剛清掉一個叫 sxs.exe 和 autorun.inf 的病毒，瑞星說是 Trojan.PSW.QQPass.pqb，來分享下清除經驗：
癥狀就是在各個盤符根目錄下自動生成 sxs.exe 和 autorun.inf 文件，有些還會在 windowssystem32 下釋放 SVOHOST.exe 或 sxs.exe，屬性都是隱藏的。而且會自動禁用殺毒軟件。
傳播方式主要是靠 U 盤、移動硬盤啥的。
迷惑性還挺強，具體來說：
1. 在任務管理器里可能會多出個 svohost 的進程，跟系統自帶的 svchost 差不多，很容易看錯；
2. 注冊表修改也挺隱蔽的，后面會詳細說怎么檢查；
3. 病毒還偷偷改了注冊表，讓顯示所有隱藏文件功能失效，這樣你就看不到它藏起來的那些病毒文件了。
清除方法建議進安全模式操作，網上有人說直接刪 sms.exe 不行，因為你一刷新它又冒出來。
步驟如下：
1. 先結束病毒進程
打開任務管理器（Ctrl+Alt+Del），找有沒有 sxs 或 SVOHOST 這個進程（注意不是 SVCHOST），有的話干掉它。有些系統可能沒這個進程，那就可以跳過這步。
2. 恢復注冊表設置
先確認自己能不能看到隱藏文件，如果可以的話這步也可以略過。否則就打開注冊表編輯器（運行 regedit）。
路徑是：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
在里面找 SoundMam（注意不是 soundman），有可能會有兩個，找到鍵值是 C:WINDOWSsystem32SVOHOST.exe 的那個，刪掉就行。
順便提醒一下，這些病毒文件通常都會偽裝成系統文件，大家一定要仔細核對名字，別被忽悠了～
有需要的可以試試上面的方法，應該能搞定！

autorun.inf病毒的清除方法

關鍵詞： Trojan.PSW.QQPa autorun.inf

特征：在每個盤根目錄下自動生成sxs.exe,autorun.inf文件，有的還在windows\system32下生成SVOHOST.exe 或 sxs.exe ，文件屬性為隱含屬性。自動禁用殺毒軟件。

傳染途徑：主要通過U盤，移動硬盤

迷惑性：

1、按ctrl+del+alt查看進程，可能多出svohost進程，他與系統自帶的svchost只差一字，大家要看清楚！

2、注冊表修改項隱蔽更強，如何修改我將在下面詳細說明。

3、自動修改注冊表，使系統“顯示所有隱藏文件”功能失效，從而達到隱藏自己病毒體文件的目的。

清除辦法：

建議到安全模式下，網上有許多網友說直接搜索sms.exe文件刪除是不可以的，因為一刪除后，只要你刷新就立刻出現。

1、關閉病毒進程

Ctrl + Alt + Del 任務管理器，在進程中查找 sxs 或 SVOHOST（不是SVCHOST，相差一個字母），有的話就將它結束掉（并不是所有的系統都顯示有這個進程，沒有的就略過此步）。

2、恢復注冊表（有的系統可能病毒沒有修改注冊表，檢驗辦法是，如果您的系統能看到隱藏文件那么這步可以省略，建議大家都看一下）

(刪除病毒自啟動項)打開注冊表 運行——regedit

HKEY_LOCAL_MACHINE>;SOFTWARE>;Microsoft>;Windows>;CurrentVersion>;Run

SVOHOST.exe 或 sxs.exe

下找到 SoundMam（注意不是soundman,只差一個字母） 鍵值，可能有兩個，刪除其中的鍵值為 C:\\WINDOWS\system32\SVOHOST.exe 的（顯示出被隱藏的系統文件）

HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL，將CheckedValue鍵值修改為1

這里要注意，病毒會把本來有效的DWORD值CheckedValue刪除掉，新建了一個無效的字符串值CheckedValue,類型為REG_SZ，并且把鍵值改為0！我們將這個改為1是毫無作用的。大家要看清楚CheckedValue后面的類型，正確的是“RED_DWORD”而不是“REG_SZ”（有部分病毒變種會直接把這個CheckedValue給刪掉，只需和下面一樣，自己再重新建一個就可以了）

方法：刪除此CheckedValue鍵值，單擊右鍵 新建——Dword值——命名為CheckedValue，然后修改它的鍵值為1，這樣就可以選擇“顯示所有隱藏文件”和“顯示系統文件”。在文件夾——工具——文件夾選項中將系統文件和隱藏文件設置為顯示

3、刪除病毒體文件

在分區盤上單擊鼠標右鍵——打開，看到每個盤跟目錄下有 autorun.inf 和 sxs.exe 兩個文件，將其刪除。

最徹底的刪除辦法是：單擊開始--運行--cmd 確定后在dos狀態下寫如下命令(一般系統盤跟目錄下可能沒有病毒體文件，但是其他盤應該都存在)

attrib -h -r -s c:\sxs.exe

del c:\sxs.exe

attrib -h -s -r c:\autorun.inf

del c:\autorun.inf

attrib -h -r -s d:\sxs.exe

del d:\sxs.exe

attrib -h -s -r d:\autorun.inf

del d:\autorun.inf

如果大家還有其他的盤符可以參考我上面的寫一下就可以，如果有E盤，那就是

attrib -h -r -s e:\sxs.exe

del e:\sxs.exe

attrib -h -s -r e:\autorun.inf

del e:\autorun.inf
建議寫成一批處理，然后運行一下就ok了。

最后到 C:\\WINDOWS\system32\ 目錄下刪除 SVOHOST.exe 或 sxs.exe

為了方便大家我寫了一個批處理刪除病毒體文件，運行的時候如果提示“沒有發現該文件”說明找不到病毒體文件，沒有關系的。因為有些目錄病毒可能沒有復制到里面去。

大家把這個復制后用文本文件保存，然后改名為delsxs.bat,最后雙擊運行就ok了,我只寫到G盤的，估計就夠用的，另外加了個h（u）盤的

attrib -h -r -s c:\sxs.exe

del c:\sxs.exe

attrib -h -s -r c:\autorun.inf

del c:\autorun.inf

attrib -h -r -s d:\sxs.exe

del d:\sxs.exe

attrib -h -s -r d:\autorun.inf

del d:\autorun.inf

attrib -h -r -s e:\sxs.exe

del e:\sxs.exe

attrib -h -s -r e:\autorun.inf

del e:\autorun.inf

attrib -h -r -s f:\sxs.exe

del f:\sxs.exe

attrib -h -s -r f:\autorun.inf

del f:\autorun.inf

attrib -h -r -s g:\sxs.exe

del g:\sxs.exe

attrib -h -s -r g:\autorun.inf

del g:\autorun.inf

attrib -h -r -s h:\sxs.exe

del h:\sxs.exe

attrib -h -s -r h:\autorun.inf

del h:\autorun.inf

最后提醒大家的是：使用u盤或者是移動硬盤的時候要在插入后，立刻按住shift鍵，防止自動運行程序啟動，打開的時候要點右鍵--打開，這樣病毒就不會運行（如果存在病毒文件sxs.exe和autorun.inf直接刪除就ok了），否則如果你的u盤上有此病毒，你雙擊后，非但打不開u盤，還運行了病毒程序，呵呵上面做的一切都要重做了哦。

至于殺毒軟件不能自動啟動的問題，那可以重新安裝或者參考各殺毒軟件的處理辦法了，這里就不一一列舉了
參考資料：http://zhidao.baidu.com/question/17369590.html?si=1

瑞星熊貓燒香專殺工具
http://www.p234.com/Soft/cygj/200612/66.html

江民熊貓燒香專殺工具
http://www.p234.com/Soft/rjxz/200612/68.html

金山熊貓燒香專殺工具
http://www.p234.com/Soft/cygj/200612/67.html

熊貓燒香病毒變種 spoclsv.exe 解決方案
病毒大小：22,886 字節
加殼方式：UPack
樣本MD5：9749216a37d57cf4b2e528c027252062
樣本SHA1：5d3222d8ab6fc11f899eff32c2c8d3cd50cbd755
發現時間：2006.11
更新時間：2006.11
關聯病毒：
傳播方式：通過惡意網頁傳播，其它木馬下載，可通過局域網、移動存儲設備等傳播

技術分析
==========

又是“熊貓燒香”FuckJacks.exe的變種，和之前的變種一樣使用白底熊貓燒香圖標，病毒運行后復制自身到系統目錄下：
%System%\drivers\spoclsv.exe

創建啟動項：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"svcshare"="%System%\drivers\spoclsv.exe"

修改注冊表信息干擾“顯示所有文件和文件夾”設置：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000000

在各分區根目錄生成副本：
X:\setup.exe
X:\autorun.inf

autorun.inf內容：
[AutoRun]
OPEN=setup.exe
shellexecute=setup.exe
shell\Auto\command=setup.exe

嘗試關閉下列窗口：
QQKav
QQAV
VirusScan
Symantec AntiVirus
Duba
Windows
esteem procs
System Safety Monitor
Wrapped gift Killer
Winsock Expert
msctls_statusbar32
pjf(ustc)
IceSword

結束一些對頭的進程：
Mcshield.exe
VsTskMgr.exe
naPrdMgr.exe
UpdaterUI.exe
TBMon.exe
scan32.exe
Ravmond.exe
CCenter.exe
RavTask.exe
Rav.exe
Ravmon.exe
RavmonD.exe
RavStub.exe
KVXP.kxp
KvMonXP.kxp
KVCenter.kxp
KVSrvXP.exe
KRegEx.exe
UIHost.exe
TrojDie.kxp
FrogAgent.exe
Logo1_.exe
Logo_1.exe
Rundl132.exe

禁用一系列服務：
Schedule
sharedaccess
RsCCenter
RsRavMon
RsCCenter
RsRavMon
KVWSC
KVSrvXP
kavsvc
AVP
McAfeeFramework
McShield
McTaskManager
navapsvc
wscsvc
KPfwSvc
SNDSrvc
ccProxy
ccEvtMgr
ccSetMgr
SPBBCSvc
Symantec Core LC
NPFMntor
MskService
FireSvc

刪除若干安全軟件啟動項信息：
RavTask
KvMonXP
kav
KAVPersonal50
McAfeeUpdaterUI
Network Associates Error Reporting Service
ShStatEXE
YLive.exe
yassistse

使用net share命令刪除管理共享：
net share X$ /del /y
net share admin$ /del /y
net share IPC$ /del /y

遍歷目錄，感染除以下系統目錄外其它目錄中的exe、com、scr、pif文件：
X:\WINDOWS
X:\Winnt
X:\System Volume Information
X:\Recycled
%ProgramFiles%\Windows NT
%ProgramFiles%\WindowsUpdate
%ProgramFiles%\Windows Media Player
%ProgramFiles%\Outlook Express
%ProgramFiles%\Internet Explorer
%ProgramFiles%\NetMeeting
%ProgramFiles%\Common Files
%ProgramFiles%\ComPlus Applications
%ProgramFiles%\Messenger
%ProgramFiles%\InstallShield Installation Information
%ProgramFiles%\MSN
%ProgramFiles%\Microsoft Frontpage
%ProgramFiles%\Movie Maker
%ProgramFiles%\MSN Gamin Zone

將自身捆綁在被感染文件前端，并在尾部添加標記信息：
.WhBoy{原文件名}.exe.{原文件大小}.

與之前變種不同的是，這個病毒體雖然是22886字節，但是捆綁在文件前段的只有22838字節，被感染文件運行后會出錯，而不會像之前變種那樣釋放出{原文件名}.exe的原始正常文件。

另外還發現病毒會覆蓋少量exe，刪除.gho文件。

病毒還嘗試使用弱密碼訪問局域網內其它計算機：
password
harley
golf
pussy
mustang
shadow
fish
qwerty
baseball
letmein
ccc
admin
abc
pass
passwd
database
abcd
abc123
sybase
123qwe
server
computer
super
123asd
ihavenopass
godblessyou
enable
alpha
1234qwer
123abc
aaa
patrick
pat
administrator
root
sex
god
foobar
secret
test
test123
temp
temp123
win
asdf
pwd
qwer
yxcv
zxcv
home
xxx
owner
login
Login
love
mypc
mypc123
admin123
mypass
mypass123
Administrator
Guest
admin
Root
清除步驟
==========

1. 斷開網絡

2. 結束病毒進程
%System%\drivers\spoclsv.exe

3. 刪除病毒文件：
%System%\drivers\spoclsv.exe

4. 右鍵點擊分區盤符，點擊右鍵菜單中的“打開”進入分區根目錄，刪除根目錄下的文件：
X:\setup.exe
X:\autorun.inf

5. 刪除病毒創建的啟動項：

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"svcshare"="%System%\drivers\spoclsv.exe"

6. 修改注冊表設置，恢復“顯示所有文件和文件夾”選項功能：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001

7. 修復或重新安裝反病毒軟件

8. 使用反病毒軟件或專殺工具進行全盤掃描，清除恢復被感染的exe文件
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
殺auto
在資源管理器里選擇“工具－－文件夾選項－－查看”，勾選“顯示所有文件和文件夾”并去掉“隱藏受保護的操作系統文件”前的勾。
1 如果各分區根目錄下除autorun.inf外還有什么其它隱藏文件，有的話，記下名字然后將它刪除（如果能刪除的話）。右擊這個Autorun.inf 文件，選擇用記事本打開，查看里面的內容，記下其中“open=”這個等于后面的那個文件名。然后將這個Autorun.inf也刪除。重新啟動電腦。

2.下載一個軟件：冰刃(http://www.ttian.net/website/2005/0829/391.html)
這是一個綠色軟件，下載解壓縮后即可使用。

3.直接在冰刃左側的欄里通過“文件”直接定位到這個文件所在的文件夾下，找到這個文件。

4.通過按鈕“創建時間”對這個文件夾下的文件進行排序，仔細查看與這個文件在創建時間是同一天的所有文件（但是不是都是與它一樣是病毒文件，需要你判斷）。右擊它們一一刪除。

5.以記下的、Open后面的這些文件的文件名搜索整個注冊表，刪除搜索到的鍵值。

6.重啟電腦。

如果這樣操作以后，出現雙擊分區不能打開分區的情況，請按下面的操作即可。
打開我的電腦 工具 文件夾選項 文件類型 找到“驅動器” 點下方的“高級” 點選“編輯文件類型”里的“新建” 操作里填寫“open”（這個可隨意填寫） 用于執行操作的應用程序里填寫explorer.exe 確定
隨后返回到“編輯文件類型”窗口，選中open 設為默認值 確定 現在再打開分區看下，是不是已恢復正常？

手工清理方法(超強見效)
處理方法

1,結束病毒進程，如FuckJacks.exe，spoclsv.exe進程。但因為中毒后無法打開任務管理器，

所以必須通過第三方進程管理器來結束進程，建議使用http://www.vccn.com.cn/download/pv.exe，

用此工具打開進程后，找到相關的進程，并將之結束。結束進程后，任務管理器和注冊表就可

以打開了

2,修改注冊表.

以下位置為注冊表十三處啟動項位置，去掉可疑啟動項

HKCU-Software-Microsoft-WindowsNT-CurrentVersion-Windows-load

HKLM-Software-Microsoft-WindowsNT-CurrentVersion-Winlogon-Userinit

HKCU-Software-Microsoft-WindowsCurrentVersion-Policies-Explorer-Run

HKLM-Software-Microsoft-WindowsCurrentVersion-Policies-Explorer-Run

HKCU-Software-Microsoft-Windows-CurrentVersion-Run-Services-Once

HKLM-Software-Microsoft-Windows-CurrentVersion-Run-Services-Once

HKCU-Software-Microsoft-Windows-CurrentVersion-Run-Services

HKLM-Software-Microsoft-Windows-CurrentVersion-Run-Services

HKCU-Software-Microsoft-Windows-Current-Version-RunOnce

HKLM-Software-Microsoft-Windows-Current-Version-RunOnce

HKLMSoftwareMicrosoftWindowsCurrentVersionRunOnceEx

HKCU-Software-Microsoft-Windows-CurrentVersion-Run

HKLM-Software-Microsoft-Windows-CurrentVersion-Run

修改以下位置，目的是可以顯示隱藏文件，因為熊貓病毒不允許顯示隱藏文件，所以我們要改

回來把ckeckedvalue的值由0改為1即可。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\

Folder\Hidden\SHOWALL]

"CheckedValue"=dword:00000001

3,顯示隱藏文件，我的電腦>工具>文件夾選項>查看,顯示所有文件或文件夾，去掉隱藏受保護的

操作系統文件前面的鉤，找到病毒文件，%System32%\FuckJacks.exe或

%System32%\Drivers\spoclsv.exe或%System32%\twunk32.exe并將其刪除，找到病毒文件c:\autorun.inf,c:\setup.exe,d:\autorun.inf,d:\setup.exe,e:\autorun.inf,e:\setup.exe,,,,,(注意這些文件都

是隱藏文件，如果你沒顯示隱藏文件的話，那看不到)并在相關目錄底下新一個同名的文件，并

設置為只讀，如果是NTFS分區，則去掉其他所有的NTFS權限.

4,做完以上步驟后，重啟電腦，熊貓燒香病毒原本就手工處理了，但本機被感染的文件還在，

在用殺毒軟件全盤掃描前，千萬不要執行本機的其他應用程序或.exe文件，切記，切記

熊貓病毒：
1. 斷開網絡

2. 結束病毒進程
%System%\FuckJacks.exe

3. 刪除病毒文件：
%System%\FuckJacks.exe

4. 右鍵點擊分區盤符，點擊右鍵菜單中的“打開”進入分區根目錄，刪除根目錄下的文件：
X:\autorun.inf
X:\setup.exe

5. 刪除病毒創建的啟動項：

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"FuckJacks"="%System%\FuckJacks.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"svohost"="%System%\FuckJacks.exe"
6. 修復或重新安裝反病毒軟件

7. 使用反病毒軟件或專殺工具進行全盤掃描，清除恢復被感染的exe文件
中毒文件的恢復(僅個人觀點,只在自己的虛擬機上測試正常)

首先在清除病毒文件的同時不要刪除%SYSTEM%下面釋放FuckJacks.exe的這個文件,(注冊表里要清除干凈)

打開運行輸入gpedit.msc打開組策略-本地計算機策略-windows設置-安全設置-軟件限制策略-其它規則

在其它規則上右鍵選擇-新散列規則=打開新散列規則窗口

在文件散列上點擊瀏覽找到-%SYSTEM%下面釋放FuckJacks.exe文件.......安全級別選擇-不允許的 確定后重啟(一定重啟)

重啟后可以雙擊運行已經被熊貓感染的程序-運行程序后該FuckJacks.exe文件會在注冊表里的Run鍵下建立啟動項(不會有問題的)

雙擊運行被感染的程序已經恢復原來樣子了,全部回復后用SRENG2把FuckJacks.exe在注冊表里的啟動項刪除即可!

聲明不能保證100%能成功。我只在在虛擬機中運行過。

2AUTO毒

一、關閉病毒進程
Ctrl + Alt + Del 任務管理器，在進程中查找 sxs 或 SVOHOST（不是SVCHOST，相差一個字母），有的話就將它結束掉
二、顯示出被隱藏的系統文件
運行——regedit
HKEY_LOCAL_MACHINE"Software"Microsoft"windows"CurrentVersion"
explorer"Advanced"Folder"Hidden"SHOWALL，
將CheckedValue鍵值修改為1
這里要注意，病毒會把本來有效的DWORD值CheckedValue刪除掉，新建了一個無效的字符串值CheckedValue，并且把鍵值改為 0！我們將這個改為1是毫無作用的。（有部分病毒變種會直接把這個CheckedValue給刪掉，只需和下面一樣，自己再重新建一個就可以了）
方法：刪除此CheckedValue鍵值，單擊右鍵 新建——Dword值——命名為CheckedValue，然后修改它的鍵值為1，這樣就可以選擇“顯示所有隱藏文件”和“顯示系統文件”。
在文件夾——工具——文件夾選項中將系統文件和隱藏文件設置為顯示
三、刪除病毒
在分區盤上單擊鼠標右鍵——打開，看到每個盤跟目錄下有 autorun.inf 和 sxs.exe 兩個文件，將其刪除。
四、刪除病毒的自動運行項
打開注冊表 運行——regedit
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run
下找到 SoundMam 鍵值，可能有兩個，刪除其中的鍵值為 C:\WINDOWS\system32\SVOHOST.exe 的
最后到 C:\WINDOWS\system32" 目錄下刪除 SVOHOST.exe 或 sxs.exe
重啟電腦后，發現殺毒軟件可以打開，分區盤雙擊可以打開了

autorun.inf/auto.pif 是U盤病毒呀~
你看看很惡心的~居然偽裝成信息加載....受不了了....
爍爍殺掉U盤中的病毒的方法~~~
對移動存儲設備，中毒，把文件夾選項中隱藏受保護的操作系統文件鉤掉，點上顯示所有文件和文件夾，點擊確定，然后在移動存儲設備中會看到如下幾個文件，autorun.inf，auto.pif ,systerm.pif~都刪除掉，還有一個后綴為tmp的文件，也可以刪除，完成后，病毒就清除了。

小小補充：
就是在刪除autorun.inf，auto.pif ,systerm.pif這3個文件時，直接刪可能會刪不掉的，要先到進程管理那了先結束再刪除這文件，如果還不行就到安全模式里刪，這樣就一定行。

呵呵~~
不要以為這個是小小的病毒，它是不知不覺的在后臺運行的，它長期會占用你差不多20M內存，它隨系統啟動。它會莫名奇妙的使你的計算機在沉默中死亡。這個病毒任你格式化U盤也格不掉，用很多殺毒軟件也奈它不何。一般讓你看不出來，不信你可以把U盤插入電腦中再把“文件夾選項中隱藏受保護的操作系統文件鉤掉”，看看。。多出了不明的文件，那你就是中招了！有空檢查一下你的U盤吧~~~

gei你專殺~~~分分送來~!!~
Autorun病毒防御者 2.0.2.530
Autorun病毒防御者軟件是專門針對流行的U盤病毒和部分木馬開發的查殺程序。它獨有的精確查殺與擴展查殺雙查殺機制能夠徹底清除病毒和木馬的相關文件和殘余，不留痕跡。此外，軟件還有U盤病毒免疫、系統修復、殘余清理、病毒分析與診斷、U盤解鎖、U盤軟件寫保護等一系列完整的輔助工具，能夠讓您徹底遠離U盤病毒的困擾。

本軟件綠色、免費，體積小巧，查殺和清除能力強。是您查殺U盤病毒的好助手！

* 2007-10-08 更新到2.0.2.530正式版

- 增加“病毒現身！”的反向操作“病毒隱身！”功能。
- DLL反注入清理引擎增強，現在可以將絕大部分DLL病毒反注入后清除。
- 注冊表刪除引擎增強，現在可以將以前不能順利清除的病毒注冊表也清理出去。
- 病毒智能分析工具增強檢測，現在將會對所有關聯文件進行相關性檢查。
http://www.onlinedown.net/soft/56964.htm

然后你可以下載 unlocker：http://www.onlinedown.net/soft/24732.htm，安裝后，首先從任務管理器里把可疑病毒進程結束，然后找到病毒文件右鍵用unl3ocker刪除

你中了木馬“落雪”！它會偷盜你的QQ密碼！我也是昨天剛把它殺掉的??！這是現有殺毒軟件無法做到的，你必須手動殺毒！！ 那是我從網上一個叫電腦愛好者俱樂部的論壇里看到的，這個版主簡直是個天才??！下面是他的原話：解決“落雪”病毒的方法 癥狀：D盤雙擊打不開，里面有autorun.inf和pagefile.com文件 做這個病毒的人也太強了，在安全模式用Administrator一樣解決不了！經過一個下午的奮戰才算勉強解決。 我沒用什么查殺木馬的軟件，全是手動一個一個把它揪出來把他刪掉的。它所關聯的文件如下，絕大多數文件都是顯示為系統文件和隱藏的。 所以要在文件夾選項里打開顯示隱藏文件。 D盤里就兩個，搞得你無法雙擊打開D盤。里盤里的就多了！ D:autorun.inf D:pagefile.com C:Program FilesInternet Exploreriexplore.com C:Program FilesCommon Filesiexplore.com C:WINDOWS1.com C:WINDOWSiexplore.com C:WINDOWSfinder.com C:WINDOWSExeroud.exe（忘了是不是這個名字了，紅色圖標有傳奇世界圖標的） C:WINDOWSDebug*** Programme.exe(也是上面那個圖標，名字忘了-_- 好大好明顯非隱藏的) C:Windowssystem32command.com 這個不要輕易刪，看看是不是和下面幾個日期不一樣而和其他文件日期一樣，如果和其他文件大部分系統文件日期一樣就不能刪，當然系統文件肯定不是這段時間的。 C:Windowssystem32msconfig.com C:Windowssystem32 egedit.com C:Windowssystem32dxdiag.com C:Windowssystem32 undll32.com C:Windowssystem32finder.com 對了，看看這些文件的日期，看看其他地方還有沒有相同時間的文件還是.COM結尾的可疑文件，小心不 要運行任何程序，要不就又啟動了，包括雙擊磁盤 還有一個頭號文件！WINLOGON.EXE！做了這么多工作目的就是要干掉她！??！ C:WindowsWINLOGON.EXE 這個在進程里可以看得到，有兩個，一個是真的，一個是假的。 真的是小寫winlogon.exe，（不知你們的是不是），用戶名是SYSTEM， 而假的是大寫的WINLOGON.EXE，用戶名是你自己的用戶名。 這個文件在進程里是中止不了的，說是關鍵進程無法中止，搞得跟真的一樣！就連在安全模式下它都會 呆在你的進程里！ 我現在所知道的就這些，要是不放心，就最好看一下其中一個文件的修改日期，然后用“搜索”搜這天修改過的文件，相同時間的肯定會出來一大堆的， 連系統還原夾里都有??！ 這些文件會自己關聯的，要是你刪了一部分，不小心運行了一個，或在開始－運行里運行msocnfig，command，regedit這些命令，所有的這些文件全會自己補充回來！ 知道了這些文件，首先關閉可以關閉的所有程序，打開程序附件里頭的WINDOWS資源管理器，并在上面的工具里頭的文件夾選項里頭的查看里設置顯示所有文件和文件假，取消隱藏受保護操作系統文件，然后打開開始菜單的運行，輸入命令 regedit，進注冊表，到 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun 里面，有一個Torjan pragramme，這個明擺著“我是木馬”，刪！！ 然后注銷！ 重新進入系統后，打開“任務管理器”，看看有沒rundll32，有的話先中止了，不知這個是真還是假，小心為好。 到D盤（注意不要雙擊進入！否則又會激活這個病毒）右鍵，選“打開”，把autorun.inf和pagefile.com刪掉， 然后再到C盤把上面所列出來的文件都刪掉！全部刪除關聯文件注銷并重啟后,頭號文件已沒有出現在進程中但仍存在于C盤WINDOWS中還要再刪除,不過這時他不會再彈出窗口而束手就擒了.中途注意不要雙擊到其中一個文件，否則所有步驟都要重新來過！ 然后再注銷。 我在奮戰過程中，把那些文件刪掉后，所有的exe文件全都打不開了，運行cmd也不行。 然后，到C:Windowssystem32 里，把cmd.exe文件復制出來，比如到桌面，改名成cmd.com 嘿嘿 我也會用com文件，然后雙擊這個COM文件 然后行動可以進入到DOS下的命令提示符。 再打入以下的命令： assoc .exe=exefile （assoc與.exe之間有空格）回車然后再打 ftype exefile="%1" %* 回車 這樣exe文件就可以運行了。 如果不會打命令，只要打開CMD.COM后復制上面的兩行分兩次粘貼上去執行就可以了。 但我在弄完這些之后，在開機的進入用戶時會有些慢，并會跳出一個警告框，說文件"1"找不到。（應該是Windows下的1.com文件。）,最后用上網助手之類的軟件全面修復IE設置 最后說一下怎么解決開機跳出找不到文件“1.com”的方法： 在運行程序中運行“regedit”，打開注冊表，在[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon]中 把"Shell"="Explorer.exe 1"恢復為"Shell"="Explorer.exe"