Thumbs.dn删不掉

Question

刚装完系统，在装应用程序时，D盘突然丢失了很多文件，刚刚安装的一些应用程序也丢失了。在D盘下出现文件夹，里面Thumbs.dn删不掉。重起未果，安全模式也删不掉。搜索出1000多个类似文件，都删不掉。
请高手帮助。本人菜鸟，请详细说明。有用就加分，谢谢
请不要复制，一楼说的我早在网上看过了。

Answer 1

THUMBS.DN是被加密软件加密的文件，文件加密后被更该了文件名，如果直接点击就会出现打印机的标志。

1.首先想到是直接删除文件。删除很顺利，这两个文件一下就被清理掉了。可是不一会各个分区又出现这两个文件。郁闷！

2.在DOS下用dir/a命令显示所有文件，可以看到THUMBS.DN文件。但是命令del Thumbs.dn却无法执行。因为操作系统把该文件识别为打印机的连接。很晕了。

3.系统用GHOST备份过C盘，所以直接还原，反正就几分钟。居然开机打开后C盘的里面文件一开始没有，可是由于其他盘里有这两个文件，所以一下C盘又出现那两个文件。

4..把文件用WINRAR压缩，打开后，果然里面有THUMBS.EXE,THUMBS.SYS等文件。删除压缩包里面文件后，我希望通过解压文件来覆盖原文件。失败。

5.用超级兔子打开进程管理器，兔子提示发现可疑进程，‘SVCHOST.EXE’，用兔子点追查目标，找到SVCHOST.EXE文件，以及IME.EXE文件，删除文件。在结束进程的情况下，点击右键-打开-打开各个分区删除里面的文件。（不能双击直接打开分区，否则又会加载进程。）重启，开机。一切解决。

6.看了一下浏览人数，好像遇到问题的人还挺多的，补写一下我用来预防这个问题的方法。删除病毒后，可以在电脑或者U盘各个分区建立一个记事本，名字为Thumbs,然后将TXT后缀改为dn.这样即便病毒想复制文件，也因为已经有了该文件名而无法执行。

Answer 2

在每个盘都有autorun.inf文件和Thumbs.dn隐藏目录，在你点击打开某个硬盘时自动运行
在Thumb.dn里面有病毒的实体，和一个Desktop.ini的文件，使用户把它当成一个特殊的目录
把每个磁盘的上述文件和目录删掉后还会自动出现

清除办法是：
1、确保系统可以看见隐含文件
2、打开所有磁盘，保留在跟目录，应该能看到每个磁盘隐含的autorun.inf和thumbs.dn目录
杀掉一个svchost.exe，这个svchost.exe并非系统的服务组件，真正的服务组件是在<windows目录>\system32下面的，而这个木马的svchost.exe是在<windows目录>\ime目录下，以此伪装成系统服务组件。系统本身会运行一个或几个svchost.exe，如何区分呢？
至少有两种方法：
a、找第三方工具，可以查看系统进程的，比如ProcessExplorer能看到进程文件的位置，并且能杀掉进程
b、打开windows的任务管理器，菜单->查看->选择列，里面把线程数选上，就可以看进程的线程数了，线程数最少的那个svchost.exe就是目标了（木马制作者，就是在这里监视磁盘文件修改情况的，不过它开的线程比较少，系统提供服务的线程比较多），我机器上线程数是2，把该进程杀掉
3、进入第2步已经打开的磁盘根目录，选中autorun.inf和thumbs.dn目录，按shift+del把它们完全删除
4、进入<windows目录>\ime目录下，删掉除目录外的所有文件（可能有几个是系统的，但删掉系统会自己恢复）