清除落雪木马

作者:gdsun 日期:2006-07-06

此病毒所关联的文件如下，绝大多数文件都是显示为系统文件和隐藏的。 所以要在文件夹选项里打开显示隐藏文件，然后逐个删除，注意不要双击以免运行它。

D:/autorun.inf 
D:/pagefile.com 
C:/Program Files/Internet Explorer/iexplore.com 
C:/Program Files/Common Files/iexplore.com 
C:/WINDOWS/1.com 
C:/WINDOWS/iexplore.com 
C:/WINDOWS/finder.com 
C:/WINDOWS/exeroute.exe（忘了是不是这个名字了，红色图标有传奇世界图标的） 
C:/WINDOWS/Debug/*** Program.exe(也是上面那个图标，名字忘了-_- 好大好明显非隐藏的) 
C:/Windows/system32/command.com 这个不要轻易删，看看是不是和下面几个日期不一样而和其他文件日期一样，如果和其他文件大部分系统文件日期一样就不能删，当然系统文件肯定不是这段时间的。 
C:/Windows/system32/msconfig.com 
C:/Windows/system32/regedit.com 
C:/Windows/system32/dxdiag.com 
C:/Windows/system32/rundll32.com 
C:/Windows/system32/finder.com 
C:/Windows/system32/a.exe 

还有一个头号文件WINLOGON.EXE，一定得删除它！
C:/Windows/WINLOGON.EXE 

这个在进程里可以看得到，有两个，一个是真的，一个是假的。 
真的是小写winlogon.exe，（不知你们的是不是），用户名是SYSTEM，而假的是大写的WINLOGON.EXE，用户名是你自己的用户名。这个文件在进程里是中止不了的，说是关键进程无法中止，搞得跟真的一样！就连在安全模式下它都会呆在你的进程里。可以用光盘启动进入DOS模式，把它的属性去掉然后删除它！

把那些文件删掉后，所有的exe文件全都打不开了，运行cmd也不行。
到C:/Windows/system32 里，把cmd.exe文件复制出来，比如到桌面，改名成cmd.com，然后运行可以进入到DOS下的命令提示符。

再打入以下的命令： 
assoc .exe=exefile （assoc与.exe之间有空格） 
ftype exefile="%1" %* 
这样exe文件就可以运行了。 

运行regedit，进注册表，到
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
里面，有一个Torjan pragramme，这个明摆着“我是木马”，删！！

开机进入系统时会跳出一个警告框，说文件"1"找不到。再运行“regedit”，打开注册表，在
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon]
中把"Shell"="Explorer.exe 1"恢复为"Shell"="Explorer.exe" 

大功告成！
 

WINLOGON.EXE

雨中云http://my.opera.com/wyqmailbox/blog/show.dml/424224

真是多事之秋，拿回电脑的第二天，才刚刚花了一个下午把那些软件都给装好，就发现自己电脑进程那里有点怪，在自己的用户名下有一个WINLOGON.EXE的进程。按照进程的路径查过去，果然在c盘windows下面看到了一个类时传奇图标的可执行文件，上网一查，WINLOGON.EXE是处理系统的登陆和登陆过程的程序，可是怎么会是在我的用户名下运行的呢，再仔细一看，在system下面也有一个winlogon.exe的进程，很明显，我中招了。
记得我之前就老是在别人面前抱怨，怎么我的电脑没中过一次毒呢，弄得我一点杀毒的经验都没有，这一次倒是真的给招来了，不过看来不是那么好玩的，我可不想现在就重装系统。
上网查了好久，才知道杀毒软件是没用的了，这是个名为“落雪”的病毒，杀毒软件是查不出来的，只能手动杀毒。其实应该说它是个木马更确切些，我真担心我的一些密码会被盗取，还好我只有个九位的qq，地球人都不想要。
花了个一个小时，照网上查到的杀毒方式按部就班，终于解决了这个问题。这个木马是最初据说是专门盗取传奇的号的，如果不看进程管理是发现不了的，它基本不会影响机器其他程序的运行。如果有谁发现了自己用户名下有这个进程，那就恭喜你了。下面我把从网上查到的杀毒方式贴出来，希望能帮助哪位中招的人。


先到注册表HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run去删一个Torjan pragramme的程序，防止它随机启动。
再在进程里把WINLOGON.EXE给终止了。
再把以下文件删除：
D:/autorun.inf
D:/pagefile.com
C:/Program Files/Internet Explorer/iexplore.com
C:/Program Files/Common Files/iexplore.com
C:/WINDOWS/1.com
C:/WINDOWS/iexplore.com
C:/WINDOWS/finder.com
C:/WINDOWS/ExERoute.exe（删了这个程序后就不能在运行exe文件了）
C:/WINDOWS/Debug/*** Programme.exe(也是上面那个图标，名字忘了-_- 好大好明显非隐藏的)
C:/Windows/system32/command.com 这个不要轻易删，看看是不是和下面几个日期不一样而和其他文件日期一样，如果和其他文件大部分系统文件日期一样就不能删，当然系统文件肯定不是这段时间的。 （我是不用删的，我觉得应该是系统文件）
C:/Windows/system32/msconfig.com
C:/Windows/system32/regedit.com
C:/Windows/system32/dxdiag.com
C:/Windows/system32/rundll32.com
C:/Windows/system32/finder.com
C:/Windows/system32/a.exe
C:/Windows/WINLOGON.EXE
删除过程中一定要注意不要运行任何exe文件，同时文件夹最好不要双击进入，右键点击打开，因为这个病毒当你一运行exe文件时就自动运行了，同时把所有原先被删的文件补齐。一句话，你打开进程管理时刻监视，一旦这个程序运行了，一切前功尽弃。
然后注销或重起。
这个时候你会发现所有exe文件都不能打开了，没关系，把cmd.exe复制出来，改成cmd.com，就可以打开了，然后打入命令：再打入以下的命令：
assoc .exe=exefile （assoc与.exe之间有空格）
ftype exefile="%1" %*
再重起
电脑会提示说1.com找不到，你就打开注册表，在[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon]中
把"Shell"="Explorer.exe 1"恢复为"Shell"="Explorer.exe"
然后用一些工具修复下ie。
搞定。
不过我还是留下了后遗症，就是我现在不能新建快捷方式，同时也不能右键选择打开方式。
以上是我个人总结，跟原文有点出入。听说有些人这个进程是没法终止的，那我就不知道怎么办了。原文是：


解决“落雪”病毒的方法
症状：D盘双击打不开，里面有autorun.inf和pagefile.com文件
做这个病毒的人也太强了，在安全模式用Administrator一样解决不了！经过一个下午的奋战才算勉强解决。 我没用什么查杀木马的软件，全是手动一个一个把它揪出来把他删掉的。它所关联的文件如下，绝大多数文件都是显示为系统文件和隐藏的。 所以要在文件夹选项里打开显示隐藏文件。
D盘里就两个，搞得你无法双击打开D盘。C盘里盘里的就多了！
D:/autorun.inf
D:/pagefile.com
C:/Program Files/Internet Explorer/iexplore.com
C:/Program Files/Common Files/iexplore.com
C:/WINDOWS/1.com
C:/WINDOWS/iexplore.com
C:/WINDOWS/finder.com
C:/WINDOWS/Exeroud.exe（忘了是不是这个名字了，红色图标有传奇世界图标的）
C:/WINDOWS/Debug/*** Programme.exe(也是上面那个图标，名字忘了-_- 好大好明显非隐藏的)
C:/Windows/system32/command.com 这个不要轻易删，看看是不是和下面几个日期不一样而和其他文件日期一样，如果和其他文件大部分系统文件日期一样就不能删，当然系统文件肯定不是这段时间的。
C:/Windows/system32/msconfig.com
C:/Windows/system32/regedit.com
C:/Windows/system32/dxdiag.com
C:/Windows/system32/rundll32.com
C:/Windows/system32/finder.com
C:/Windows/system32/a.exe
对了，看看这些文件的日期，看看其他地方还有没有相同时间的文件还是.COM结尾的可疑文件，小心不
要运行任何程序，要不就又启动了，包括双击磁盘
还有一个头号文件！WINLOGON.EXE！做了这么多工作目的就是要干掉她！！！
C:/Windows/WINLOGON.EXE
这个在进程里可以看得到，有两个，一个是真的，一个是假的。
真的是小写winlogon.exe，（不知你们的是不是），用户名是SYSTEM，
而假的是大写的WINLOGON.EXE，用户名是你自己的用户名。
这个文件在进程里是中止不了的，说是关键进程无法中止，搞得跟真的一样！就连在安全模式下它都会
呆在你的进程里！ 我现在所知道的就这些，要是不放心，就最好看一下其中一个文件的修改日期，然后用“搜索”搜这天修改过的文件，相同时间的肯定会出来一大堆的， 连系统还原夹里都有！！ 这些文件会自己关联的，要是你删了一部分，不小心运行了一个，或在开始－运行里运行msocnfig，command，regedit这些命令，所有的这些文件全会自己补充回来！
知道了这些文件，首先关闭可以关闭的所有程序，打开程序附件里头的WINDOWS资源管理器，并在上面的工具里头的文件夹选项里头的查看里设置显示所有文件和文件假，取消隐藏受保护操作系统文件，然后打开开始菜单的运行，输入命令 regedit，进注册表，到
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
里面，有一个Torjan pragramme，这个明摆着“我是木马”，删！！
然后注销！ 重新进入系统后，打开“任务管理器”，看看有没rundll32，有的话先中止了，不知这个是真还是假，小心为好。 到D盘（注意不要双击进入！否则又会激活这个病毒）右键，选“打开”，把autorun.inf和pagefile.com删掉，
然后再到C盘把上面所列出来的文件都删掉！中途注意不要双击到其中一个文件，否则所有步骤都要重新来过！ 然后再注销。
我在奋战过程中，把那些文件删掉后，所有的exe文件全都打不开了，运行cmd也不行。
然后，到C:/Windows/system32 里，把cmd.exe文件复制出来，比如到桌面，改名成cmd.com 嘿嘿 我也会用com文件，然后双击这个COM文件
然后行动可以进入到DOS下的命令提示符。
再打入以下的命令：
assoc .exe=exefile （assoc与.exe之间有空格）
ftype exefile="%1" %*
这样exe文件就可以运行了。 如果不会打命令，只要打开CMD.COM后复制上面的两行分两次粘贴上去执行就可以了。
但我在弄完这些之后，在开机的进入用户时会有些慢，并会跳出一个警告框，说文件"1"找不到。（应该是Windows下的1.com文件。）,最后用上网助手之类的软件全面修复IE设置
最后说一下怎么解决开机跳出找不到文件“1.com”的方法：
在运行程序中运行“regedit”，打开注册表，在[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon]中
把"Shell"="Explorer.exe 1"恢复为"Shell"="Explorer.exe"
大功告成！大家分享一下吧！

落雪木马专杀工具 V1.1 绿色版

软件大小:

53 KB

落雪木马专杀工具

http://soft.52z.com/Down2.Asp?ID=16994&action=0&key=F4567453

落雪木马专杀工具下载介绍:“落雪”木马也叫“游戏大盗”（ Trojan/PSW.GamePass），由VB 程序语言编写，通过 nSPack 3.1 加壳处理（即通常所说的“北斗壳”North Star），该木马文件图标一般是红色的图案，伪装成网络游戏的登陆器。

病毒运行后，在C盘program file以及windows目录下生成winlogon.exe、regedit.com等14个病毒文件，病毒文件之多比较少见，，事实上这14个不同文件名的病毒文件系同一种文件，“落雪”之名亦可能由此而来。病毒文件名被模拟成正常的系统工具名称，但是文件扩展名变成了 .com。江民反病毒工程师分析，这是病毒利用了Windows操作系统执行.com文件的优先级比EXE文件高的特性，这样，当用户调用系统配置文件Msconfig.exe的时候，一般习惯上输入 Msconfig，而这是执行的并不是微软的Msconfig.exe程序，而是病毒文件 Msconfig.com ，病毒作者的“良苦用心”由此可见。病毒另一狡诈之处还有，病毒还创建一名为winlogon.exe的进程，并把 winlogon.exe 的路径指向c:/windows/winlogon.exe，而正常的系统进程路径是C:/WINDOWS/system32/ winlogon.exe，以此达到迷惑用户的目的。

江民反病毒工程师介绍，除了在C盘下生成很多病毒文件外，病毒还修改注册表文件关联，每当用户点击html文件时，都会运行病毒。此外，病毒还在D盘下生成一个自动运行批处理文件，这样即使C盘目录下的病毒文件被清除，当用户打开D盘时，病毒仍然被激活运行。这也是许多用户反映病毒屡杀不绝的原因。