木马winlogon的解决方法zz
最近中了winlogon，真可怕，现在搞定了。贴点方法给大家目前市场上的瑞星，江民，毒霸，赛门铁克，卡巴斯基，趋势等杀毒软件都杀不了WINLOGON病毒，只有用手工杀，具体清除步骤如下：
一，用第三方的进程管理器干掉winlogon.exe，注意用户名，用户名为System的是正常进程
二，打开注册表编辑器
1，找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
将值shell = Explorer.exe 1改为shell = Explorer.exe
2，删除自启动项
到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
将Torjan Program（很明显吧木马程序）C:\WINNT\winlogon.exe删了
3，到HKEY_Classes_root\.exe下默认值 winfiles 改为exefile
4.删除其他无用数据
删除以下两个键值：
HKEY_Classes_root\winfiles
HKEY_Local_machine\software\classes\winfiles
5，搜索iexplore.com，改为iexplore.exe
共有这几项
HKEY_CLASSES_ROOT\htmlfile\Shell\open\command
HKEY_CLASSES_ROOT\Applications\iexplore.exe\Shell\open\command
HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\Shell\OpenHomePage\command
HKEY_CLASSES_ROOT\ftp\Shell\open\command
6，搜索iexplore.pif 改为%Program Files%\Internet Explorer\iexplore.exe
共有这几项
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\iexplore.pif\shell\open\command
HKEY_CLASSES_ROOT\htmlfile\Shell\opennew\command
HKEY_CLASSES_ROOT\http\Shell\open\command
7. 搜索explorer.com 改为iexplore.exe
就是这项
HKEY_CLASSES_ROOT\Drive\shell\find\command
8，将以下键值的 No 修改为 Yes
HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\Internet Explorer\Main\\Check_Associations
三，打开我的电脑。要用右键打开C盘，不然病毒会在运行。
以下基本用是隐藏，系统文件。要在文件夹选项中打开查看所有文件选项。
大多数文件日期全为2006／06／17，你也可以用这个来找。
1，删除%windir%目录下的
1.com
ExERoute.exe
explorer.com
finder.com
WINLOGON.EXE
2， 删除%windir%\system32目录下的
command.pif
dxdiag.com
finder.com
MSCONFIG.COM
regedit.com
rundll32.com
3，删除%Program Files%目录下的
Internet Explorer\iexplore.com
Common Files\iexplore.pif
4，删除每个分区下的autorun.inf文件，（这个就是不能直接打开分区的原因）
5，删除以下文件夹：%windir%\debug
这样就基本删了它了，不足之处请高手指出
顺便说一下,最好用Total Commander与Registry workshop来找文件和注册表
winlogon实战：winlogon.exe木马识别及手工清除方法
这已经是第二次遭遇winlogon了，上次几经尝试后一格了之。近日连续看到几台机器都有相同遭遇，试图手工清除。
识别：
正常的winlogon系统进程，其用户名为“SYSTEM” 程序名为小写winlogon.exe。
而伪装成该进程的木马程序其用户名为当前系统用户名，且程序名为大写的WINLOGON.exe。
进程查看方式 ctrl+alt+del 然后选择进程。正常情况下有且只有一个winlogon.exe进程，其用户名为“SYSTEM”。如果出现了两个winlogon.exe，且其中一个为大写，用户名为当前系统用户的话，表明可能存在木马。
winlogon麻烦有三：
1、无法结束进程
2、安全模式无效
3、关联文件多，与系统文件似是而非，不好识别，且删后“exe”不能执行
解决：
尽快备份，然后关门杀毒
winlogon在安全模式用Administrator一样解决不了，只有全手动一个一个揪出来删。它所关联的文件如下，绝大多数文件都是显示为系统文件和隐藏的。 所以要在文件夹选项里打开显示隐藏文件:(以下文件在删除时切勿双击打开)
D:\autorun.inf
D:\pagefile.com
C:\Program Files\Internet Explorer\iexplore.com (与iexplore.exe类似)
C:\Program Files\Common Files\iexplore.com (与iexplore.exe类似)
C:\Program Files\Internet Explorer\INTEXPLORE.com
C:\WINDOWS\1.com
C:\WINDOWS\iexplore.com
C:\WINDOWS\finder.com
C:\WINDOWS\Exeroud.exe
C:\WINDOWS\Debug\*** Programme.exe(“传奇”图标，名字忘了)
C:\Windows\system32\command.com 这个不要轻易删，看看是不是和下面几个日期不一样而和其他文件日期一样，如果和其他文件大部分系统文件日期一样就不能删，当然系统文件肯定不是这段时间的。
C:\Windows\system32\msconfig.com
C:\Windows\system32\regedit.com
C:\Windows\system32\dxdiag.com
C:\Windows\system32\rundll32.com
C:\Windows\system32\finder.com
C:\Windows\system32\a.exe
对了，看看这些文件的日期，看看其他地方还有没有相同时间的文件还是.COM结尾的可疑文件，小心不
要运行任何程序，要不就又启动了，包括双击磁盘
还有一个头号文件！WINLOGON.EXE！做了这么多工作目的就是要干掉她！！！
C:\Windows\WINLOGON.EXE
这个在进程里可以看得到，有两个，一个是真的，一个是假的。
真的是小写winlogon.exe，（不知你们的是不是），用户名是SYSTEM，
而假的是大写的WINLOGON.EXE，用户名是你自己的用户名。
这个文件在进程里是中止不了的，说是关键进程无法中止，搞得跟真的一样！就连在安全模式下它都会
呆在你的进程里！我现在所知道的就这些，要是不放心，就最好看一下其中一个文件的修改日期，然后用“搜索”搜这天修改过的文件，相同时间的肯定会出来一大堆的，连系统还原夹里都有！！这些文件会自己关联的，要是你删了一部分，不小心运行了一个，或在开始－运行里运行msocnfig，command，regedit这些命令，所有的这些文件全会自己补充回来！
知道了这些文件，首先关闭可以关闭的所有程序，打开程序附件里头的WINDOWS资源管理器，并在上面的工具里头的文件夹选项里头的查看里设置显示所有文件和文件假，取消隐藏受保护操作系统文件，然后打开开始菜单的运行，输入命令 regedit，进注册表，到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
里面，有一个Torjan pragramme，这个明摆着“我是木马”，删！！
然后注销！ 重新进入系统后，把可疑文件再搜索删掉！中途注意不要双击到其中一个文件，否则所有步骤都要重新来过！ 然后再注销。
此时，前期工作完成，问题出现了：
把那些文件删掉后，所有的exe文件全都打不开了。
到C:\Windows\system32 里，把cmd.exe文件复制出来，比如到桌面，改名成cmd.com 嘿嘿 我也会用com文件，然后双击这个COM文件
然后行动可以进入到DOS下的命令提示符。
再打入以下的命令：
assoc .exe=exefile （assoc与.exe之间有空格）
ftype exefile="%1" %*
这样exe文件就可以运行了。
扫尾：在开机时会有些慢，并会跳出一个警告框，说文件"1"找不到。
解决：
在运行程序中运行“regedit”，打开注册表，在中
把"Shell"="Explorer.exe 1"恢复为"Shell"="Explorer.exe"
”硐种⒆矗核击盘符无法打开，或出现自动播放，在盘根目录下出现autorun.inf和pagefile.***文件，同时修改了大量的文件关联。打开任务管理器，出现大写的WINLOGON.EXE,该东东为盗号马，曾见过对该马儿的定义名称，为“落雪”，挺好听的名字噢~
≡谙低忱锎嬖诘牟《疚募及被修改的文件为:
D:\pagefile.com
C:\Program Files\Common Files\iexplore.com
C:\WINDOWS\1.com
C:\WINDOWS\iexplore.com
C:\WINDOWS\finder.com
C:\WINDOWS\Exeroud.exe
C:\WINDOWS\Debug\DebugProgramme.exe
C:\Windows\system32\command.com
C:\Windows\system32\msconfig.com
C:\Windows\system32\regedit.com
C:\Windows\system32\dxdiag.com
C:\Windows\system32\rundll32.com
C:\Windows\system32\finder.com
C:\Windows\WINLOGON.EXE
∏凹柑欤我曾经写过关于此类病毒的处理方式，处理问题的关键相同，大概思路还是如此
http://www.ljack.com.cn/article.asp?id=75
∫勒漳壳罢飧鯳INLOGON.EXE情况，基本过程为：
1.终止进程WINLOGON.EXE
终止进程可采用进程杀手或Procexp等工具来实现，注意别把小写的winlogon给禁止了
再进入注册表,删除如下
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Torjan pragramme
2.恢复文件关联
修复文件关联可采用偶在置顶日志里的反病毒常用工具里的东东
3.逐一删除染毒文件，清理或恢复注册表信息
"Shell"="Explorer.exe 1"
更改为
"Shell"="Explorer.exe "
把上面被列出后缀为com的文件在注册表里搜索，找到后，在注册表里的文件后缀由.com改为.exe
偶发现偶的书面表达跟不上了，看似上面简单3个步骤，可中间无数次重启，小心翼翼的操作，在整个处理过程中，多数会犯错，晕噢。
我无法决定搜索引擎的工作方式，但可以肯定的是我个人没有请你来！
请仔细查看两个工具下面的转载说明
如果因为使用工具产生的问题，本人概不负责！
还好，偶找到了一个处理该病毒的批处理文件，来自[动物安全]
简单方便处理，过程如下：
1.采用Procexp终止WINLOGON.EXE进程（千万要注意！是大写的WINLOGON，而不是小写winlogon）
2.运行下边提供下载的批处理
3.Procexp在置顶日志里的反病毒常用工具里有下载
下载文件 点击下载此文件
附上转此批处理的说明：
1、该批处理只适用于安装在C盘和D盘下的XP操作系统。
2、这不是杀毒软件，只是我个人针对该病毒及其系列变种采取应对措施，不能保证完无一失。因此，请做好系统备份，对此产生的后果我不负任何责任。（不过出事的几率好象不大^_^）
3、批处理同样适用用于杀软清除病毒后的注册表修复。
页:
[1]