木马防御技巧之Wincfg和Svhost后门清除

最近发现有一种木马：包括的进程名字有：Wincfgs.exe和Svchost.EXE。 目前发现的现象是：启动时候会自动弹出记事本，且会在进程的启动项中多增加Adobe的进程，不过Adobe是被木马调用的，本身不是木马。（这是很菜的木马，一般按我提供以下方法可以清除） 个人分析：这种木马很可能是通过WORD文件在磁盘介质进程传播。警告大家在使用U盘，软盘拷贝WORD和其他文本文件时候，最好先杀毒。 以下是手动清除：在清除前请在文件夹选项里设置“显示所有文件”和显示“隐藏受保护的操作系统文件”。 (1)清除Svchost.exe windows/system32里面的svchost.exe一般是正常的系统程序。如果在在WINDOWS目录下的，如果发现svchost.exe，先结束掉系统进程，在把该文件删除（注意：在XP系统中，很多个的进程都是svchost，但一般的系统进程用户都是SYSTEM，如果该进程是与你的用户名字使用，说明是木马程序） (2)清除Wincfgs.exe Wincfgs.exe文件一般是在WINDOWS-/SYSTEM32目录下，也同样是先结束进程，再删除该文件。 然后进入注册表：regedit HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnce HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnceEx HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Run 中，如果出现上面2个进程名字，则删除键属性值。 同样进入MSCONFIG，把启动项的钩去掉。然后重新启动。