求教高手。中了OSO病毒该怎么办？

我有金山毒霸最新版，每次都查出来，老也杀不完，好像是蠕虫类型的！求教It快活林的IT快活林的计算机高手；如何把他彻底清除！
20III.18VII.18VII.*
在网上下个AUTO专杀工具，下来杀完以后从起下机器就OK了.

保证好用.----
楼上不错----
一,下载USBCleaner,procexp和Autoruns软件(soft)(不知位置BaiDu一下就可以找到),下载到的是压缩文件,先不要解压,以防解压后被病毒感染
II.重新启动操作系统,进入安全模式,启动操作系统开始菜单的运行:WinRAR(整个过程最好不要打开我的电脑,更不的双双各本地磁盘.因但一双击运行oso.exe),解压并运行procexp
和Autoruns,在procexp中彻底删除conime,severe的进程(一次彻底删除不了可多次彻底删除),在Autoruns找到并彻底删除severe和conime
III.使用WinRAR彻底删除c:\Microsoft Windows\system\conime.exe和severe,再彻底删除c:\Microsoft Windows\system\drive\conime.exe和severe.
IV.解压并运行USBCleaner,全面清除各磁盘中的U盘病毒
V.进入正常 模式,下载并安装新的反病毒软件(soft)(建议360安全卫士,其自带免费的卡巴斯基VI.0)(原有的病毒软件(soft)已经被oso.exe破坏),进行全面的病毒清查.在此之前请不要运行磁盘中备份的*.exe,因其很易被病毒破坏
通过以上5步,电脑中的U盘病毒可基本而不能是全面的清除.在此建议对于c:盘中无中要资料的用户在完成的四步后增加重新安装操作操作系统一步,因为原操作操作系统中注册表(Regedit)被修改
祝您早日杀灭顽固的oso.exe
OSO专杀原始的下载地址(由于来源于网上,本站不确保能否下下来)：（使用迅雷点右键下载）http://www.usbcleaner.cn/download/usbcleaner/usbcleaner20070429.rar

网上资料引用：
【病毒分析】行为恶劣的U盘病毒OSO.exe分析与查杀.

病毒名是瑞星杀毒软件(soft)所报.

病毒名：Worm.Pabug.ck

大小：38,132 字节
MD5：2391109c40ccb0f982b86af86cfbc900
加壳方式：FSGII.0
编写语言(Language)：Delphi
传播方式：通过移动介质或网页恶意脚本传播

经虚拟机中运行，与脱壳后OD分析结合，其行为如下：

文件创建：
%systemroot%\system32\gfosdg.exe
%systemroot%\system32\gfosdg.dll
%systemroot%\system32\severe.exe
%systemroot%\system32\drivers\mpnxyl.exe
%systemroot%\system32\drivers\conime.exe
%systemroot%\system32\hxI.bat
%systemroot%\system32\noruns.reg
X:\OSO.exe
X:\autorun.inf
X指非操作操作系统盘符
%systemroot%是环境变量，对于装在C盘的Windows XP操作操作系统，默认路径为C:\WINDOWS文件夹，以下以此假设进行分析.

创建进程：
%systemroot%\system32\gfosdg.exe
%systemroot%\system32\severe.exe
%systemroot%\system32\drivers\conime.exe

使用net stop系统命令，结束可能存在的杀毒软件(soft)服务

调用sc.exe，
config [对应服务] start=disabled
禁用这些服务

被结束和禁用的服务包括：
srservice
sharedaccess（此即操作操作系统自带防火墙(本站在极力推荐使用瑞星防火墙,如何使用在本站的反毒杀毒里有详细的介绍)——笔者注）
KVWSC
KVSrvXP
kavsvc
RsRavMon
RsCCenter

当中，在结束瑞星杀毒软件(soft)服务的过程当中，由于瑞星杀毒软件(soft)会弹出提示，病毒作了相应处理：
用FindWindowA函数，捕捉标题为"瑞星杀毒软件(soft)提示"的窗口
用FindWindowExA函数，找到当中“是(&Y)”的按钮
用SendMessageA函数向操作操作系统发送信息，相当于按下此按钮


禁止或结束以下进程运行，包括但不限于：
PFW.exe
Kav.exe
KVOL.exe
KVFW.exe
adam.exe
qqav.exe
qqkav.exe
TBMon.exe
kav3II.exe
kvwsc.exe
CCAPP.exe
EGHOST.exe
KRegEx.exe
kavsvc.exe
VPTray.exe
RAVMON.exe
KavPFW.exe
SHSTAT.exe
RavTask.exe
TrojDie.kxp
Iparmor.exe
MAILMON.exe
MCAGENT.exe
KAVPLUS.exe
RavMonD.exe
Rtvscan.exe
Nvsvc3II.exe
KVMonXP.exe
Kvsrvxp.exe
CCenter.exe
KpopMon.exe
RfwMain.exe
KWATCHUI.exe
MCVSESCN.exe
MSKAGENT.exe
kvolself.exe
KVCenter.kxp
kavstart.exe
RAVTIMER.exe
RRfwMain.exe
FireTray.exe
UpdaterUI.exe
KVSrvXp_I.exe
RavService.exe

创建noruns.reg，并导入注册表(Regedit)，之后彻底删除此文件.导入内容：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveTypeAutoRun"=dword:b5
改变驱动器的autorun方式（在我的虚拟机里没有实现）

修改注册表(Regedit)，创建启动操作系统项（后来在SREng日志中可见的项目）：
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<mpnxyl><C:\WINDOWS\system32\gfosdg.exe> [N/A]
<gfosdg><C:\WINDOWS\system32\severe.exe> [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<shell><Explorer.exe C:\WINDOWS\system32\drivers\conime.exe> [N/A]

为预防和防止瑞星杀毒软件(soft)注册表(Regedit)监控提示，故伎重施：
用FindWindowA函数捕捉标题为“瑞星杀毒软件(soft)注册表(Regedit)监控提示”的窗口
用mouse_event控制鼠标自动选择(Choose)允许修改.

访问注册表(Regedit)
[HKEY_LOCAL_MACHINE\software\microsoft\Microsoft Windows\currentversion\explorer\advanced\folder\hidden\showall]
CheckedValue键
破坏显示隐藏(Hide)文件的功能（这一点在我的虚拟机中没有实现，可能是被TINY或SSM默认阻止了）


然而不能是，做了这么多工作(Work)除去杀毒软件(soft)之后，作者似乎觉得还不保险，他终于使出了“杀手锏”：
在注册表(Regedit)
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]
创建以安全软件(soft)程序(Procedures)名为名的子项

子项中创建子键
"Debugger"="C:\\WINDOWS\\system32\\drivers\\mpnxyl.exe"
使得这些程序(Procedures)在被双击运行时，均会转为运行病毒文件mpnxyl.exe
形如：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\mpnxyl.exe"

autoruns的日志中可以清楚地看到这些项目，以及遭到这种手法“蹂躏”的程序(Procedures)：
+ 360Safe.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ adam.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ avp.com c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ avp.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ IceSword.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ iparmo.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ kabaload.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ KRegEx.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ KvDetect.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ KVMonXP.kxp c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ KvXP.kxp c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ MagicSet.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ mmsk.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ msconfig.com c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ msconfig.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ PFW.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ PFWLiveUpdate.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ QQDoctor.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ Ras.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ Rav.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ RavMon.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ regedit.com c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ regedit.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ runiep.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ SREng.EXE c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ TrojDie.kxp c:\Microsoft Windows\system32\drivers\mpnxyl.exe
+ WoptiClean.exe c:\Microsoft Windows\system32\drivers\mpnxyl.exe

彻底删除卡卡助手的dll文件kakatool.dll（的确这么做了，虚拟机运行的结果和程序(Procedures)代码里面的内容相映证）

为了堵死中毒者的“后路”，又采取了另一种卑劣的手法
修改hosts文件，屏蔽杀毒软件(soft)厂商的网站，卡卡社区“有幸”成为被屏蔽的当中一员：
这是后来用SREng看到的结果，在程序(Procedures)代码里也有相应内容：

12VII.0.0.1 mmsk.cn
12VII.0.0.1 ikaka.com
12VII.0.0.1 safe.qq.com
12VII.0.0.1 360safe.com
12VII.0.0.1 www.mmsk.cn
12VII.0.0.1 www.ikaka.com
12VII.0.0.1 tool.ikaka.com
12VII.0.0.1 www.360safe.com
12VII.0.0.1 zs.kingsoft.com
12VII.0.0.1 forum.ikaka.com
12VII.0.0.1 up.rising.com.cn
12VII.0.0.1 scan.kingsoft.com
12VII.0.0.1 kvup.jiangmin.com
12VII.0.0.1 reg.rising.com.cn
12VII.0.0.1 update.rising.com.cn
12VII.0.0.1 updateVII.jiangmin.com
12VII.0.0.1 download.rising.com.cn
12VII.0.0.1 dnl-usI.kaspersky-labs.com
12VII.0.0.1 dnl-usII.kaspersky-labs.com
12VII.0.0.1 dnl-usIII.kaspersky-labs.com
12VII.0.0.1 dnl-usIV.kaspersky-labs.com
12VII.0.0.1 dnl-usV.kaspersky-labs.com
12VII.0.0.1 dnl-usVI.kaspersky-labs.com
12VII.0.0.1 dnl-usVII.kaspersky-labs.com
12VII.0.0.1 dnl-us8.kaspersky-labs.com
12VII.0.0.1 dnl-us9.kaspersky-labs.com
12VII.0.0.1 dnl-us10.kaspersky-labs.com
12VII.0.0.1 dnl-euI.kaspersky-labs.com
12VII.0.0.1 dnl-euII.kaspersky-labs.com
12VII.0.0.1 dnl-euIII.kaspersky-labs.com
12VII.0.0.1 dnl-euIV.kaspersky-labs.com
12VII.0.0.1 dnl-euV.kaspersky-labs.com
12VII.0.0.1 dnl-euVI.kaspersky-labs.com
12VII.0.0.1 dnl-euVII.kaspersky-labs.com
12VII.0.0.1 dnl-eu8.kaspersky-labs.com
12VII.0.0.1 dnl-eu9.kaspersky-labs.com
12VII.0.0.1 dnl-eu10.kaspersky-labs.com

另外：

hxI.bat内容：
@echo off
set date=2004-1-22
ping ** localhost > nul
date %date%
del %0

改日期？不过在虚拟机里没有实现

autorun.inf的内容：
[AutoRun]
open=OSO.exe
shellexecute=OSO.exe
shell\Auto\command=OSO.exe

如果您要从右键菜单来判别，很不幸，右键菜单完全看不出异常，不管您是双击还是右键，同样会激活病毒！

TINY还记录到，病毒关闭操作操作系统还原服务后再打开.这恐怕会导致丢失还原点的结果.
　　ＯＳＯ这一个病毒确实比较历害,电脑感染后,在除C盘以外的所有驱动器目录下都出现了:oso.exe,autorun.ini,注册表(Regedit),以及操作操作系统配置实用程序(Procedures)都根本没有办法打开,文件也被强制隐藏(Hide)了(就是在文件夹选项中修改以后,当您再打开的时候,他自动回到了"不显示隐藏(Hide)文件"上面去了),且注册表(Regedit)文件根本没有办法导入.在安全模式下也是如此，病毒自动运行，而不能是且根本没有办法结束，并且把操作操作系统时间(如果不对,可以去下一下360时间保护器,软件(soft)很小,而不能是且不占内存.是安全不可少的软件(soft),快活林极力推荐)都修改了，好多杀毒软件(soft)都根本没有办法运行，下面具体说说我最后的解决方法.
　　　先进入安全模式，在电脑的桌面上创建一个名为”ＯＳＯ．ＥＸＥ”的文件夹〔随便的文件格式创建一个文件放入文件夹〕，属性设置为只读，然后分别进入除去Ｃ盘以外的所有盘，分别彻底删除盘中的ＯＳＯ．ＥＸＥ文件，快速把建立的电脑的桌面的ＯＳＯ文件复制进去（不要超过两秒），〔这样做是因为再ＷＩＮＤＯＷＳ下是不允许有两个相同文件名的文件的，所以ＯＳＯ在您复制进去您的文件时，他就没办法植入了，嘿嘿聪明吧！〕然后用在运行中输入:gpedit.msc 选择(Choose)"电脑配置",在其下拉菜单中选择(Choose) "管理模板",选择(Choose)"操作操作系统",在其右边菜单中找到:关闭自动播放,再选择(Choose)"已启用",在关闭自动播放后面选择(Choose)"所有驱动器"(默认的是CD-ROM,关这是没用的或者说是不够受的的).然后用下载Ｕ盘清洁者查杀！再用下载的autoruns,运行他，因为他没被禁止，进入单击映像，取消其下方所有的选中项目！
好了，ＯＫ了！----
狂顶专杀