k4.xls 宏病毒专杀

xq1234

“k4.xls”病毒特征：

1.若在“C:\Documents and Settings\（用户名）\Application Data\Microsoft\Excel\XLSTART”（不同机子目录有差异）中发现“k4.xls”文件，则中了病毒。

2.“……\Microsoft\Excel\XLSTART”中的“k4.xls”文件并不是最初的病毒文件，是你电脑中某个文件中了病毒后，另存到“……\Microsoft\Excel\XLSTART”目录的一个副本，只是将名称变更为“k4.xls”而已。

3.若 excel 宏安全性设置为中，打开未写宏代码的文件，提示启用宏，则中了病毒

4.“k4.xls”病毒会修改注册表，将工程对象设置为允许访问,安全级设置为低(对所有用户/当前用户)，且用户无法通过EXCEL更改

5.感染“k4.xls”病毒后，使用了 excle 的 workbookOpen 事件，任一EXCEL文件在“打开”时，将被感染病毒代码；自动在新工程中添加引用 Microsoft Visual Basic for Applications Extensibility 5.3，便于对工程对象进行操作（wb.VBProject.References.AddFromGuid Guid:="{0002E157-0000-0000-C000-000000000046}", Major:=5, Minor:=3）。

6.最近被感染的文件将会另存到“……\Microsoft\Excel\XLSTART”目录中，新的文件名为“k4.xls”

7.病毒首先写入一个 ToDOLE 病毒模块，然后删除 ThisWorkbook 中的所有代码，再向 ThisWorkbook 写入病毒代码（若你原来的  ThisWorkbook  中有有用的代码，此时将会完全洗白）

8.病毒会新建一个4.0宏表并隐藏，并向其他工作表添加 "Auto_Activate" 隐藏名称，指向4.0宏表的 "=Macro1!$A$2"，不启用宏将无法打开工作簿

9.病毒会硬盘其他位置写入文件：D:\Collected_Address:frag1.txt，  D:\Collected_Address:frag2.txt，   Environ("Temp") & "\ToDole.bas    ，D:\Collected_Address\log.txt， E:\sorce\*.*,  E:\KK\*.*

10若你安装了 OUTLOOK 软件，病毒会将染毒文件通过  OUTLOOK 发给10个已有的联系人，每10分钟发送一次（安装了 OUTLOOK 可要特别注意了）

一个最重要的情况是：
当禁用事件之后（Application.EnableEvents = False），选择“启用宏”再打开任何带毒的xls文件，都将不再交叉感染（除非你在异想不到的地方用 Application.EnableEvents = True 启用了事件）

病毒代码分析文件（新手请谨慎操作），k4.xls杀毒程序均已上传！！



杀毒声明：

一、以下病毒文件将会删除：
1. Application.StartupPath & "\k4.xls"
2. "D:\Collected_Address:frag1.txt"
3. "D:\Collected_Address:frag2.txt"
4. Environ("Temp") & "\ToDole.bas"
5. "D:\Collected_Address\log.txt"

二、以下病毒目录将会删除：（若这些目录中有你需要的文件，请先备份）
1."E:\sorce"
2."E:\KK"

三、XLS文件中若存在以下名称的模块、或代码，将被删除：
1.模块 ToDOLE
2.当模块 ToDOLE 存在时，删除ThisWorkbook中的代码
若ToDOLE模块存在，则ThisWorkbook中的代码一定是病毒（病毒写入ToDOLE模块的同时，会先删除ThisWorkbook中的代码，然后再向ThisWorkbook写入病毒代码，所以别以为是我无缘无故删除了你ThisWorkbook中的代码哟）

四、工作簿中若存在名为 Macro1 的宏表，且该表 A4 单元格满足条件  
           Left(sht.Range("A4").FormulaR1C1, 16) = "=ALERT(""禁用宏，关闭 " & Chr(10)   
And     Right(sht.Range("A4").FormulaR1C1, 25) = Chr(10) & "Please Enable Macro!"",3)"
  则该宏表将被删除

五、将重新设置宏安全性为“中”，并取消 “信任对 VBA 项目的访问” 勾选！
      若你希望用户可以手动设置安全等级，请打开注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Office\（excel版本号）\Excel\Security\Level  然后删除 Level 键值（详情见 http://club.excelhome.net/thread-905505-4-1.html  31楼）

工程密码为：123




另：常有人问我关于宏安全性设置的问题，
HKEY_LOCAL_MACHINE\Software\Microsoft\Office\(Excel版本号)\Excel\Security\AccessVBOM   是设置“所有”用户的“信任对 VBA 项目的访问”选项 （1为允许访问）      
HKEY_LOCAL_MACHINE\Software\Microsoft\Office\(Excel版本号)\Excel\Security\Level        是设置“所有”用户的宏安全等级（1为低，2为中，3为高，4为非常高）

HKEY_CURRENT_USER\Software\Microsoft\Office\(Excel版本号)\Excel\Security\AccessVBOM    是设置“当前”用户的“信任对 VBA 项目的访问”选项 （1为允许访问）  
HKEY_CURRENT_USER\Software\Microsoft\Office\(Excel版本号)\Excel\Security\Level         是设置“当前”用户的宏安全等级（1为低，2为中，3为高，4为非常高）
         
“所有”管“当前”，“老总”管“员工”

可以使用“Office宏安全性设置1.2(以Excel为标准).rar”这个附件进行修改
该附件注意事项:
      一般来说,Excel、Word、Access是同时安装的，也就是说这三个软件的版本号是一致的。
      本软件是以“Excel的版本号”为基准来设置Excel、Word、Access的安全等级。
      如果你Word、Access的版本号与Excel的版本号不相同，则本软件对Word、Access的修改将无效。
      比如：你的Excel是Excel2000，而Word、Access是Word2003、Access2003（一般是不会这样安装
OFFICE的），则本软件对Excel2000的修改有效，对Word2003、、Access2003的修改无效。

xiaojun0301

        谢谢分享，期待精品

guzhen9315

{:soso_e163:}谢谢分享，期待杀毒{:soso_e137:}

840205910

会不会把人家的个人宏工作簿删除？
上次我被一个鸟东西的杀毒文件把我个人宏工作簿的全部资料摸个精光

ldda

谢谢分享，我也疑似中招了。

网名

840205910 发表于 2012-8-13 07:03
会不会把人家的个人宏工作簿删除？
上次我被一个鸟东西的杀毒文件把我个人宏工作簿的全部资料摸个精光

我也遇到过，我的同事电脑里安装了360杀毒，我把带有代码的excel文件复制到他的电脑就被提示是宏病毒，代码被删除得光光。。。还好这个重要文件我备份了。

xq1234

k4.xls 病毒查杀程序已经上传

840205910

xq1234 发表于 2012-8-14 00:50
k4.xls 病毒查杀程序已经上传

老师：经测试使用，可以杀K4.xls,不会删除个人宏工作簿的模块。赞一个！
魔高一尺，道高一丈！

ldda

我的一台电脑顺利清除。可加一台相同配置的电脑（win7+excel2003)运行清除工具时报错。为
运行错误-2147024891（80070005）
注册键值
HKEY LOCAL MACHINE\MICROSOFT\OFFICE\11.0\EXCEL\的路径无效。
请帮助找原因。

ldda

xq1234 发表于 2012-8-14 00:50
k4.xls 病毒查杀程序已经上传

我的一台电脑顺利清除。可加一台相同配置的电脑（win7+excel2003)运行清除工具时报错。为
运行错误-2147024891（80070005）
注册键值
HKEY LOCAL MACHINE\MICROSOFT\OFFICE\11.0\EXCEL\的路径无效。
请帮助找原因。