个病毒就这么解决了。

如果它还启动，请使用工具清除掉Trojan Program 的开机启动。就OK了!

卡巴斯基升级到最新版本，全面扫描可以彻底清除这个病毒，我的就是这样除去的。

ewido