MSN蠕蟲變種chcp.exe（434,176字節）利用即時通訊傳播：感染機發送誘惑訊息+帶毒壓縮包F0538_jpg.zip，接收方打開即中招，形成鏈式感染。病毒除植入自身副本、修改註冊表自啟動外，還**劫持系統FTP/TFTP程式**、關閉系統文件保護(SFC)、縮短服務關閉超時，破壞性極強。本文提供基於病毒行為分析的徹底手動清除方案。

病毒行為全景掃描

• 系統目錄(%Windows%)生成F0538_jpg.zip（傳播載體）和chcp.exe（主體）。
• 註冊表HKLM\Software\Microsoft\Windows\CurrentVersion\Run添加chcp.exe自啟動。
• 修改HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon：
  SFCDisable=0xFFFFFF9D（關閉SFC）
  SFCScan=0
• 修改HKLM\SYSTEM\CurrentControlSet\Control\WaitToKillServiceTimeout=7000（默認20000），加速服務強制終止。
• 劫持FTP/TFTP：
  重命名%System%\ftp.exe→backup.ftp、tftp.exe→backup.tftp 移至%System%\microsoft\
  寫入惡意ftp.exe、tftp.exe、dllcache\ftp.exe、dllcache\tftp.exe至%System%\。
• 發送誘騙訊息+壓縮包給MSN好友，持續傳播。

五步徹底清除（順序不可亂）

第一步：斷開自啟動鏈路

1. regedit定位：HKLM\Software\Microsoft\Windows\CurrentVersion\Run
2. 刪除鍵值：chcp.exe = "%Windows%\chcp.exe"
3. **重啟電腦**（進入正常模式即可，病毒進程已無自啟動入口）。

第二步：刪除病毒主體與傳播包

進入%Windows%目錄（通常C:\Windows或C:\WINNT），刪除：

• chcp.exe
• F0538_jpg.zip

第三步：恢復被劫持的FTP/TFTP程式

1. 刪除%System%下的惡意文件：
   ftp.exe、tftp.exe、dllcache\ftp.exe、dllcache\tftp.exe
2. 將%System%\microsoft\backup.ftp 重命名為 ftp.exe 移回 %System%\
   將%System%\microsoft\backup.tftp 重命名為 tftp.exe 移回 %System%\

第四步：恢復系統文件保護(SFC)

regedit定位：HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
刪除鍵值：SFCDisable（或將其值改為0），刪除SFCScan鍵值。
重啟後SFC自動恢復監護。

第五步：恢復服務關閉超時默認值

regedit定位：HKLM\SYSTEM\CurrentControlSet\Control
修改WaitToKillServiceTimeout值為20000（默認20秒）。

驗證清除成效

• 重啟後無chcp.exe進程、無F0538_jpg.zip生成。
• MSN正常收發文件、無自動發送誘騙訊息。
• sfc /scannow報告系統文件完整。
• 服務停止/重啟響應時間正常（約20秒）。
• FTP/TFTP命令正常工作。

同類MSN病毒通用防御策略

MSN機器人、小丑、性感相冊等變種層出不窮，核心均為：**利用好友信任→發送誘騙鏈接/文件→利用漏洞/社工執行→植入自啟動→繼續傳播**。

• **先期防護**：殺毒軟體定時更新病毒庫+啟用即時監控+安裝安全防護軟體（HIPS/行為分析）+ 及時打補丁。
• **情報跟蹤**：關注每日病毒動態（如江民、瑞星、卡巴斯基威脅情報）。
• **應急響應**：一旦中毒，立即斷網→安全模式→按行為分析手動清除或下載廠商專殺工具→全盤掃描→修改關鍵賬號密碼。

「道高一尺，魔高一丈」，唯有**技術防護+習慣免疫+應急預案**三位一體，才能在IM病毒浪潮中守住淨土。