杀木马病毒_木马程序杀毒案

木马病毒如何查杀?

这是木马 *** 下载器的一个变种

下载木马，盗帐号密码的

清除 *** ：

首先打开注册表编辑器或用来恢复文件关联的工具（如RegFix），先不要关闭（否则再次启动应用程序的时候使病毒又重新加载，或者将“.exe”的后缀名改为“.com”也可以。），然后通过任务管理器或KillBox或者是TroyanFindInfo等进程管理工具结束病毒Rundll32.exe的进程，接下来恢复EXE和TXT文件关联，最后再找到病毒文件删除掉：

%System%\ .exe

%System%\notepad .exe

%Windows%\System\RUNDLL32.EXE（如果是Windows 2000/XP）

%Windows%\System32\RUNDLL32.EXE（如果是Windows 9x）

还有一步，到 *** 安装目录下，把病毒生成的TIMPlatform.exe删除，然后把TIMP1atform.exe改名为TIMPlatform.exe即可。

注：推荐使用工具来恢复TXT文件关联。

木马可以把自己改为系统启动时必定会调用的某个文件名，并复制到比原文件要浅一级以上的目录里。Windows系统搜寻一个不带路径信息的文件时遵循一种“从外到里”的规则，这就意味着，如果有两个同样名称的文件分别放在C:\和C:\Windows下，Windows会执行C:\下的程序，而不是C:\Windows下的，这就是木马运行起来的方式。但关键是如果你以为删除掉这些木马程序就万事大吉的话，你会发现在删除之后哭都来不及：系统也出了故障，所有应用程序都打不开了。因为在Windows系统里，文件的打开操作是通过注册表内相应键值指定的应用程序来执行的，这个部分位于注册表的“HKEY_CLASSES_ROOT”主键内。而应用程序自身也被视为一个文件，它也属于一种文件类型，同样可以用其他方式开启，只不过Windows设置它的调用程序为“"%1" %*”，但是木马程序则修改了应用程序(EXE文件)的并联方式,它将EXE后缀名对应的exefile类型的“打开方式”改成了“木马程序 "%1" %*”，也就是说，系统是通过调用木马程序将原来的.exe程序打开。所以当你把木马杀死后，没有东西给被改变并联方式的.exe文件传递参数，就没法启动这些程序，自然你的电脑的应用程序就打不开了。

一种最最最方便简捷有效的 *** 来恢复.exe文件的关联文件：新建一个记事本文件，把下面的复制进去

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\exefile\shell\open\command]

@="\"%1\" %*"

直接保存，然后右键点此文件，选打开方式-〉选择程序-〉浏览到windows文件夹里双击regedit,把信息加到注册表就可以了

如何查杀木马

用工具：

查看目前运行的服务

服务是很多木马用来保持自己在系统中永远能处于运行状态的 *** 之一。我们可以通过点击“开始”-“运行”-“cmd”，然后输入“net start”来查看系统中究竟有什么服务在开启，如果发现了不是自己开放的服务，我们可以进入“服务”管理工具中的“服务”，找到相应的服务，停止并禁用它。

检查系统启动项

由于注册表对于普通用户来说比较复杂，木马常常喜欢隐藏在这里。检查注册表启动项的 *** 如下：点击“开始”-“运行”-“regedit”，然后检查：

HKEY_LOCAL_MACHINE Software Microsoft Windows CurrentVersion下所有以“run”开头的键值；

HKEY_CURRENT_USER Software Microsoft Windows CurrentVersion下所有以“run”开头的键值；

HKEY-USERS Default Software Microsoft Windows CurrentVersion下所有以“run”开头的键值。

Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。打开这个文件看看，在该文件的[boot]字段中，是不是有shell=Explorer.exe file.exe这样的内容，如有这样的内容，那这里的file.exe就是木马程序了！

检查 *** 连接情况

由于不少木马会主动侦听端口，或者会连接特定的IP和端口，所以我们可以在没有正常程序连接 *** 的情况下，通过检查 *** 连情情况来发现木马的存在。具体的步骤是点击“开始”-“运行”-“cmd”，然后输入netstat -an这个命令能看到所有和自己电脑建立连接的IP以及自己电脑侦听的端口，它包含四个部分——proto(连接方式)、local address(本地连接地址)、foreign address(和本地建立连接的地址)、state(当前端口状态)。通过这个命令的详细信息，我们就可以完全监控电脑的 *** 连接情况。

检查系统帐户

恶意的攻击者喜在电脑中留有一个账户的 *** 来控制你的计算机。他们采用的 *** 就是激活一个系统中的默认账户，但这个账户却很少用的，然后把这个账户的权限提升为管理员权限，这个帐户将是系统中更大的安全隐患。恶意的攻击者可以通过这个账户任意地控制你的计算机。针对这种情况，可以用以下 *** 对账户进行检测。

点击“开始”-“运行”-“cmd”，然后在命令行下输入net user，查看计算机上有些什么用户，然后再使用“net user 用户名”查看这个用户是属于什么权限的，一般除了Administrator是administrators组的，其他都不应该属于administrators组，如果你发现一个系统内置的用户是属于administrators组的，那几乎可以肯定你被入侵了。快使用“net user用户名/del”来删掉这个用户吧！

木马杀毒

你现在可以在瑞星主站下正版的瑞星，安装之前去网上找找序列号。再用别人的序列号安装正版的瑞星。OK瑞星能用了。进入安全模式全面的查杀病毒！完毕以后病毒没有了！呵呵！

现在瑞星又推出了专门对付流氓软件的瑞星卡卡助手。，很好用的，还免费！直接在瑞星主站去下！