威金病毒 查杀之我见（未完成部分请有心人来完成）

公司机器上种了这个病毒，经过一天的研究，基本掌握了该病毒的特性。楼上个位都是说用什么杀毒工具来杀，我觉得一方面现在好多杀毒工具根本就不能做到这一点，我也用了一些杀毒软件，根本就没用，这个是有原因的，因为该病毒会首先感染这些文件。下面我讲一下我对该病毒的理解，还有未完成的工作希望能够给有心人一定的启发，实在没有时间做这个了。

病毒可能的感染方式：
    病毒首先可以感染你的iexplorer.exe，你会在c:/program files/internet explorer/plugins目录下发现几个sys文件，这些文件将会在系统启动的时候被加载。这个情况可能会有，就看你的中毒情况了。
   局域网传播，多数因为你开了一些可写的共享目录。

病毒发作原理：
    1、系统启动加载system的时候，会读取sys文件，这些被记在注册表中，你可以搜索注册表中，“.sys”注意找到并删除internet explorer目录下的sys文件。如window.sys,system3.sys等。
    2、关闭机器上面的杀毒软件，感染explorer.exe,感染iexplorer.exe，感染你机器上的exe
文件。你机器上面的explorer.exe 将被修改。动态加载病毒程序：tdll.dll,dll.dll,ztdll.dll等。
    3、生成形形色色的可执行病毒程序。如rundll132.exe,logo_1.exe,logo1_.exe,3y.exe等。
    4、感染的exe文件比较可怕，一不小心执行一下，所有的病毒都将被启动复制。

手动杀毒方法介绍（不是很完全，可以清理系统目前运行的病毒，但是对于被修改的exe文件还没有做好，请有心人研究一下告诉大家。问题就是：将被感染的exe修复回原来）
    1、准备工具：processxp（察看进程的小程序），复制一些正常的文件：explorer.exe,iexplorer.exe.
    2、查找注册表，检查启动下.sys信息，删除可疑.sys文件（注意：有很多是操作系统的文件，操作者必须有一点这方面的判断力），主要是在c:/program files/internet explorer/plugins/目录下的.sys文件。另外删除启动时加载的logo1_.exe,rundl132.exe文件等以及一些键值（参考目前网上说的那些，上面有朋友这么讲过）。
    3、使用processxp工具，查找当前运行进程中依赖dll.dll,tdll.dll,ztdll.dll文件的进程，并结束之。一般情况下会感染你的explorer.exe，你杀掉explorer.exe,然后用命令行方式copy正常的explorer.exe到c:/winnt下覆盖原有的explorer.exe（干净的文件可以从别的机器上拷贝过来），如果所有的都有这样的，那么先杀掉病毒进程：logo_1.exe,logo1_.exe,rundl132.exe,2sy.exe,1sy.exe等。然后再修改explorer.exe,注意：explorer.exe会不断地创建病毒程序。所以一定要动作快。
    4、删除几个病毒程序：
       c:/document and setting/登陆用户/windows目录：全部删除。
       c:/winnt/下的dll.dll,tdll.dll,logo_1.exe,rundl132.exe,ztdll.dll

这样应该可以保证当前你运行的操作系统安全（主要表现在进程中没有logo_1.exe,rundl132.exe，查找当前进程的依赖dll中,没有一个是依赖dll.dll,tdll.dll,ztdll.dll，processxp有这个功能的）,这个时候就剩下一个问题就是如何修复exe文件，因为你下次启动的时候可能有些服务被加载会运行exe文件，如果被感染的话，病毒又会重新占领你的机器。这部分我没有搞明白，希望上面的介绍能够起到抛砖引玉的作用，请有心人来解决它，联系上面的过程并做成一个程序发布一下，为大家服务。 

另外被修改的exe文件应该是被加载了静态链接库，具体如何删除还是请大家帮忙吧！