在看文章之前：我想说前几天由于我个人的疏忽，接了一个广告。但是我完全不知道其站包含木马？只能说隐藏的非常的好，单看源代码是根本找不出，并且代码还经过加密。后来经过我再三的研究才发现。但是我知道这已经导致很多网吧中了木马，我也完全无能为力，所以只能提供这篇文章针对我犯的错误。打奇迹的朋友不用担心，改木马是完全针对传奇的！所以请网吧管理员进行手动清楚，以免后来者倒霉。
PWSteal.Lemir.Gen 还分好几种变种，以下是针对Expl0rer.exe，另外可能进程中还有是internet.exe这种。
首先下载：最新木马查杀软件进行检查
http://www.57sf.com/9_repentip/News200403210583.htm这里提供的都是很不错的。
另外介绍手工清楚方法，可以不通过软件。
* 提示：PWSteal.Lemir.Gen 是对一类窃号木马的统称，这个方法只适用于木马主本文件为 Expl0rer.exe 的 PWSteal.Lemir.Gen 木马，在使用此方法前请先确保自己遇到的是这个木马才可以
有许多用户反应一些杀毒软件在发现 PWSteal.Lemir.Gen(SysModule32.DLL,SysModule64.DLL) 木马后遇到无法隔离、删除或是清除后反复出现的问题。下面就告诉大家一个清除此木马简单有效的方法：
由此此木马会将自己注册为系统 Explorer 组件，即使删除后也会自动生成，所以一般的杀毒软件较难直接清除掉它，但费尔托斯特安全可以完全彻底清除掉此木马，并且删除后不会再次出现，所以如果手上有费尔托斯特安全的正式版可以使用它删除（建议先升级到最新版的病毒库）。如果没有也可以用下面的方法手工清除它（注意以下方法测试于Windows2000/XP/2003/NT，9x/me下可能有些略有不同，这时建议使用费尔托斯特安全清除）：
一、请先去把系统设置为“显示隐藏文件”，因为病毒以隐藏属性伪装，不做此设置将无法看到它，设置的方法如下（如果系统已经做了此设置可以跳过这一步）：
打开“我的电脑”；
依次打开菜单“工具/文件夹选项”；
然后在弹出的“文件夹选项”对话框中切换到“查看”页；
去掉“隐藏受保护的操作系统文件(推荐)”前面的对钩，让它变为不选状态；
在下面的“高级设置”列表框中改变“不显示隐藏的文件和文件夹”选项为“显示所有文件和文件夹”选项；
去掉“隐藏已知文件类型的扩展名”前面的对钩，也让它变为不选状态；
最后点击“确定”。
二、按“Ctrl+Alt+Del”键弹出任务管理器，找到EXPL0RER.EXE进程（注意第5个字母是数字0不是字母O），找到它后选中它并点击“结束进程”以结束掉木马进程。然后迅速做下面一步，只所以要迅速是因为如果动作慢的话，木马可能会自动恢复而再次运行起来，这样就无法删除掉其他木马文件了（如果EXPL0RER.EXE进程再次运行起来需要重做这一步）；
三、打开资源管理器进入到 “系统目录\Winnt\System32”下（如果您的win2000/nt/xp安装在C盘则就是 C:\Winnt\System32）。找到EXPL0RER.EXE文件（注意第5个字母是数字0不是字母O）、SysModule32.dll文件，然后直接删除它们。如果这时报告“文件正在使用无法删除”的类似提示则说明木马已经再次恢复了，需要从第二步开始重复做，并且从第二步到第三步一定要迅速，这里建议可以先打开资源管理器选中这几个待删除的文件，在做第二步即刚结束掉EXPL0RER.EXE进程后马上转过来删除这2个文件，这样一般就可以成功了；
四、同样在 “系统目录\Winnt\System32”目录下找到 SysModule64.dll 文件，尝试删除它，不过如果这时报告“此文件正在使用中无法删除”等类似提示也没有关系，稍后在第七步将介绍如何删除此文件；
五、打开资源管理器进入到 “系统目录\Winnt”下，找到一个 MFCD3O.DLL 文件，手工删除它；
六、打开“开始/运行”，输入“regedit”后“确定”以打开注册表编辑器，找到“HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}”键，把整个“{081FE200-A103-11D7-A46D-C770E4459F2F}”键全部删除。
七、注销当前用户或重新登录或重启电脑。之后再按第四步的方法删除掉 SysModule64.dll 文件，如果一切正常此时应该可以删除掉它了。
至此，如果一切顺利 PWSteal.Lemir.Gen 木马就应该完全从您系统中清除干净了。
Backdoor.D.WinSys
最近网络中总是充斥着一种网页木马 Backdoor.D.WinSys，此木马是以隐藏在网页中来传播的，并且主要是在一些音乐、电影网站中，只要用户访问这种网页就会自动下载并生成隐藏文件 WINSYS.cer、WINSYS.vbs 木马文件，接着会执行它，并且会在下次电脑启动时再次自动执行，由于隐藏在网页中所以流传甚广，危害很大。
不过费尔托斯特安全用户只要平时注意打开实时防护一般都可以有效阻止它的感染。但现在有一些新的传播形式，可以逃过检查，现在告诉大家一个窍门，使用此方法不但可以阻止这个木马而且可以极为有效的阻止这一类木马的感染和传播（费尔托斯特安全的未注册版用户虽然在发现此木马时不显示具体的名称，但使用下面的方法设置后同样可以起到防护作用）：
<br>费尔托斯特安全用户解决办法（未注册版同样有效）： <br>
<br>打开费尔托斯特安全的“文件”面板 <br>在左边的“实时扫描文件类型”中分别手工新增 PL、HTR、HTA、CER 文件类型
<br>重启费尔托斯特安全（停止托斯特->启动托斯特）
<br>这样，当再访问到含有这类破坏代码的网页时就会被费尔托斯特安全实时拦截到 HTML.Shell.Virus 病毒并报警，从而阻止它的运行。 <br>
<br>普通用户解决办法： <br>
<br>先手工把这个 C:\$NtuninstallqXXXXXX$ 目录整个删除，这里要注意这个目录的一般并不固定，但它的总体形式一般总是“$NtuninstallqXXXXXX”的形式。如果您在资源管理中看不到也许是因为您的系统没有打开“查看隐藏文件”的设置，请再这样设置一下：
<br>打开“我的电脑”
<br>依次打开菜单“工具/文件夹选项”
<br>然后在弹出的“文件夹选项”对话框中切换到“查看”页 <br>在下面的“高级设置”列表框中改变“不显示隐藏的文件和文件夹”选项为“显示所有文件和文件夹”选项
<br>最后点击“确定”
<br>做了这几步后您再找一下这个形式的目录，如果找到就把它整个删除掉 <br>在“开始/运行”中运行 regedit.exe 命令打开注册表编译器，然后直接 F3 键打开搜索窗口，并选择“查看“中的”“项”、“值”、“数据”项，在中间输入“winsys.cer”并搜索。这样只要在注册表中发现有此内容的您全部把它删除掉，直到搜索完毕找不到有关值。
<br>在未联接到 Internet 的情况下打开IE，并依次打开“工具/Internet选项/删除文件”，然后在弹出的对话框中选中“删除所有脱机内容”选项，然后点击“确定”。做完这一步之后先别着急关闭这个“Internet选项”对话框，请接着按下面的步骤继续做
<br>查看“Internet选项”对话框中“主页”处的地址，如果它不是您自己设置的网站主页或是一个非常陌生的网址则记下这个网址（只记 http:// 之后的内容，可以用鼠标选中后使用 Ctrl+C 键直接复制），然后按照第2步的方法从注册表全部搜索出并删除有关这个网址的注册表键或值
<br>这样就可以清除掉此木马了。
Backdoor.livup(msstart.exe)
最近有许多用户反应一些杀毒软件在发现 Backdoor.livup(msstart.exe) 木马后遇到无法隔离、删除或是清除后反复出现的问题。下面就告诉大家一个清除此木马简单有效的方法： <br>
<br>费尔托斯特安全可以完全彻底清除掉此木马，如果手上有它的正式版可以使用它删除（建议先升级到最新版的病毒库）。如果没有也可以用下面的方法手工清除它（注意以下方法测试于Windows2000/XP/2003/NT，9x/me下可能有些略有不同，这时建议使用费尔托斯特安全清除）： <br>
<br>一、请先去把系统设置为“显示隐藏文件”，因为病毒以隐藏属性伪装，不做此设置将无法看到它，设置的方法如下（如果系统已经做了此设置可以跳过这一步）： <br>
<br>打开“我的电脑”；
<br>依次打开菜单“工具/文件夹选项”；
<br>然后在弹出的“文件夹选项”对话框中切换到“查看”页；
<br>去掉“隐藏受保护的操作系统文件(推荐)”前面的对钩，让它变为不选状态； <br>在下面的“高级设置”列表框中改变“不显示隐藏的文件和文件夹”选项为“显示所有文件和文件夹”选项；
<br>去掉“隐藏已知文件类型的扩展名”前面的对钩，也让它变为不选状态； <br>最后点击“确定”。 <br>
<br>二、按“Ctrl+Alt+Del”键弹出任务管理器，找到名是“msstart.exe”的进程，找到后选中它并点击“结束进程”以结束掉木马进程； <br>
<br>三、打开资源管理器进入到 “系统目录\Winnt\System32”下（如果您的win2000/nt/xp安装在C盘则就是 C:\Winnt\System32），找到 msstart.exe 文件然后直接删除它；或者您也可以通过系统搜索（窗口键+F）功能来找出系统中所有的 msstart.exe 文件，然后全部删除掉。 <br>
<br>至此，如果一切顺利您就应该可以清除掉此木马了。
Backdoor.PWStealer
费尔托斯特安全可以完全清除掉此病毒（托斯特显示病毒名为“Backdoor.PWStealer”），如果手上有它的正式版可以使用它扫描并删除。如果当前没有也可以用下面的方法手工清除它（注意以下方法测试于Windows2000/XP/2003/NT，9x/me下可能有些略有不同，这时您可以使用费尔托斯特安全清除）： <br>
<br>一、请先去把系统设置为“显示隐藏文件”，因为病毒以隐藏属性伪装，不做此设置将无法看到它，设置的方法如下（如果系统已经做了此设置可以跳过这一步）： <br>
<br>打开“我的电脑”；
<br>依次打开菜单“工具/文件夹选项”；
<br>然后在弹出的“文件夹选项”对话框中切换到“查看”页；
<br>去掉“隐藏受保护的操作系统文件(推荐)”前面的对钩，让它变为不选状态； <br>在下面的“高级设置”列表框中改变“不显示隐藏的文件和文件夹”选项为“显示所有文件和文件夹”选项；
<br>去掉“隐藏已知文件类型的扩展名”前面的对钩，也让它变为不选状态； <br>最后点击“确定”。 <br>
<br>二、打开“开始/运行”，输入“regedit”后“确定”以打开注册表编辑器，进入到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run键下，在右边列中，找到一个名为“;Rundll”的值，如果找到请双击打开看，查看并记下“数值数据”中指示的文件及路径名，一般为“C:\WINNT\System32\XXXX.exe”的形式（但并不固定，这要根据具体的环境而变化），注意其中的“XXXX.exe”代表的是任意值，并不固定，而不是4个X，所以这时一定要记清这个“XXXX.exe”所代表的文件名，记下后然后从注册表中删除这个“;Rundll”值； <br>
<br>三、按“Ctrl+Alt+Del”键弹出任务管理器，找到在上面第二步中记下的“XXXX.exe”的进程（注意这里的XXXX.exe是具体的名称而不是4个X）。找到有相同的进程后选中它并点击“结束进程”以结束掉木马进程； <br>
<br>四、打开资源管理器进入到 “系统目录\Winnt\System32”下（如果您的win2000/nt/xp安装在C盘则就是 C:\Winnt\System32）。找到XXXX.exe和XXXX.dll文件然后直接删除它们（当然，这里的XXXX所代表的仍然不是4个X，而是具体的名称）；如果在删除过程中发现XXXX.dll删除不掉，而是报告“文件正在使用中无法删除”，则可以注销或重启一下电脑，然后再按此方法找到并删除它就可以了。 <br>
<br>至此，如果一切顺利您就应该可以清除掉此木马了。
TrojanDownloader.Win32.Dyfuca.o
最近有许多用户反应一些杀毒软件在发现一个名为 TrojanDownloader.Win32.Dyfuca.o 的木马后遇到无法删除的问题，或者是出现要求用户解压后再清除木马的提示，下面就告诉大家一个清除此木马的方法： <br>
<br>费尔托斯特安全是可以清除此木马的及它的压缩包的（费尔托斯特安全报告名称为 ActiveX.Muldist.AutoDownRun），并且无须解压，如果手上有它的正式版可以使用它删除（建议先升级到最新版的病毒库）。如果没有也可以用下面的方法手工清除它（注意以下方法测试于Windows2000/XP/2003/NT，9x/me下可能有些略有不同，这时建议使用费尔托斯特安全清除），不过这需要分 3 种情况，操作时请按自己的情况选择相应的处理办法： <br>
<br>一、不知道自己是否感染此木马或杀毒软件报告此木马是在 %windir%\Downloaded Program Files 目录下的情况。注意其中的 %windir% 代表的是您Windows的安装目录，比如：如果您使用的是Windows98/Me并且安装在C盘则此目录应该是C:\Windows\Downloaded Program Files；如果是Windows2000/XP/20003并且安装在D盘，则目录应该是D:\WINNT\Downloaded Program Files。如果是这种情况请按下面的方法做： <br>
<br>依次打开IE的 工具/Internet选项/“Internet临时文件”处的“设置”/查看对象； <br>在打开的列表中查找一个“程序文件”是“MultiDist”的项目，如果找不到就不用继续了，请参考其他情况下的处理办法；如果找到它则在它名子上点右键，接着在弹出的菜单中点“删除”；
<br>重新启动计算机；
<br>依次打开 开始/运行 ，输入 cmd 后确定（这是在NT/2000/XP/2003下，9x/Me下请输入 command），进入到命令行模式，然后用DOS命令进入到 %windir%\Downloaded Program Files 目录下，找到 MulDist.ocx 文件后用del命令删除它。这里需要提醒一下，如果在此目录中找不到这个文件请进入到当前目录下的各个子目录中找找，找到后删除。
<br>这样此木马就清除掉了，不过如果杀毒软件报告木马不是在 %windir%\Downloaded Program Files 目录下而是在 “系统目录:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\...” 目录下（如果您的win2000/nt/xp安装在C盘则就是 C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5）请使用下面的第2种方法清除它： <br>
<br>二、操作系统使用的是Windows2000/XP/2003，并且杀毒软件报告此木马是在 系统目录:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\XXXX 目录下的情况。注意其中的“系统目录”代表的是您Windows2000/XP/2003安装的盘符，比如：如果您的win2000/nt/xp安装在C盘则就是 C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\XXXX ，并且Content.IE5后面的XXXX代表的是不确定的子目录，不同的系统下情况都会不同，这可以根据杀毒软件的具体提示来确定，在记下这个目录及文件名后请按下面的方法做： <br>
<br>依次打开 开始/运行 ，输入 cmd 后确定（这是在NT/2000/XP/2003下），进入到命令行模式；
<br>在命令行模式下进入到这个 系统目录:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\XXXX 目录中，找到杀毒软件提示的那个文件，找到后直接用del命令删除它就行了。 <br>
<br>三、木马不是在上面任何一种目录中的情况： <br>
<br>这个方法最简单，用资源管理器找到文件后直接删除它就行了，而不用在意杀毒软件的“解开再同清除”的提示，直接删除相应的cab或ocx文件都可以。 <br><br>至此，如果一切顺利您就应该可以清除掉此木马了。
<br>特别提示：此木马实际上算不上一个木马，而只是一个下载并有自动执行特定文件的组件程序，它本身也许并没有危害，但常常被一些不怀好意的网站来传播木马，并且此组件在安装到系统时是象Flash组件一样会做出是否安装的询问的（除非自己的IE安全级别设置太低），但还是有很多用户由于不注意而选择了“是”才导致安装了它，从而为以后的木马打开了方便之门。
<br>因此在此特别提醒大家：上网期间如果遇到提示是否安装某某程序或组件的时候，即使提示程序已经经过认证，但只要自己对它不熟悉也最好不要选“是”。另外还至少要把自己IE的安全级别设置为“中”即“默认级别”。 <br><br> <br>
W32.Novarg@mm(Novarg.A/MyDoom.A/Shimgapi)
手工彻底清除 W32.Novarg@mm(Novarg.A/MyDoom.A/Shimgapi) 病毒的方法 作者:费尔安全实验室(原创), 日期:2004/1/30. 若转载请注明引自"费尔安全实验室"
2004.1.27 日爆发的新病毒 W32.Novarg@mm(又名:Novarg.A@mm, MyDoom.A, Shimgapi) 近期造成了大规模的破坏，影响范围之广、传播速度之快毫不逊于前段时间臭名昭著的 Sobig.F(大无极) 病毒，目前它还在疯狂的传播中，已经造成了严重的网络阻塞。费尔托斯特安全的病毒码自 v508400(2004.1.29) 版起就可完全清除掉此病毒及相关的主要注册表信息，并且费尔托斯特安全的实时防护功能可以有效防止此病毒附件的保存与执行，如果用户手上有它的正式版可以使用它进行扫描删除，如果当前没有也可以用下面的方法手工清除它：
* 注意：以下方法适用于Windows2000/XP/2003/NT系统，9x/me下可能略有不同，这时可以使用费尔托斯特安全进行清除。
(A) 如何防止感染 W32.Novarg@mm/MyDoom.A/Shimgapi 病毒
此病毒主要是以邮件进行传播的，如果在收取邮件时发现有如下特征的邮件建议立即删除：
邮件主题为下面其中之一：Test, Hi, Hello, Mail Delivery System, Mail Transaction Failed, Server Report, Status, Error
邮件的正文有时为随机乱码数据，有时为下面其中之一：
The message contains Unicode characters and has been sent as a binary attachment.
The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
Mail transaction failed. Partial message is available.
test
空
邮件含有附件，并且附件名为下面其中之一：document, readme, doc, text, file, data, test, message, body，同时附件的扩展名为下面其中之一：zip, bat, cmd, exe, scr, pif
这样基本就可以防止受到此病毒的感染和破坏了。如果系统已经感染或怀疑感染此病毒则可以接着用下面的方法尝试清除它。
(B) 如何手工清除系统中的 W32.Novarg@mm/MyDoom.A/Shimgapi 病毒：
一、请先把系统设置为“显示所有的文件和文件夹”，因为这样防止病毒以隐藏属性伪装，而无法找到它，设置的方法如下（如果系统已经做了此设置可以跳过这一步）：
打开“我的电脑”；
依次打开菜单“工具/文件夹选项”；
然后在弹出的“文件夹选项”对话框中切换到“查看”页；
去掉“隐藏受保护的操作系统文件(推荐)”前面的对钩，让它变为不选状态；
在下面的“高级设置”列表框中改变“不显示隐藏的文件和文件夹”选项为“显示所有文件和文件夹”选项；
去掉“隐藏已知文件类型的扩展名”前面的对钩，也让它变为不选状态；
最后点击“确定”。
二、打开“开始/运行”，输入“regedit”后“确定”以打开注册表编辑器，进入到 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 键下，在右边列中，看是否有一个名为“TaskMon”的键值，如果找不到则说明系统中可能没有感染此病毒，可以跳过这一步，不过为了防止万一建议继续执行后面的步骤；如果发现有此值则请双击打开它，查看并记下“数值数据”中指示的文件及路径名，一般为“C:\WINNT\System32\taskmon.exe”（但并不固定，这要根据具体的操作系统类型及安装路径来确定，比如如果当前使用的是Win98系统并且是安装在D盘上则应该为“D:\Windows\System\taskmon.exe”），在记下这个路径后从注册表中删除这个“TaskMon”值；
然后继续用注册表编辑器尝试查找一下 HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED} 键，如果能够找到则把整个 {E6FB5E20-DE35-11CF-9C87-00AA005127ED} 键删除；
三、按“Ctrl+Alt+Del”键弹出任务管理器，查找一下看是否有一个名为“taskmon.exe”的进程，找到后选中它并点击“结束进程”以结束掉病毒进程；
四、打开资源管理器进入到在第二步中记下的路径，找到taskmon.exe和shimgapi.dll文件然后直接删除它们。
至此，如果一切顺利您就应该可以清除掉此病毒了。
手工清除广外女生方法 diagcfg.exe
1.广外女生木马是一个驻留、启动方法比较典型性的木马，我以win2000为例直接切入正体。
如果一不小心运行了广外女生木马服务端会在C:\winnt\system32目录下增加一个文件“diagcfg.exe”，你也可以打开任务管理器查看，会发现其中有一个DIAGCFG。EXE的进程，这就是木马原身。但这时千万不能直接删除diagcfg.exe，否则系统就无法正常运行了。
再到注册表看看他到底藏在哪儿。（用注册表监察工具regsnap查出，在此不在累述过程，因为这不是本文重点）
HKEY_LOCAL_MACHINE\software\classes\exefile\shell\open\command\
old value:string""%1" %*"
new value:string:"C:\winnt\system32\DIAGCFG.EXE "%1" %*"
这个键值由原来的"%1" %*被修改为了C:\winnt\system32\DIAGCFG.EXE "%1" %*,广外女生为什么要这样修改呢？有什么作用呢？
这就是运行可执行文件格式，被改为C:\winnt\system32\DIAGCFG.EXE "%1" %*之后每次再运行可执行文件时都要先执行C:\winnt\system32\DIAGCFG.EXE 这个程序。
他的启动方法与一般木马不太一样，一般木马是在HKEY_\software\microsoft\windows\CurrentVersion\Run键值里加载自己的启动项目，但这种方式被杀毒软件所熟知，所以很容易查杀。而广外女生就比较狡猾了，他把启动项目设在了另外的位置，这也就是杀毒软件不容易查杀他的原因之一。
2.好了，现在就开始手工清除他了，睁大眼睛看着！
注意：清除广外女生木马的步骤次序不能颠倒，否则无法彻底清楚此木马！！！
⑴.开始/运行/“regedit”/确定。打开注册表。
HKEY_LOCAL_MACHINE\software\classes\exefile\shell\open\command\，先不要修改，因为如果这时修改注册表的话，diagcfg.exe进程仍然会立即把他改回来。
⑵.打开“任务管理器”，找到diagcfg.exe进程，选中他按“结束进程”来关掉这个进程。注意：一定也不要先关进程再打开注册表，否则执行regedit.exe时又会启动diagcfg.exe。前功尽弃！
⑶.把HKEY_LOCAL_MACHINE\software\classes\exefile\shell\open\command\的键值由原来的 C:\winnt\system32\DIAGCFG.EXE "%1" %*改为“%1” %* 。
⑷.这时就可以删除C:\winnt\system32\目录下的diagcfg.exe了。切记不可先删除这个文件，否则，就无法在系统中运行任何可执行文件了。
后述：广外女生木马后台监听端口为6267（默认），至于如何用fport查找广外女生木马端口和该木马如何查找snfw.exe、kav9x.exe的进程，也就是“天网防火墙”和“金山毒霸”的进程，然后将其杀掉。在此我就不多罗嗦了，因为本人很笨，至今还在用“一指禅”在键盘上乱戳，太辛苦了………………
欢迎转贴，如果愿意转贴就请保留我的名字。有不对的地方请朋友们指出，谢谢！
##############################################
广外女生的几种清除方法：
①：上文有图标出。——建议使用！
②：杀毒软件（升级最新病毒库，金山毒霸可以识别广外女生1.5c。）
③：修改注册表（摘自木马帝国）
1、由于该木马程序运行时无法删除该文件，因此启动到纯DOS模式下，找到System目录下的DIAGFG.EXE，删除它
2、由于DIAGCFG.EXE文件已经被删除了，因此在Windows环境下任何.exe文件都将无法运行。我们找到Windows目录中的注册表编辑器“Regedit.exe”，将它改名为“Regedit.com”；
3、回到Windows模式下，运行Windows目录下的Regedit.com程序（就是我们刚才改名的文件）；
4、找到HKEY_CLASSES_ROOT\exefile\shell\open\command，将其默认键值改成"%1" %*；
5、找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\ RunServices，删除其中名称为“Diagnostic Configuration”的键值；
6、关掉注册表编辑器，回到Windows目录，将“Regedit.com”改回“Regedit.exe”。
7、完成。
终于甩掉了广外女生。容易吗我！
********************************************************
我以前总是弄不明白这个木马的名字从何而来
前两天看帖子，原来是广东外贸学院女生网络组（大概是这个名字）
MM写的哦，真是厉害
把灰鸽子赶尽杀绝
注意：以下清除顺序不可以随意调整。
1.删除灰鸽子服务端程序
由于在Windows环境下灰鸽子的服务端是处于运行状态，无法直接删除，所以必须进入纯DOS状态删除，删除命令如下：
cd c:\windows\system
attrib-r-s-h kernel32.exe
attrib-r-s-h notepod.exe
del kernel32.exe
del notepod.exe
还要注意，如果灰鸽子服务端设置了exe 文件关联的话，将会导致注册表编辑器无法运行，所以在删除服务端之前，先将注册表编辑器重命名，以便以后对注册表进行更改，操作命令如下：
ren c:\windows\regedit.exe regedit.com
2.删除注册表中启动键
由于我们改了注册表编辑器名称，所以要打开注册表编辑器应为：打开”开始“菜单”中的“运行”然后输入“regedit.com".启动注册表编辑器后，依次打开“HKEY—LOCAL—MACHINE\Software\Microsoft\windows\Current Version\Run"，在右边的窗口中删除名称为”Loadwindows"的键值就可以了。
--------------------------------------------------------------------
清除文件关联
灰鸽子可以设置4种文件关联：exe关联，txt关联，ini关联，inf关联，其中exe关联可以和其他三种类型同时存在。
1.解除exe关联：
启动注册表编辑器，然后找到HKEY—CLASSES—ROOT\Exefile\shell\Open\Cpmmand主键，查看起默认的键值是不是系统默认的“%1%*”，如果被修改，则改成默认值.
2.解除txt关联：
打开注册表的HKEY—CLASSES—ROOT\txtfile\shell\open\command主键，其默认值的正常参数应该为“C：\windows\notepad.exe%1",如果不是，请修改为正确数据。
3.解除ini关联：
INI文件的的关联配置保存在注册表HKEY—CLASSES—ROOT\Inffile\shell\Open\Cpmmand主键下，其默值数据也是“C：\windows\notepad.exe%1”，如果被修改的话，也要改回来。
4解除inf关联：
打开注册表的HKEY—CLASSES—ROOT\Inffile\shell\Open\Cpmmand主键，和ini,txt文件关联一样，其默认值也是“C：\windows\notepad.exe%1”，如果被修改，也要立刻改回正确的数据。
至此，灰鸽子已经被你彻底扫地出门了，你不再担心成为别人"盘中餐”了。
查杀“冲击波”
“冲击波”病毒仍在肆虐，并且正改头换面躲避“追杀”。今天8时30分，“冲击波”病毒的两个最新变种被截获，分别命名为：冲击波Ⅱ(Worm.Blaster.B)、冲击波Ⅲ(Worm.Blaster.C)。公安部计算机病毒应急处理中心截至昨天已接到1.5万个求助电话。全球最大的互联网安全技术与解决方案供应商赛门铁克公司称，截至目前已经发现超过12.7万台电脑系统被感染，这个数字正在成倍增长。被“冲击波”病毒击中的电脑总是在启动1分钟后就反复重启，让人无法下载杀毒工具或打补丁。
反病毒专家介绍了两种办法：先将网络断开，使用启动盘，在DOS环境下清除病毒。用DOS系统启动盘启动进入DOS环境下，进入C盘的操作系统目录(操作命令集：C：；CDC：＼windows或CDc：＼winnt)；查找目录中的“msblast.exe”病毒文件(操作命令集：dirmsblast.exe／s／p)；找到后进入病毒所在的子目录，然后直接将该病毒文件删除(Delmsblast.exe)。
先将网络断开，进入安全模式，搜索C盘，查找msblast.exe文件，找到后直接将该文件删除，然后再次正常启动计算机。当用户手工清除病毒体后，应上网下载相应的补丁程序，可以先进入微软网站，下载相应的系统补丁。
选中使用IP包过滤技术，添加TCP、UDP的135、139、445端口，最新捕获得的"新流言"病毒还要关闭TCP4444和UDP69端口。
http://www.microsoft.com/china/t ... lletin/MS03-026.asp
被“冲击波”病毒感染的机器，最常见的现象就是系统在启动1分钟后就反复重启，用户这时候根本就没有时间上网去下载专杀工具或打补丁，那该怎么办呢？瑞星反病毒专家告诉你一个办法，让你在一分钟之内搞定系统。
一、使用启动盘，在DOS环境下清除病毒。1.当用户中招出现以上现象后，用DOS系统启动盘启动进入DOS环境下，进入C盘的操作系统目录.操作命令集：C:CD C:\windows (或CD c:\winnt)
2.查找目录中的“msblast.exe”病毒文件。命令操作集：dir msblast.exe /s/p
3.找到后进入病毒所在的子目录，然后直接将该病毒文件删除。Del msblast.exe
二、进入安全模式，手工清除病毒如果用户手头没有DOS启动盘，还有一个方法，就是启动系统后进入安全模式，然后搜索C盘，查找msblast.exe文件，找到后直接将该文件删除，然后再次正常启动计算机即可。
三、当用户手工清除了病毒体后，应上网先进入微软网站，下载相应的系统补丁，给系统打上补丁。
四、打完补丁后，用户应下载一个瑞星专杀工具，再次清除一下系统，然后到瑞星网站将瑞星杀毒软件升级到最新版，打开实时监控。
五、如果用户在手工清除完病毒后，一上网就再次感染病毒并重启，这时就只能再次手工清除病毒，然后通过非上网的方式给系统打补丁，然后再做其它操作。
此外，不少用户下了微软“冲击波”补丁后打不上去，原因是没有打过SP2以上的补丁包，此处是SP4的下载地址集合。
热门病毒：“高速路”病毒
(TrojanSpy.Win32.Superway.d.enc)：警惕程度★★★☆，监控型木马病毒，通过网络传播，依赖系统: WIN9X/NT/2000/XP。病毒启动后病毒会将自己安装到系统目录下(C:\WINDOWS或C:\WINNT目录)并修改注册表的自启动项，在“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”中加入“TaskMontier= C:\WINNT\Mon.exe”的键值，
以便下次系统启动时病毒能自动运行。该病毒还会将自己分别拷贝到D盘根目录和E盘根目录下并且生成一个相应的Autorun.inf文件，这样，只要用户浏览这两个分区，病毒就能被执行，从而增大了病毒的感染机会。病毒启动后，会驻留系统，然后监控整个计算机，与外部的病毒程序沟通，可以造成用户计算机被控制、重要信息被泄露等后果。
“若虎”病毒(Trojan.PSW.Rohu.server.enc)：警惕程度★★★，木马病毒，通过网络传播，依赖系统: WIN9X/NT/2000/XP。该病毒由三部分构成：制造程序、服务器端GetPin.exe和客户端GETPIN.dll。病毒运行时会通过制造程序，来设置接收密码的邮箱，并生成病毒服务器程序。然后病毒服务器程序GetPin.exe会将客户端GetPin.dll释放到目标计算机中，这时该病毒就能截取用户各种的输入信息来获得用户的各种密码信息。
Windows 2000 Service Pack 4 简体中文版下载地址：
http://download.microsoft.com/do ... 9c0e6/w2ksp4_cn.exe
Windows 2000 Service Pack 4 英文版下载地址：
http://download.microsoft.com/do ... D095E/W2KSP4_EN.EXE
Windows 2000 Service Pack 4 繁体中文版下载地址：
http://download.microsoft.com/do ... 3b307/W2KSP4_tw.EXE
Windows 2000 Service Pack 4 Hong Kong中文版下载地址：
http://download.microsoft.com/do ... c3acb/W2KSP4_hk.EXE
微软RPC缓冲区漏洞补丁
http://download.sina.com.cn/cgi-bin/detail.cgi?s_id=9021
网络公牛（Netbull）
网络公牛又名Netbull，是国产木马，默认连接端口23444，最新版本V1.1。服务端程序newserver.exe运行后，会自动脱壳成checkdll.exe，位于C:/WINDOWS/SYSTEM下，下次开机checkdll.exe将自动运行，因此很隐蔽、危害很大。同时，服务端运行后会自动捆绑以下文件:
win9x下：捆绑notepad.exe；write.exe，regedit.exe，winmine.exe，winhelp.exe；
winnt/2000下：(在2000下会出现文件改动报警,但也不能阻止以下文件的捆绑)notepad.exe；regedit.exe，reged32.exe；drwtsn32.exe；winmine.exe。
服务端运行后还会捆绑在开机时自动运行的第三方软件(如:realplay.exe、QQ、ICQ等)上。在注册表中网络公牛也悄悄地扎下了根，如下：
[HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Run] "CheckDll.exe"=
"C:/WINDOWS/SYSTEM/CheckDll.exe"
[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/
RunServices]
"CheckDll.exe"="C:/WINDOWS/SYSTEM/CheckDll.exe"
[HKEY_USERS/.DEFAULT/Software/Microsoft/Windows/CurrentVersion/Run]
"CheckDll.exe"=
"C:WINDOWSSYSTEMCheckDll.exe"
在我看来，网络公牛是最讨厌的了。它没有采用文件关联功能，采用的是文件捆绑功能，和上面所列出的文件捆绑在一块，要清除非常困难！你可能要问：那么其它木马为什么不用这个功能？哈哈，其实采用捆绑方式的木马还有很多，并且这样做也有个缺点：容易暴露自己！只要是稍微有经验的用户，就会发现文件长度发生了变化，从而怀疑自己中了木马。
清除方法：
1、删除网络公牛的自启动程序C:WINDOWSSYSTEMCheckDll.exe。
2、把网络公牛在注册表中所建立的键值全部删除（上面所列出的那些键值全部删除）
3、检查上面列出的文件，如果发现文件长度发生变化（大约增加了40K左右，可以通过与其它机子上的正常文件比较而知），就删除它们！然后点击“开始－>附件－>系统工具－>系统信息－>工具－>系统文件检查器”，在弹出的对话框中选中“从安装软盘提取一个文件(E)”，在框中填入要提取的文件(前面你删除的文件)，点“确定”按钮，然后按屏幕提示将这些文件恢复即可。如果是开机时自动运行的第三方软件如:realplay.exe、QQ、ICQ等被捆绑上了，那就得把这些文件删除，再重新安装。
Netspy（网络精灵）
Netspy又名网络精灵，是国产木马，最新版本为3.0，默认连接端口为7306。在该版本中新添加了注册表编辑功能和浏览器监控功能，客户端现在可以不用NetMonitor，通过IE或Navigate就可以进行远程监控了。服务端程序被执行后，会在C:\Windows\system目录下生成netspy.exe文件。同时在注册表HKEY_LOCAL_MACHINE\software\ microsoft\windows\CurrentVersion \Run\下建立键值C\windows\ system\netspy.exe，用于在系统启动时自动加载运行。
清除方法：
1.重新启动机器并在出现Staring windows提示时，按F5键进入命令行状态。在C:\windows\system\目录下输入以下命令：del netspy.exe；
2.进入HKEY_LOCAL_MACHINE\
Software\microsoft\windows\ CurrentVersion\Run\，删除Netspy的键值即可安全清除Netspy。
SubSeven
SubSeven的功能比起BO2K可以说有过之而无不及。最新版为2.2(默认连接端口27374)，服务端只有54.5k，很容易被捆绑到其它软件而不被发现。最新版的金山毒霸等杀毒软件查不到它。服务器端程序server.exe，客户端程序subseven.exe。SubSeven服务端被执行后，变化多端，每次启动的进程名都会发生变化，因此很难查。
1.打开注册表Regedit，点击至： HKEY_LOCAL_MACHINE\SOFTWARE\
Microsoft\Windows\CurrentVersion\Run和RunService下，如果有加载文件，就删除右边的项目：加载器=“c:\windows\system\***”。注：加载器和文件名是随意改变的
2.打开win.ini文件，检查“run=”后有没有加上某个可执行文件名，如有则删除之。
3.打开system.ini文件，检查“shell=explorer.exe”后有没有跟某个文件，如有将它删除。
4.重新启动Windows，删除相对应的木马程序，一般在c:\windows\system下，在我在本机上做实验时发现该文件名为vqpbk.exe。
冰河
冰河一个简单的清除方法就是安装“冰河陷阱”它会自动清除木马冰河
我们这里介绍的是其标准版，掌握了如何清除标准版，再来对付变种冰河就很容易了。 冰河的服务器端程序为G-server.exe，客户端程序为G-client.exe，默认连接端口为7626。一旦运行G-server，那么该程序就会在C:\Windows\system目录下生成Kernel32.exe和sysexplr.exe，并删除自身。Kernel32.exe在系统启动时自动加载运行，sysexplr.exe和TXT文件关联。即使你删除了Kernel32.exe，但只要你打开TXT文件，sysexplr.exe就会被激活，它将再次生成Kernel32.exe。
清除方法：
1.删除C:\Windows\system下的Kernel32.exe和Sysexplr.exe文件；
2.冰河会在注册表HKEY_LOCAL_
MACHINE\software\microsoft\windows\ CurrentVersion\Run下扎根，键值为C:\windows\system\Kernel32.exe，删除它；
3.在注册表的HKEY_LOCAL_
MACHINE\software\microsoft\windows\ CurrentVersion\Runservices下，还有键值为C:\windows\system\Kernel32.exe的，也要删除；
4.最后，改注册表HKEY_CLASSES_
ROOT\txtfile\shell\open\command下的默认值，由表中木马后的C:\windows\system\Sysexplr.exe %1改为正常的C:\windows\notepad.exe %1，即可恢复TXT文件关联功能。
网络神偷（Nethief）
网络神偷是个反弹端口型木马。什么叫“反弹端口”型木马呢？与一般的木马相反，反弹端口型木马的服务端(被控制端)使用主动端口，客户端(控制端)使用被动端口，为了隐蔽起见，客户端的监听端口一般开在80，这样，即使用户使用端口扫描软件检查自己的端口，发现的也是类似“TCP 服务端的IP地址:1026 客户端的IP地址:80 ESTABLISHED”的情况，稍微疏忽一点你就会以为是自己在浏览网页。
清除方法：
1.网络神偷会在注册表HKEY_LOCAL_MACHINE\SOFTWARE\
Microsoft\Windows\CurrentVersion\Run下建立键值“internet”，其值为“internet.exe /s”，将键值删除；
2.删除其自启动程序C:\WINDOWS\SYSTEM\INTERNET.EXE。
广外女生
“广外女生”是是一种新出现的远程监控工具，破坏性很大，远程上传、下载、删除文件、修改注册表等自然不在话下。其可怕之处在于“广外女生”服务端被执行后，会自动检查进程中是否含有“金山毒霸”、“天网”等字样，如果发现就将该进程终止，也就是说使防火墙完全失去作用！
清除方法：
1.启动到纯DOS模式下，找到System目录下的DIAGFG.EXE，删除它；
2.我们找到Windows目录中的注册表编辑器“Regedit.exe”，将它改名为“Regedit.com”；
3.回到Windows模式下，运行Windows目录下的Regedit.com程序（就是我们刚才改名的文件）；
4.找到HKEY_CLASSES_ROOT\
exefile\shell\open\command，将其默认键值改成"%1" %*；
5删除注册表中名称为“Diagnostic Configuration”的键值；
6.关掉注册表编辑器，回到Windows目录，将“Regedit.com”改回“Regedit.exe”。
WAY2.4
WAY2.4是国产木马程序，默认连接端口是8011。WAY2.4的注册表操作的确有特色，对受控端注册表的读写，就和本地注册表读写一样方便！WAY2.4服务端被运行后在C:\windows\system下生成msgsvc.exe文件，图标是文本文件的图标，很隐蔽。看来它想冒充系统文件msgsvc32.exe。同时，WAY2.4在注册表HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Windows\CurrentVersion\Run下建立串值Msgtask。
清除方法：
用进程管理工具查看，你会发现进程CWAY，只要删除它在注册表中的键值，再删除C:\windows\system下的msgsvc.exe这个文件就可以了。
要注意在Windows下直接删除msgsvc.exe是删不掉的，此时你可以用进程管理工具终止它的进程，然后再删除它。或者到DoS下删除msgsvc.exe也可。如果服务端已经和可执行文件捆绑在一起了，那就只有将那个可执行文件也删除了。注意在删除前请做好备份。
Acid Battery v1.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Explorer ="C:\WINDOWS\expiorer.exe"
关闭Regedit
重新启动到MSDOS方式
删除c:\windows\expiorer.exe木马程序
注意：不要删除正确的ExpLorer.exe程序，它们之间只有i与L的差别。
重新启动。OK
Acid Shiver v1.0 + 1.0Mod + lmacid
清除木马的步骤：
重新启动到MSDOS方式
删除C:\windows\MSGSVR16.EXE
然后回到Windows系统
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"
关闭Regedit
重新启动。OK
重新启动到MSDOS方式
删除C:\windows\wintour.exe然后回到Windows系统
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"
关闭Regedit
重新启动。OK
Ambush
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的zka = "zcn32.exe"
关闭Regedit
重新启动到MSDOS方式
删除C:\Windows\ zcn32.exe
重新启动。OK
AOL Trojan
清除木马的步骤：
启动到MSDOS方式
删除C:\ command.exe（删除前取消文件的隐含属性）
注意：不要删除真的command.com文件。
删除C:\ americ~1.0\buddyl~1.exe（删除前取消文件的隐含属性）
删除C:\ windows\system\norton~1\regist~1.exe（删除前取消文件的隐含属性）
打开WIN.INI文件
在[WINDOWS]下面“run=”和“load=”都加载者特洛伊木马程序的路径，必须清除它们：
run=
load=
保存WIN.INI
还要改正注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的WinProfile = c:\command.exe
关闭Regedit，重新启动Windows。OK
Asylum v0.1, 0.1.1, 0.1.2, 0.1.3 + Mini 1.0, 1.1
清除木马的步骤：
注意：木马程序默认文件名是wincmp32.exe，然而程序可以随意改变文件名。
我们可以根据木马修改的system.ini和win.ini两个文件来清除木马。
打开system.ini文件
在[BOOT]下面有个”shell=文件名”。正确的文件名是explorer.exe
如果不是”explorer.exe”，那么那个文件就是木马程序，把它查找出来，删除。
保存退出system.ini
打开win.ini文件
在[WINDOWS]下面有个run=
如果你看到=后面有路径文件名，必须把它删除。
正确的应该是run=后面什么也没有。
=后面的路径文件名就是木马，把它查找出来，删除。
保存退出win.ini。
OK
AttackFTP
清除木马的步骤：
打开win.ini文件
在[WINDOWS]下面有load=wscan.exe
删除wscan.exe ，正确是load=
保存退出win.ini。
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Reminder="wscan.exe /s"
关闭Regedit，重新启动到MSDOS系统中
删除C:\windows\system\ wscan.exe
OK
Back Construction 1.0 - 2.5
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的"C:\WINDOWS\Cmctl32.exe"
关闭Regedit，重新启动到MSDOS系统中
删除C:\WINDOWS\Cmctl32.exe
OK
BackDoor v2.00 - v2.03
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的'c:\windows\notpa.exe /o=yes'
关闭Regedit，重新启动到MSDOS系统中
删除c:\windows\notpa.exe
注意：不要删除真正的notepad.exe笔记本程序
ＯＫ
BF Evolution v5.3.12
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的(Default)=" "
关闭Regedit，再次重新启动计算机。
将C:\windows\system\ .exe（空格exe文件）
Trojan.QQbot.a
破坏方法：该病毒使用delphi编写，采用ASpack压缩，是一个通过监视QQ的消息来进行远程控制的木马。
一旦运行，病毒将执行下列操作：
1.病毒将修改注册表，添加：
"registry" = "%CURBASE%\%CURFILE"
到键值：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
下
这样病毒就可以随系统自启动。
2.病毒通过监视QQ的接收消息来响应远程控制端的操作：
病毒可以执行的操作包括：
上传、下载、执行文件，共享硬盘，关闭、重启计算机，抓屏并发送EMail，通过进程名或ID来终止
进程的运行，关闭、卸载木马等。
3.病毒的远程控制端通过生成相应的QQ消息来控制其服务端，发送的消息可能为：
"去看看！wsdgs!!@@iXT3;lGim OKdrkuLL&&ldUimlw$$"->此发送的消息为下载木马网址<加密>
"我看看！wsdgs@@0/$s^t&&"->此消息为从染毒机器中下载文件<加密>
"你好啊！wsdgs@@1234567&&"->此消息为共享C盘<加密>
"去试试！wsdgs@@iXT3;lGim OKdrkuLL&&"->此消息执行文件<加密>
"死机了？wsdgs"->关机
"掉线了？wsdgs"->重启
"在干嘛？wsdgs!!"->抓屏并Mail
"还在啊？wsdgs!!"->列举进程并Mail
"怎么了？wsdgs@@1234&&"->关闭进程
"冷雨打芭蕉"->关闭对方QQ
"江湖一剑飘"->关闭木马
"天涯任逍遥"->卸载木马
清除方法:
打开注册表编辑器regedit.exe
找到相应键值：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run\registry
删除此键值，终止此键值指向的进程，删除此键值指向的文件。
Trojan.QQbot.a.enc
破坏方法：该病毒使用delphi编写，采用ASpack压缩，是一个通过监视QQ的消息来进行远程控制的木马。
一旦运行，病毒将执行下列操作：
1.病毒将修改注册表，添加：
"registry" = "%CURBASE%\%CURFILE"
到键值：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
下
这样病毒就可以随系统自启动。
2.病毒通过监视QQ的接收消息来响应远程控制端的操作：
病毒可以执行的操作包括：
上传、下载、执行文件，共享硬盘，关闭、重启计算机，抓屏并发送EMail，通过进程名或ID来终止
进程的运行，关闭、卸载木马等。
3.病毒的远程控制端通过生成相应的QQ消息来控制其服务端，发送的消息可能为：
"去看看！wsdgs!!@@iXT3;lGim OKdrkuLL&&ldUimlw$$"->此发送的消息为下载木马网址<加密>
"我看看！wsdgs@@0/$s^t&&"->此消息为从染毒机器中下载文件<加密>
"你好啊！wsdgs@@1234567&&"->此消息为共享C盘<加密>
"去试试！wsdgs@@iXT3;lGim OKdrkuLL&&"->此消息执行文件<加密>
"死机了？wsdgs"->关机
"掉线了？wsdgs"->重启
"在干嘛？wsdgs!!"->抓屏并Mail
"还在啊？wsdgs!!"->列举进程并Mail
"怎么了？wsdgs@@1234&&"->关闭进程
"冷雨打芭蕉"->关闭对方QQ
"江湖一剑飘"->关闭木马
"天涯任逍遥"->卸载木马
清除方法:
打开注册表编辑器regedit.exe
找到相应键值：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run\registry
删除此键值，终止此键值指向的进程，删除此键值指向的文件。
Worm.Agobot.3.li
破坏方法：后门病毒。
系统中的病毒文件：系统目录的taskmngr.exe
被修改的注册表
1 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
"Task Manager" : TASKMNGR.EXE
2 HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Run
"Task Manager" : TASKMNGR.EXE
3 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\RunServices
"Task Manager" : TASKMNGR.EXE
4. HKEY_LOCAL_MACHINE\Software\Microsoft\OLE\EnableDCOM = "N"
5. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\restrictanonymous = 0x1
通过"dadarxbot.b3ta.org"进行通讯和控制。
监听113等待连接。
Trojan.Lmir.WhBoy.m
破坏方法：偷游戏密码的木马。
系统中病毒文件：
%WINDOWS%\ csrss.exe
%SYSTEM%\WinS0cks.dll
被病毒添加的注册表项：
HKLM\SoftWare\Microsoft\Windows\CurrentVersion\Runcsrss\csrss
"C:\WINNT\csrss.exe"
HKLM\SoftWare\Microsoft\Windows\CurrentVersion\Run\csrss
"C:\WINNT\csrss.exe"
病毒终止反病毒软件，偷游戏密码。
