今天，一同学求助。U盘中毒感染机器，导致打开“我的电脑”看不到任何磁盘分区，且系统卡到假死态。

　　样本发到：http://bbs.janmeng.com/thread-697642-1-1.html

　　在线扫描结果：

　　http://www.virustotal.com/zh-cn/analisis/3ee8f976d89a1cba13f08a9a8e71d735

　　首先，通过组策略关闭“自动播放”功能。插入U盘。

　　执行：开始——运行——浏览，找到对应的U盘分区，复制Icesword和sreng.

　　更改Icesword,更改名称为任意名称，双击，系统蓝屏自动重启。在BIOS画面卡住。按重启键依旧，则断开主机电源片刻，再开机能正常进入。

　　sreng扫描日志，发现如下可疑内容：

　　==================================

　　服务

　　[Rising Protected Storage / Risieg][Running/Auto Start]

　　<C:WINDOWSsystem1sass.exe><N/A>

　　==================================

　　驱动程序

　　[2pwsdo / 2pwsdor][Stopped/Boot Start]

　　<SystemRootSystem32DRIVERS2pwsdor.sys><N/A>

　　[k87wovjoq / k87wovjoq][Running/Auto Start]

　　<??C:WINDOWSsystem32driversk87wovjoq.sys><N/A>

　　[winnet / winnet][Running/Manual Start]

　　<??C:WINDOWSsystem32winnet.sys><N/A>

　　==================================

　　浏览器加载项

　　[] {66AE1FC9-7FEB-499F-99C3-147E62121115} <C:WINDOWSsystem32xswfgklsjnspp.dll, >

　　解决过程：

　　使用[url=http://dl.filseclab.com/down/powerrmv.zip]费尔木马强力清除助手[/url]删除以下文件：

　　C:WINDOWSsystem1sass.exe

　　C:WINDOWSSystem32DRIVERS2pwsdor.sys

　　C:WINDOWSsystem32driversk87wovjoq.sys

　　C:WINDOWSsystem32xswfgklsjnspp.dll

　　并使用sreng删除对应的服务项和驱动项，如下：

　　－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

　　"启动项目－>服务－>"Win32服务应用程序－>"选中"隐藏微软服务" 然后将下面名称的服务删除：

　　[Rising Protected Storage / Risieg][Running/Auto Start]

　　<C:WINDOWSsystem1sass.exe><N/A>

　　－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

　　"启动项目－>服务－>驱动程序－>删除以下驱动程序：

　　[2pwsdo / 2pwsdor][Stopped/Boot Start]

　　<SystemRootSystem32DRIVERS2pwsdor.sys><N/A>

　　[k87wovjoq / k87wovjoq][Running/Auto Start]

　　<??C:WINDOWSsystem32driversk87wovjoq.sys><N/A>

　　[winnet / winnet][Running/Manual Start]

　　<??C:WINDOWSsystem32winnet.sys><N/A>

　　再次运行icesword，一切正常，删除各个分区的auto类的病毒文件(名称忘记了)

　　清理IE缓存，剩下的就交给杀软扫描下吧。