常见木马清除

1. 冰河v1.1 v2.2 * Y7 V: |" @& ~, P, Q8 _5 n+ R
# d( J5 j% _- i' Y
这是国产最好的木马 + O) F. i% ?- l" B& H
清除木马v1.1
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run / j; f7 I4 V; R# k: ^
查找以下的两个路径，并删除
" C:\windows\system\ kernel32.exe" ' N# p1 U  Y; e+ @  v0 r
" C:\windows\system\ sy***plr.exe" ! F3 }5 H" H& {- I( Y
关闭Regedit
重新启动到MSDOS方式
删除C:\windows\system\ kernel32.exe和C:\windows\system\ sy***plr.exe木马程序 ! R5 m  w+ W0 B& L
重新启动。OK
) w& S' ]- a5 B# j

$ d6 t/ b! u/ e. Y  w7 L
清除木马v2.2 8 y, {; s- V: `6 T! ^5 f6 A: a: S; z7 |
服务器程序、路径用户是可以随意定义，写入注册表的键名也可以自己定义。 6 o1 A* x3 X; x3 V  p
因此，不能明确说明。
你可以察看注册表，把可疑的文件路径删除。 $ G3 V& F- y  k. y) o1 f) o( D4 v
重新启动到MSDOS方式 ; g0 ^, q% \; I3 m' t9 i2 T6 z
删除于注册表相对应的木马程序
重新启动Windows。OK # O1 ~4 C  X9 }$ m/ c. \- G) c

2. Acid Battery v1.0
清除木马的步骤： * R9 W! e. s, Y! p

3 E5 }! G0 p  ]; X9 C

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Explorer ="C:\WINDOWS\expiorer.exe"
关闭Regedit
重新启动到MSDOS方式 ; O; F# O' o5 }$ H, G- j
删除c:\windows\expiorer.exe木马程序
注意：不要删除正确的ExpLorer.exe程序，它们之间只有i与L的差别。
重新启动。OK
- x4 u) v9 D2 c/ z; |/ d

! F+ _& S" S" l6 X, a
" \5 }; a8 l$ V/ z
3. Acid Shiver v1.0 + 1.0Mod + lmacid 5 x' @! P/ W) v& C: c" A
清除木马的步骤： , f6 e3 }# }& X
  Z  F8 b- i% A* w9 k" J

" V: j# g  ~. S3 v
重新启动到MSDOS方式
删除C:\windows\MSGSVR16.EXE # G' [7 d& ?8 X1 w/ B$ l/ `
然后回到Windows系统 ; N8 F' A- J9 I
打开注册表Regedit 8 d# h2 Z' }, N6 C& T  W! {
点击目录至： . `7 f- y& F2 L4 _. h0 C4 k
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ! L1 r% }5 w4 N( v1 @) X
删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE" 9 ^6 u; J3 |3 [3 O
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE" : j# ?6 K, f+ p5 w' d* d& _0 E
关闭Regedit
重新启动。OK / ^& b/ X9 I4 ~# f2 b2 [" {$ [0 L# G

8 m3 n6 F6 h$ U; c8 M) T! c0 w

重新启动到MSDOS方式
删除C:\windows\wintour.exe然后回到Windows系统 : @1 ^4 d! q- V2 X( s
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 7 {& A3 j+ C1 J8 S/ v
删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE" + p7 G# W  d- t4 }
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"
关闭Regedit
重新启动。OK 2 P4 O' w9 p8 Z* `# ~2 a* _( _

6 L0 K( F2 s$ Y6 ~' L- p6 D
8 _6 [( |4 J* s7 d, e3 j* D1 N

4. Ambush
清除木马的步骤： 9 m; N( P, C$ V4 j6 I
, b* a& @* ^% L' a  H
7 c* m7 J: h5 q' w; a( o7 T) X
# }0 Q# \. p+ n6 d- M
打开注册表Regedit
点击目录至： 2 c. b* o) F1 m0 L$ r% Z
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的zka
= "zcn32.exe"
关闭Regedit * D- `) _; a7 ~9 F5 B* f+ B
重新启动到MSDOS方式 + j* H  f0 B  Q$ o2 D* C: f
删除C:\Windows\ zcn32.exe
重新启动。OK
+ R& P: B3 X+ Y( g

5. AOL Trojan
清除木马的步骤：
2 R3 I% y7 @/ j0 u/ u2 N( t

启动到MSDOS方式
删除C:\ command.exe（删除前取消文件的隐含属性）
注意：不要删除真的command.com文件。
删除C:\ americ~1.0\buddyl~1.exe（删除前取消文件的隐含属性）
删除C:\ windows\system\norton~1\regist~1.exe（删除前取消文件的隐含属性）

打开WIN.INI文件
在[WINDOWS]下面“run=”和“load=”都加载者特洛伊木马程序的路径，必须清除它们 7 p1 ~, H( ~! y, V5 H: @. h
： & n7 U6 s7 q, C8 _7 \3 @: g
run=
load=
保存WIN.INI
% K3 M# W! w) \" I

还要改正注册表Regedit 6 N* N1 [- P; p, T: n9 i& {, Z7 f
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 1 h. H& f' p9 k; }) Q8 d# o7 U
删除右边的WinProfile = c:\command.exe
关闭Regedit，重新启动Windows。OK

5 ~7 @, i9 U+ o3 z1 W4 m  ]
+ Y( O. D; l; k3 J; y/ n) p7 J  i

6. Asylum v0.1, 0.1.1, 0.1.2, 0.1.3 + Mini 1.0, 1.1
清除木马的步骤： ( l& F( Y9 [4 Z
% Y5 ~/ \8 Y% Z/ r+ ~2 Z

注意：木马程序默认文件名是wincmp32.exe，然而程序可以随意改变文件名。
我们可以根据木马修改的system.ini和win.ini两个文件来清除木马。
打开system.ini文件 " P: K# J: v5 N/ N
在[BOOT]下面有个”shell=文件名”。正确的文件名是explorer.exe
如果不是”explorer.exe”，那么那个文件就是木马程序，把它查找出来，删除。 $ e( ]* [' c% d+ X' ^* p3 Z
保存退出system.ini
打开win.ini文件
在[WINDOWS]下面有个run= ; W& E# |) T* _, `2 n: k- R8 A
如果你看到=后面有路径文件名，必须把它删除。 % ]8 [7 E* f& R: v" u
正确的应该是run=后面什么也没有。 ) b8 |, P; O" o2 F6 H$ e, S/ x: ?
=后面的路径文件名就是木马，把它查找出来，删除。
保存退出win.ini。
OK + t9 w5 r+ t9 H

2 _. t+ P3 ?0 w0 Z# V5 e

7. AttackFTP 0 q( S. m% r' H+ N8 z7 ~$ L) I0 W
清除木马的步骤：

  e( m/ L5 T" \: p, U9 t- t$ O8 q

打开win.ini文件 4 {# u' G6 Q3 x
在[WINDOWS]下面有load=wscan.exe
删除wscan.exe ，正确是load=
保存退出win.ini。
$ p, F. m1 A  G8 m1 J. K
0 d3 _9 i! x3 }" |! m

打开注册表Regedit
点击目录至： ) d' i- E% K9 d- v& X& l' Q5 U
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 0 U* k) S- L5 \2 D2 n) @
删除右边的Reminder="wscan.exe /s" 9 c$ g9 o! M' s5 R1 L
关闭Regedit，重新启动到MSDOS系统中 . n% u0 L) v, {( O0 ]) W8 m
删除C:\windows\system\ wscan.exe ) F/ e% K# ]* U! v
OK   P: E6 i' h- Y( e6 t
" ]" v# f1 X/ g+ ]' N" G
" |1 `8 |% Q$ J) ~& _

, k* C! p# a' }4 R
8. Back Construction 1.0 - 2.5
清除木马的步骤：

  X5 w5 q/ v3 i1 a

打开注册表Regedit 4 K, g- s+ B9 D
点击目录至： 6 _; t; i0 k& L6 S4 w- z
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run " s( g: e* S6 N% Z$ x
删除右边的"C:\WINDOWS\Cmctl32.exe"
关闭Regedit，重新启动到MSDOS系统中 : M4 ]/ v5 M( W1 e0 [% ^& j" X
删除C:\WINDOWS\Cmctl32.exe
OK

* ^( w3 [3 _) d) }' n1 X4 ]- J$ \" p: q

9. BackDoor v2.00 - v2.03
清除木马的步骤： $ ]9 }' V! O+ G, f/ u% R7 ]
5 P( i4 ?+ A/ l
5 v# }; _5 r! k, S+ O5 f4 H/ E
! F& L6 K5 T6 w" u" e
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 2 C8 x! a# J% l- J5 l
删除右边的c:\windows\notpa.exe /o=yes
关闭Regedit，重新启动到MSDOS系统中 * L# ~  r9 W1 U! _% e" p
删除c:\windows\notpa.exe
注意：不要删除真正的notepad.exe笔记本程序 ( {/ B' I& x3 p5 b# c+ O  A
OK
  l" o4 g$ G; ~- I1 h# u9 m

3 R2 ^2 a0 H' I0 ^# c- A1 N# M

10. BF Evolution v5.3.12
清除木马的步骤：

$ d5 k! d+ `% _6 T1 W8 Q! l
打开注册表Regedit
点击目录至： 0 B, T5 \$ h: d7 R# b2 L8 }: u
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 7 X, Q, \! z5 T; C
删除右边的(Default)=" "
关闭Regedit，再次重新启动计算机。
将C:\windows\system\ .exe（空格exe文件）

) c$ {9 V" C$ `

11. BioNet v0.84 - 0.92 + 2.21

4 t8 y/ I- y1 [+ `( x
0.8X版本是运行在Win95/98
0.9X以上版本有运行在Win95/98 和WinNT上两个软件 . q3 K7 I+ O+ t; G
客户－服务器协议是一样的，因而NT客户能黑95/98被感染的机器，和Win95/98客户能黑 5 r! ^) A, J' t, n% Z1 B7 p
NT被感染的系统完全一样。 # T2 V) w- N. V) W# b( h0 H
清除木马的步骤：
首先准备一张98的启动盘，用它启动后，进入c:\windows目录下，用attrib
libupd~1.exe -h 6 O" U2 p' X) h
命令让木马程序可见，然后删除它。
抽出软盘后重新启动，进入98下，在注册表里找到： # E+ {& ^! z# h. w6 c. Z! L
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run的子键WinLibU
pdate = "c:\windows\libupdate.exe -hide" 7 G- _2 T7 R( R6 j1 |
将此子键删除。

收藏分享评分

上善若水，厚德载物

回复引用

订阅 TOP

kf135

管理员

Rank: 10

模范管理员奖社区精英奖社区建设奖

UID: 9636
帖子: 3143
精华: 0
积分: 8113
威望: 397 点
金钱: 20449 ￥
魅力: 424 点
阅读权限: 200
性别: 男
注册时间: 2006-6-19
最后登录: 2009-1-9

2^#

发表于 2008-1-23 06:11 PM | 只看该作者

12. Bla v1.0 - 5.03
清除木马的步骤： 6 T: o3 d  w8 C# H
& K4 a: m. ?* g% P' X4 z# M
! l- q. P8 K- G, `

打开注册表Regedit ) m  h4 P/ v* B6 r% T: H
点击目录至： / N8 B- |1 P) v0 {
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run , i1 ]+ X  h4 A8 A; [  j' B
删除右边的Systemdoor = "C:\WINDOWS\System\mprdll.exe" 4 I3 s; G2 C( }$ U7 ^
关闭Regedit，重新启动计算机。 : R. Y: l2 l, x
查找到C:\WINDOWS\System\mprdll.exe和
C:\WINDOWS\system\rundll.exe / d  ]; u  |- q8 x
注意：不要删除C:\WINDOWS\RUNDLL.EXE正确文件。 1 `6 s3 v* b1 w- ]( E, e/ N- B9 f
并删除两个文件。 $ N' J8 z1 m! a
OK

( `7 m1 F5 {) x& \3 W7 K
13. BladeRunner # A8 f% t3 t& }' y2 y7 s
清除木马的步骤： 5 b/ I. x5 B8 i5 ?6 F
: W) H; k0 V  D6 j$ Q

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
可以找到System-Tray = "c:\something\something.exe"
右边的路径可能是任何东西，这时你不需要删除它，因为木马会立即自动加上，你需要
的是记下木马的名字与目录，然后退回到MS-DOS下，找到此木马文件并删除掉。
重新启动计算机，然后重复第一步，在注册表中找到木马文件并删除此键。 + K9 ]+ o3 v! v) r
( s' r7 a# A' [5 J2 T
1 w+ E0 p$ q2 [5 c& [( F! j0 V

14. Bobo v1.0 - 2.0
清除木马v1.0
打开注册表Regedit . M8 R& j# x1 u0 h0 A
点击目录至： 1 @- _* [& B& S) A. v9 z! m
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 9 ^3 Z' J# H" }+ a
删除右边的DirrectLibrarySupport ="C:\WINDOWS\SYSTEM\Dllclient.exe" 4 z9 k, O- r0 U
关闭Regedit，重新启动计算机。   f4 g  u' p$ q# p
DEL C:\Windows\System\Dllclient.exe 8 P) _$ `+ ^) J4 }# Q
OK
* n( m+ o8 T: g" O. c4 k+ y
5 g1 [: }' f, L
$ v( @9 n! u) ~3 C- g- X
清除木马v2.0
打开注册表Regedit 6 y, M: m: ?+ y: `5 o) l
点击目录至： * u8 Z, [6 n8 L
HKEY_USER/.Default/Software/Mirabilis/ICQ/Agent/Apps/ICQ Accel/   V' N% j# H7 Z
ICQ Accel是一个“假象“的主键，选中ICQ Accel主键并把它删除。 1 A4 X0 u0 {9 y1 B
重新启动计算机。OK 6 ?& N# K: C) y, B. Z' N

& W9 i3 t  x/ f2 f0 E
15. BrainSpy vBeta
清除木马的步骤： , H+ R9 k8 \+ h+ Y4 \8 `

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 1 B; U2 m% L$ s2 c( c2 _+ o: _
右边有 ??? = "C:\WINDOWS\system\BRAINSPY .exe"
???标签选是随意改变的。
关闭Regedit，重新启动计算机 4 `6 j$ l- }) _. R1 X0 `; i
查找删除C:\WINDOWS\system\BRAINSPY .exe
ＯＫ + s( _# A: O' x
4 T: i/ \1 }7 P2 X* q

16. Cain and Abel v1.50 - 1.51 2 T, @1 \3 W! l- I8 X5 `6 g$ Q
这是一个口令木马 . f3 c5 d8 {5 s# J3 m* }, W! @

进入MS-DOS方式 $ D5 C: u7 p; J4 e
查找到C:\windows\msabel32.exe
并删除它。ＯＫ

0 @) X+ U' w: u4 s9 E6 t
17. Canasson & v% [9 y; z3 G. }( x8 i& p
清除木马的步骤： / e3 o: b& [5 Z- R% ]
& l; }. F8 j* F7 Q) R4 |8 ]2 ~

打开WIN.INI文件 ' c1 {6 _4 N9 [7 q0 R# ~
查找c:\msie5.exe，删除全部主键
保存win.ini % D0 V6 ?. r/ N+ D' M  o
重新启动计算机 ! ?. @: S: }+ b9 I1 T% S1 {* o
删除c:\msie5.exe木马文件 4 I" T0 @- E. J" T
ＯＫ 4 g) C* I- U4 t& n" v. I9 x+ Q& |; p

18. Chupachbra ( {5 J. v' x) Y4 y
清除木马的步骤：
) X; i, {" ?6 x" @4 r
7 \' z% b6 x8 x+ E

打开WIN.INI文件
[Windows]的下面有两个行
run=winprot.exe
load=winprot.exe & `6 r- w; x- ]: p
删除winprot.exe 5 E+ j/ ^9 n- }* b
run=
load=
保存Win.ini，再打开注册表Regedit 4 _" g, K9 |! d. X# X- M
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的System Protect = winprot.exe
重新启动Windows
查找到C:\windows\system\ winprot.exe，并删除。
ＯＫ ' ^( J& L4 ]. Q
% r3 W4 G6 a+ K8 ]
4 i7 o' [7 |8 E6 M+ D9 [, Q6 V0 {) B
19. Coma v1.09 3 C5 o- Q+ W0 @
清除木马的步骤： 5 U' [1 ?( ]4 G3 i5 v
7 F( L8 O' H, j5 o* ]4 |- e
% Y# t8 k4 D. \) n$ T' |* l! m

打开注册表Regedit ! M5 |3 X' g. _0 Q' F
点击目录至： 2 \6 n: h% x$ k2 @* R) O
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的RunTime = C:\windows\msgsrv36.exe % [+ J5 y" e& x, B& L- J  F$ f
重新启动Windows ' C- u  y% V5 |
查找到C:\windows\ msgsrv36.exe，并删除。
ＯＫ * m, b/ F& \) R/ a/ Q) n' Q$ j/ r  p0 ?
( R; ?% z) \/ W; t; @/ f, W7 q

20. Control
清除木马的步骤： : @- k6 o7 [/ F$ B/ b
8 W% h. E/ t, P! N7 I

打开注册表Regedit , s; D, c9 i0 E+ N1 c* E3 c1 Y
点击目录至： 4 t: m/ f, ~% a  p
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的Load MSchv Drv = C:\windows\system\MSchv.exe
保存Regedit，重新启动Windows
查找到C:\windows\system\MSchv.exe，并删除。

& W8 n" {! @$ q) R5 f; w2 E$ z# b) i1 L
21. Dark Shadow
清除木马的步骤：
3 S% u: D, o8 B4 p$ U
4 F0 S6 c9 O0 e' C, e" Z

打开注册表Regedit
点击目录至： 8 D, v2 S- {3 e, ?
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\RunServices
删除右边的winfunctions="winfunctions.exe"
保存Regedit，重新启动Windows
查找到C:\windows\system\ winfunctions.exe，并删除。 ' `1 A4 Y" `. N1 u" p
ＯＫ

上善若水，厚德载物

回复引用

TOP

kf135

管理员

Rank: 10

模范管理员奖社区精英奖社区建设奖

UID: 9636
帖子: 3143
精华: 0
积分: 8113
威望: 397 点
金钱: 20449 ￥
魅力: 424 点
阅读权限: 200
性别: 男
注册时间: 2006-6-19
最后登录: 2009-1-9

3^#

发表于 2008-1-23 06:11 PM | 只看该作者

22. DeepThroat v1.0 - 3.1 + Mod (Foreplay) / n5 S1 W4 {1 k
清除木马的步骤： $ x4 {- t& k, X4 C1 N- a

打开注册表Regedit
点击目录至： 6 T! z  N6 C, P+ H# l
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run - I! P  s) q* P8 ]: J
版本1.0
删除右边的项目System32=c:\windows\system32.exe ( C6 M8 b5 F" H; I( S
版本2.0-3.1 . P8 N, W) ]1 i. ^
删除右边的项目SystemTray = Systray.exe $ L+ g) N2 o, M7 l
保存Regedit，重新启动Windows : E* p. a: _( V- ^' y$ E2 e: W6 h9 n
版本1.0删除c:\windows\system32.exe 9 ^3 Z2 |9 D, X, R. l  m4 E
版本2.0-3.1 8 `* h3 j) K9 s
删除c:\windows\system\systray.exe 9 d2 K1 |, N0 @1 ]  \- R
ＯＫ " E+ U: Z0 T' z
+ q% ^4 v# U. O& ^/ h. l
5 n6 f8 S% x5 S+ s
23. Delta Source v0.5 - 0.7 ! D3 p  U, Z5 ^
清除木马的步骤：
9 ~. ?- \3 Y5 I8 c, V4 x5 W

打开注册表Regedit 2 v! a4 w: _( R; q
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run , @: i0 H3 O; _* _- x* V- M
删除右边的项目：DS admin tool = C:\TEMPSERVER.exe ) g% Z6 ]4 u( @: I! `
保存Regedit，重新启动Windows
查找到C:\TEMPSERVER.exe，并删除它。 2 Y- s' @: U2 Q$ X5 \$ `
ＯＫ + @, B$ [8 q4 ?3 o( I

1 Y0 _, B6 s! I) D  Q
24. Der Spaeher v3
清除木马的步骤：

& E' {8 @0 D1 W
打开注册表Regedit - G8 g1 w0 `2 y5 g, y
点击目录至： " d, o! V4 S1 l  A2 d: t
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run * a* b2 H; S4 G, P
删除右边的项目：explore = "c:\windows\system\dkbdll.exe "
保存Regedit，重新启动Windows
删除c:\windows\system\dkbdll.exe木马文件。
ＯＫ
" N: _( J' b/ W

25. Doly v1.1 - v1.7 (SE) 2 e% i4 n8 M- A0 T* f# T+ n
清除木马V1.1-V1.5版本： / y+ f& i  y6 o8 i5 N  Y

1 S) |: l5 `' L+ i. m

这几个木马版本的木马程序放在三处，增加二个注册项目，还增加到Win.ini项目。
首先，进入MS-DOS方式，删除三个木马程序，但V1.35版本多一个木马文件mdm.exe。 ( a2 `4 Y7 K7 ^3 m9 g
把下列各项全部删除：
C:\WINDOWS\SYSTEM\tesk.sys
C:\WINDOWS\Start Menu\Programs\Startup\mstesk.exe 9 Q9 Y- A3 I& p+ N' o) d
c:\Program Files\MStesk.exe 3 y4 M; F* a9 w2 V* L" G/ r
c:\Program Files\Mdm.exe
重新启动Windows。 ! ~' H7 B; Q% J0 {

接着，打开win.ini文件 " z- l- {- ^4 g0 Q% R6 q! P
找到[WINDOWS]下面load=c:\windows\system\tesk.exe项目，删除路径，改变为load=

' n5 {- m+ n% }  V' O+ C
1 y3 M$ [% R+ F6 {
保存win.ini文件。
/ w  x8 O& j( E# c, \$ r
8 f. R9 d: f0 d( _4 Q9 n

最后，修改注册表Regedit : |8 ?9 _& M, m, n
找到以下两个项目并删除它们 9 Q& D) O$ B; l6 I; A. Y
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 2 g+ s+ g! e3 @% }  m7 }. p8 R6 T! d
Ms tesk = "C:\Program Files\MStesk.exe"
和 . T% q- K( W( W0 L! b7 p* G
HKEY_USER\.Default\Software\Microsoft\Windows\CurrentVersion\Run
Ms tesk = "C:\Program Files\MStesk.exe" - s2 ~2 N* h% X3 x: d
再寻找到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ss   n  D( ?1 o: Q+ ^. o6 w
这个组是木马的全部参数选择和设置的服务器，删除这个ss组的全部项目。
关闭保存Regedit。
还有打开C:\AUTOEXEC.BAT文件，删除
@echo off copy c:\sys.lon c:\windows\StartMenu\Startup Itemsdel c:\win.reg
关闭保存autoexec.bat。 9 W3 ~4 W! S1 I% f3 I8 J. a( r
ＯＫ ' X( X) |, }9 q8 v
8 F" H+ e: \% Q( s* E

% q& Z( T8 @9 @0 k- L3 z: u0 `% v
清除木马V1.6版本：
该木马运行时，将不能通过98的正常操作关闭，只能RESET键。彻底清除步骤如下：
1．打开控制面板——添加删除程序——删除memory manager 3.0，这就是木马程序，但 5 y, i6 O& N+ r# n4 g! p8 R; g
是它并不会把木马的EXE文件删除掉。
2．用98或DOS启动盘启动（用RESET键）后，转入C:\，编辑AUTOEXEC。BAT，把如下内容 , P. Z: @9 D2 G
删除： & S4 q$ l) J/ d: x# x! _8 ]
@echo off copy c:\sys.lon c:\windows\startm~1\programs\startup\mdm.exe
del c:\win.reg
保存AUTOEXEC。BAT文件并返回DOS后，在C：\根目录下删除木马文件：
del sys.lon
del windows\startm~1\programs\startup\mdm.exe
del progra~1\mdm.exe
3．抽出软盘重新启动，进入98后，把c:\program files\目录下的memory manager 目录
删除。 ) C6 i: e9 H, f1 ]0 w4 H/ r: ~

清除木马V1.7版本： . |( X- {5 U* M' I" g2 q
首先，打开C:\AUTOEXEC.BAT文件，删除
@echo off copy c:\sys.lon c:\windows\startm~1\programs\startup\mdm.exe , m. K; r0 p  ^- Q( S8 Q& P! |
del c:\win.reg ; T1 P* A: D0 X
关闭保存autoexec.bat

然后打开注册表Regedit 4 g8 }4 m& _4 ]% W: [
点击目录至： . L: ~  b+ O6 _/ N( c1 l9 p1 U
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run ' _' c' e' u4 i& j3 `: c' S+ A
找到c:\windows\system\mdm.exe路径并删除这个项目 " g7 E+ p5 ]& T! [9 X2 J
点击目录至：
HKEY_USER/.Default/Software/Marabilis/ICQ/Agent/Apps/
找到"C:\windows\system\kernal32.exe"路径并删除这个项目
关闭保存Regedit。重新启动Windows。

! N6 l6 q. v( l$ R2 y6 }, D1 u
最后，删除以下木马程序：
c:\sys.lon - {2 ^2 [6 j9 w6 w; l" o
c:\iecookie.exe
c:\windows\start menu\programs\startup\mdm.exe 6 u8 ?" ^: \% b$ a- ~# ^6 R- u# K
c:\program files\mdm.exe
c:\windows\system\mdm.exe . l9 C3 T8 k: x
c:\windows\system\kernal32.exe
注意：kernal32是Ａ
ＯＫ ' t- \( W1 J0 z" U  u

8 d* l$ p  J7 X- X( N5 w
; E1 F3 l" s" U$ y( [5 d2 ?7 [' O" c
26. Donald Dick v1.52 - 1.55
清除木马V1.52-1.53版本：
# Y3 Y5 f' x5 l" c2 c
) M' a+ d, E4 S; d) O' y
( x- b% g" {/ ?* P1 J. m% s( ?
打开注册表Regedit , \2 Y" }  w3 d$ c7 U' k+ b) @
点击目录至：
HKEY_LOCAL_MACHINE\system\CurrentControlSet\Services\VxD\VMLDIR删除右边的项目
：StaticVxD = "vmldir.vxd" , n3 A3 z; x3 g. q/ ?* _
关闭保存Regedit，重新启动Windows 2 g  R$ h6 v. G* T7 W8 }8 i
删除C:\WINDOWS\System\vmldir.vxd
ＯＫ

- ]" b' Z, x7 M# t; Q" U; U
4 S. A; H5 |( ^- _0 a
清除木马V1.54-1.55版本： , w. ~, M, U3 i5 q9 x  ~* R/ h+ c

# q$ X  u# `/ W, p5 M6 ^0 C! }& A
$ v4 y* W8 u0 ]7 d
这两个版本跟上面的版本只是默认文件名不同，其它都一样， 8 ~" [0 v" E! w4 s2 ?
把vmldir.vxd改为intld.vdx即可。 " W  K$ C1 K! d5 h
# p4 ~" z0 H' ~
% C2 O0 a+ b4 u
27. Drat v1.0 - 3.0b ( L4 J6 E- G; Q: j! s- C& ~
清除木马的步骤：
$ t! E& }( Q$ G& O; D( v# z1 G
# X9 _# D2 U9 T2 a6 e1 K, [

打开注册表Regedit : ^- i5 X4 y) s7 K  {
点击目录至：hkey_classes_root\exefile\shell\open\command
找到@=SHELL32 \"%1\" %*把它更改为@="%1" %* ! l, r  j& @4 P, v& x
关闭保存Regedit，重新启动Windows。 0 u( F# @7 i4 f3 v  j
查找c:\windows\下shell32．＊文件，并删除它。 4 R! H: y# `* N4 f$ y1 B
ＯＫ 4 y$ \7 W$ t! y( v: R  M
  W! r6 b* w6 \  U9 ~

28. Eclipse 2000
清除木马的步骤： 1 J* O% L& D- }4 C+ O  b
' S$ H# Q# |# v$ c& R
$ A+ s7 `/ ]$ K0 u$ e" y: Y. a8 k

打开注册表Regedit 8 J+ I# d- O7 r& p# m
点击目录至： ) @0 z9 s( X( J* k% l8 H
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项
目：bybt = "c:\windows\system\eclipse2000.exe" 8 ~4 c! P9 v; J" l, S
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunServices删除 % f9 L- L( F$ ^  c
右边的项目：cksys = "c:\windows\system\ could be anything .exe" ; P( N) ~& v& c6 X* g
关闭保存Regedit，重新启动Windows * ?; o9 \: t1 |  C/ g
查找到eclipse2000.exe木马文件，并删除。
ＯＫ - V# g$ }3 J3 B3 e7 J3 V' A8 W# g

29. Eclypse v1.0
清除木马的步骤：
1 J- \$ Y! Q- U# H$ K; M
# N* `( E3 a5 ^- W* C
$ L9 F9 p' F/ E+ R4 k2 ?
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项   p+ L: R+ T  {3 I5 ~: s5 m- i% K
目：Rnaapp ="C:\WINDOWS\SYSTEM\rmaapp.exe"
关闭保存Regedit，重新启动Windows , ]! P3 c7 g" G$ \( _
删除C:\WINDOWS\SYSTEM\rmaapp.exe $ s; j3 y' ?# _8 c$ W" \$ _- \
注意：不要删除Rnaapp.exe : H8 l* n/ R: Y' R8 F: y
ＯＫ ( E" e2 E; A; O, X( b8 q

30. Executer v1 3 P) r) W& j  q& L
清除木马的步骤： 5 y+ Y) @3 x/ q

  ~' {: V9 o9 |) u! T

打开注册表Regedit
点击目录至： + V/ d: H) k5 Y2 p
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run在右边的项目
查找到"C:\windows\***ec.exe"，并删除。
关闭保存Regedit，重新启动Windows
相应删除木马程序文件。
ＯＫ

! o) U. ?$ {8 X# \2 U" _  E8 @
31. FakeFTP beta
清除木马的步骤： ! y$ c) w! w5 l2 I% R& V: e
2 E8 ^& k% f4 g0 o" q( s
% o5 w; B0 k% t; E( A3 ?% x& p
+ @9 ]0 G9 I( P8 Y- q" Z
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项 : N! J" A- X, j' V6 h/ P5 e
目：Rundll32 = rundll3.tww /h 4 j4 o/ A( W/ @6 u( ?
关闭保存Regedit，重新启动Windows
找到C:\windows\文件夹下的三个文件并删除它们
rundll3.bat - 9x.reg - nt.reg , O& B0 `/ b; T, F& b7 g
ＯＫ 8 _  x& a/ s* I5 T* v

32. Forced Entry
清除木马的步骤：
/ A3 c4 W( M' y9 g4 c
1 h. a% |$ S! d/ {) K- ^
& b2 Y; M7 B( B, k8 u0 K
打开注册表Regedit
点击目录至： 7 q% p, O4 t0 r6 s% s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项 2 o8 @4 A% Y- V
目：MicrosoftRegistration32 = "C:\somepath \trojanhrs.exe" 2 V" G7 Z: i/ P% l
关闭保存Regedit，重新启动Windows
由于路径容易改变，只要查找到trojanhrs.exe，并删除它。 ' a! U, j# w- l% |
* |; k" y+ M: X, o5 E" p0 |
( I- ^! h7 ~( |! D, [& _
33. GateCrasher v1.0 - 1.2 4 G# P, p4 U2 T- ~1 s( I
清除木马v1.0：
打开注册表Regedit
点击目录至： 1 J; ]9 j( H- W+ N9 q5 f7 A! M4 h+ f+ Y
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项 ) X  s5 @! H+ x# J1 d; F4 Y# X* L
目：Explore=c:\windows\explore.exe
关闭保存Regedit，重新启动Windows
然后，删除相应的木马程序。
ＯＫ
' n" u- N6 {7 N- K0 ]
' ], v% P# Z% y+ f. p8 _) i( p
+ ?8 U1 A8 c, \
清除木马v1.1： ' c" X2 o& v7 R1 y9 I* s
打开注册表Regedit " G, R% ]2 Q8 C: L
点击目录至： ( O  h6 Q( h( T: Y0 g- Z( m
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项
目：Inet=EXPLORE.EXE 4 ?$ p/ v: t% F8 H, z
关闭保存Regedit，重新启动Windows ! p" ?  j# U6 e6 X* n
然后，找到相应的木马程序，并删除。
ＯＫ 2 a# F9 L; t! ~) y4 ~
7 D7 x1 z9 h9 U
6 n/ P2 ?% W6 Y5 V8 |# v" K) Y

清除木马v1.2：
打开注册表Regedit 0 ]% J0 z5 e* ^2 D) \1 g+ L
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项   x' X! j  o7 P; c+ _4 r8 O$ d
目：Command = c:\windows\system.exe # D, }6 Q4 o1 y1 b& T7 k
9 ]# g& q8 N: i' o
2 C* _; N& s+ Q( L) y: M8 j
8 L7 M- Q# x" G
关闭保存Regedit，重新启动Windows
然后，找到相应的木马程序，并删除。
ＯＫ

34. Girlfriend v1.3x (Including Patch 1 and 2) 8 l% f+ ~. s1 `' Z
清除木马的步骤：

9 V/ n8 L6 T) B5 d  B' K( K2 V# M
2 M& _8 V0 A# @
打开注册表Regedit
点击目录至： & U4 B, n" W2 E8 m% u- U
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项 + a+ S! E% }; {8 X
目：Windll.exe ="C:\windows\windll.exe"
Regedit里也保存着服务器的数据 * J/ ]+ F- b8 Q6 t
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\General 9 q3 d# Q1 B# R; P3 L
删除General项目标题
关闭保存Regedit，重新启动Windows 5 Y  {/ W- n. O: x! w
然后，找到相应的木马程序，并删除。

上善若水，厚德载物

回复引用

TOP

返回列表