VBScript 病毒專殺腳本實作：tel.xls.exe 木馬清除

本文提供一個 VBScript 編寫的專殺腳本，針對 Trojan.Win32.Patched.v 變種病毒（表現為 tel.xls.exe、algsrv.exe、SocksA.exe 等進程與檔案）進行清除與免疫。

腳本功能模組

1. 進程終止：透過 WMI 查詢並終止惡意進程（algsrv.exe、SocksA.exe）
2. 檔案刪除：清除系統目錄下的病毒檔案（SocksA.exe、FileKan.exe、algsrv.exe、Session.exe、BACKINF.TAB）
3. 磁盤掃描清除：遍歷所有磁碟機，刪除根目錄下的 tel.xls.exe 與 AUTORUN.INF
4. 註冊表修復：恢復資料夾選項顯示隱藏檔案、關閉自動播放、刪除啟動項
5. Autorun 免疫：在各磁碟根目錄建立 autorun.inf 資料夾並設定隱藏/系統屬性，防止病毒利用自動播放傳播

核心代碼片段

' 進程終止
Set w = GetObject("winmgmts:")
Set p = w.ExecQuery("Select * From Win32_Process Where Name='algsrv.exe' Or Name='SocksA.exe'")
For Each i In p: i.Terminate: Next

' 檔案刪除
Set fso = CreateObject("Scripting.FileSystemObject")
d(0) = "%SystemRoot%\system32\SocksA.exe"
... 
For i = 0 To 4: Set v(i) = fso.GetFile(d(i)): v(i).Attributes = 0: v(i).Delete: Next

' 磁盤掃描
Set drvs = fso.Drives
For Each drv In drvs
    If drv.DriveType = 1 Or drv.DriveType = 2 Or drv.DriveType = 3 Or drv.DriveType = 4 Then
        Set w = fso.GetFile(drv.DriveLetter & ":\tel.xls.exe")
        w.Attributes = 0: w.Delete
        Set u = fso.GetFile(drv.DriveLetter & ":\AUTORUN.INF")
        u.Attributes = 0: u.Delete
    End If
Next

' 註冊表修復
Set reg = CreateObject("WScript.Shell")
reg.RegWrite "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue", 1, "REG_DWORD"
... (多項註冊表修復)

' Autorun 免疫
For Each drv In drvs
    If drv.DriveType = 1 Or drv.DriveType = 2 Or drv.DriveType = 3 Or drv.DriveType = 4 Then
        fso.CreateFolder(drv.DriveLetter & ":\autorun.inf")
        fso.CreateFolder(drv.DriveLetter & ":\autorun.inf\免疫資料夾..\")
        Set fl = fso.GetFolder(drv.DriveLetter & ":\autorun.inf")
        fl.Attributes = 3 ' 隱藏+系統
    End If
Next

使用說明

• 雙擊執行 tel.xls.vbs 即可啟動清除
• 執行完成後建議**重新啟動電腦**
• 僅針對已分析變種有效，新變種需更新特徵碼

學習資源

作者提供 VBS 專殺編寫教學：https://hi.baidu.com/ycosxhack/blog/item/36569f51dbd0cc8e8c5430d8.html

安全提醒

• 現代殺毒軟體已整合雲端特徵庫與行為分析，手工專殺僅供應急或學習參考
• 執行未知腳本前請確認來源可信，避免二次傷害
• 企業環境建議部署 EDR/XDR 方案進行全方位防護