我的电脑一开机就会弹出一个记事本是怎么回事？

2025-01-23 10:55:27

推荐回答（6个）

回答1：

病毒！

病毒文件：wincfgs.exe （c:\windows\system32\wincfgs.exe）

病毒名称：Trojanspy.USBpy.a

相关症状：开机自动弹出记事本，修改系统启动项，咖啡等部分软件没有反应

传播途径：U盘等移动存储

危害性：暂无破坏性，只是开机跳出记事本。

推荐杀毒方式：手动查杀

相关步骤：

1、打开任务管理器结束wincfgs进程。

2、控制面版-文件夹选项-设置显示系统文件及隐藏文件。

3、删除C:\windows\KB20060111.exe。

4、删除C:\windows\system32\wincfgs.exe。

5、开始-运行-regedit-进入注册表编辑器-编辑-查找-记得将"项、值、数据"这三个查找选项选上，搜索"KB20060111.exe"，删除找到的项/值，按F3键查找下一个并删除项/值，直到搜索完毕。同理搜索删除".\RECYCLER\RECYCLER\autorun.exe"和 "wincfgs.exe"的相关项/值。

6、注册表-[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]清理与wincfgs相关的开机启动项。(因为第5步已经删除，如果没有看到wincfgs相关项则略过)

7、开始-运行-msconfig-点最后的"启动"-取消"wincfgs"-确定-重启-重启后问你是否每次开机都显示***，选择否。(没有看到wincfgs启动项则略过)

8、结束。

另外最好删除闪存根目录下autorun.inf文件和Recycled文件夹（也是隐藏文件）即可避免病毒再度传播.

删除U盘/MP3上的开机弹出空记事本病毒体：

1、设置一下能看到系统隐藏文件.

2、打开U盘/MP3时不要双击,右键选打开,不要选英文的OPEN.

3、打开U盘/MP3后看到RECYCLER文件夹.删除

4、再删除autorun.inf就行了.

5、杀了后正常拔出U盘，再插上就可以了.

6、结束.

其他详解
http://cache.baidu.com/c?word=%BF%AA%BB%FA%2C%BC%C7%CA%C2%B1%BE&url=http%3A//www%2Etongjitangcn%2Ecom/bbs/PrintPost%2Easp%3FThreadID%3D12&b=6&a=17&user=baidu

http://www.pk592.com/bbs/PrintPost.asp?ThreadID=219

回答2：

你看它是否在你的启动项里。
在注册表里的启动项里的可能性不大，除非你自己手工加进去。
其他我还真想不到什么原因。

回答3：

一楼好像很强的样子~~

回答4：

开机后就出现记事本窗口

由于这种情况都是在使用了诸如闪盘的移动存储的计算机出现的，所以导致根源应该在闪盘上所存储的文件。
[蠕虫简单分析]：
蠕虫名称：Worm.Win32.Delf.aj（AVP）
蠕虫别名：Trojan.Spy.UsbSpy.a（瑞星）、TrojanSpy.USBSpy.a（江民）
蠕虫大小：47,104字节
加壳方式：UPX
MD5：07adddef653a702b9a11edbcee07e82b
CRC32：100A382A

[发作现象]：
电脑开机时会自动弹出记事本，会生成wincfgs.exe、KB20060111.exe等文件
[行为分析]：
1. 在注册表中创建USBSpyRunMutex互斥量，避免重复感染。
2. 在系统中生成
C:\%system%\wincfgs.exe（系统、隐藏、只读属性）
C:\%WINDOWS%\KB20060111.exe（大小66,560 字节，非病毒，是记事本程序）
3. 在注册表中添加：
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load＝“C:\windows\system32\wincfgs.exe”
4. 在移动设备中生成RECYCLER\RECYCLER目录和autorun.inf，在这个目录下生成autorun.exe、desktop.ini。
autorun.inf的内容：
[autorun]
open=.\RECYCLER\RECYCLER\autorun.exe
shell\1=Open
shell\1\Command=.\RECYCLER\RECYCLER\autorun.exe
shell\2\=Browser
shell\2\Command=.\RECYCLER\RECYCLER\autorun.exe
shellexecute=.\RECYCLER\RECYCLER\autorun.exe

autorun.exe同wincfgs.exe
desktop.ini的内容：
[.ShellClassInfo]
CLSID={645FF040-5081-101B-9F08-00AA002F954E}
由此可见，当含有病毒的移动设备接入电脑时，蠕虫会被自动运行。
开机弹出的记事本便是这个KB20060111.exe文件了，诱发这个KB20060111.exe的启动可能不是常规启动项，而是wincfgs.exe这个文件启动（呼叫）KB20060111.exe文件的。就是说KB20060111.exe这个文件并非病毒或者Joke程序本身，其实KB20060111.exe就是一个记事本程序（这也就是为什么KB20060111.exe文件的图标也是一个记事本程序的图标的缘故）。另外没有清理wincfgs.exe的计算机再次接入一个干净的移动存储设备可能会再次传染这个移动存储设备。

1、蠕虫病毒的可能性：
这个闪盘可能被感染有蠕虫病毒，在接入别的计算机上便会使得该计算机出现这种开机弹出无标题的记事本的情况，不过蠕虫病毒至少需要激活，也就是执行一下这个蠕虫病毒。但仅仅从症状来看又没有什么危害，应该不至于称作蠕虫病毒，所以暂时定为Joke程序
2、autorun.ini的小把戏：
在这个闪盘中存储有autorun.ini，也就是上面提到的可以用于激活程序的原因。如果autorun.ini中指定了程序，那么便会在双击打开闪盘的时候就激活了这个Joke程序。
当激活了这个Joke程序应该会有如下行为：
修改注册表项：
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
下的名为Load的注册表键为：
C:\windows\system32\wincfgs.exe
修改%SystemRoot%\Notepad.exe文件的文件名为KB20060111.exe（或其它文件名），或者只是复制了一份Notepad.exe文件并命名为KB20060111.exe（或其它文件名）。
开机弹出的记事本便是这个KB20060111.exe文件了，诱发这个KB20060111.exe的启动可能不是常规启动项，而是wincfgs.exe这个文件启动（呼叫）KB20060111.exe文件的。
就是说KB20060111.exe这个文件并非病毒或者Joke程序本身，其实KB20060111.exe就是一个记事本程序（这也就是为什么KB20060111.exe文件的图标也是一个记事本程序的图标的缘故）。另外没有清理wincfgs.exe的计算机再次接入一个干净的移动存储设备可能会再次传染这个移动存储设备。
那么解决办法就出来了：
1、修改注册表
a.运行“regedit”启动注册表编辑器；
b.分别删除注册表项
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
下的Load注册表键里的键值内容。
不放心的话可以搜索“wincfgs.exe”的注册表键并删除之
由于没有得到wincfgs.exe样本文件，所以无法准确判断有关注册表项，但是可以直接使用Hijackthis修复类似这个项目：
F3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe
2、删除文件
%SystemRoot%\system32\wincfgs.exe
%SystemRoot%\KB20060111.exe
上述是解决被感染的计算机的解决办法，下面还要处理一下有问题的移动存储设备：
打开移动存储设备下的autorun.ini文件，查看其中指定的文件是哪个并且删除这个文件。
删除移动存储设备下的autorun.ini文件，这个文件一般是隐藏的，所以需要设置文件夹选项为显示所有文件和文件夹选项的。

开机弹出desktop.ini标题的记事本

关键字词：开机弹出记事本 desktop.ini 开机弹出desktop.ini记事本
在HelpOnline论坛曾经碰到如此案例：
开机弹出标题为desktop.ini的记事本，并且正文内容如下：
————————————————————————————————
[.ShellClassInfo]
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21787
————————————————————————————————
遇到此故障的用户所提交的Hijackthis扫描日志均未发现可疑启动项，但是使用江民的木马一扫光（此组件在KV2005/KV2006中均包含）可以发现有关启动项，如图所示：

所以解决办法为删除下面位置所含有的desktop.ini文件：
%SystemDrive%\Documents and Settings\All Users\「开始」菜单\程序\启动
%SystemDrive%\Documents and Settings\All Users\「开始」菜单\程序\
%SystemDrive%\Documents and Settings\All Users\「开始」菜单
%SystemDrive%\Documents and Settings\[CurrentUser]\「开始」菜单\程序\启动
%SystemDrive%\Documents and Settings\[CurrentUser]\「开始」菜单\程序\
%SystemDrive%\Documents and Settings\[CurrentUser]\「开始」菜单
*[CurrentUser]=当前用户

一篇微软的帮助与支持文档也证实了上述方法的准确性：
http://support.microsoft.com/kb/330132/zh-cn

还有个方便的方法批处理删除注册表修改：
复制下面文字到记事本，另存为“Wincfgs_kill.bat”（注意保存时选择文件类型为“所有文件”）
echo off
tskill KB20060111
tskill wincfgs
del %windir%\kb20060111.exe
del %windir%\system32\wincfgs.exe
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v "load" /f
reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows" /v "load" /t REG_SZ /d "" /f
然后运行,完毕后重启电脑

回答5：

你看它是否在你的启动项里。
没有就是病毒!

回答6：

应该是在你的启动项里面，你点开始-所有程序-启动-看里面有没有记事本这个文件，有就进去删掉就行拉

最新问答

XSX 上不能上下不能下卡在中间不能上下（猜一字）

实况足球2012 我是传奇进去要登录，去申请ID。又老申请不到怎么办啊