Question

救命！！！电脑中病毒了！！！

救命啊，这个病毒让我电脑上所有的杀毒软件都打不开了，像瑞星 360等，连在线杀毒也不行~~~然后我上网的时候老是会谈出一些垃圾网站。

我感觉这种病毒好像会自己在进程中伪装，有时进程里会莫名奇妙的出现一些带有阿拉伯数字的进程，还有像什么cmd。exe ，comine。exe，等等一些以前从来没出现过的进程。在进程里忽然出现又忽然消失，还有时都会在磁盘里生成一些莫名奇妙的文件。还有些在进程里的像： TXPlatfOrm（看清楚，不是腾讯的那个进程，QQ的是“TXPlaform',它明显是有区别的啊，中间的O大写了）等等 都是一会儿出现又一会儿消失的

希望有专家帮帮我啊~!!200分也在所不惜！！
现在连系统都进不了啊，一开机桌面闪一下然后马上就注销了~~~再进去，又注销，在安全模式下也是一样的~~~ghost点进去按恢复C盘马上又会退出来了，在试几次也一样~~

那些的方法我也试过，那个什么360木马强力专杀查完毒后马上就会蓝屏的，，，，，

诶呀呀呀，连安装盘都会染毒的啊？我已经重装了的所~~~算了，反正重装后系统能进去了，不过好像还是提示说有毒啊，瑞星和360还是打不开~还有网速好像慢了一点~~~管他类，不打扰我正常运行就行~~~

Answer 1

利用进程工具干掉那些非系统必要进程。至少叫杀软可以启动为止。工具地址：http://www.antiy.com/download/atool.zip
常用进程列表（不知道的就都干掉，应用软件先不用管。事后再修复。）。
smss.exe Session Manager
csrss.exe 子系统服务器进程
winlogon.exe 管理用户登录
services.exe 包含很多系统服务
lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。(系统服务)
产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据(ticket)。(系统服务)
svchost.exe 包含很多系统服务
svchost.exe
SPOOLSV.EXE 将文件加载到内存中以便迟后打印。(系统服务)
Explorer.exe 资源管理器
internat.exe 托盘区的拼音图标
附加的系统进程（这些进程不是必要的，你可以根据需要通过服务管理器来增加或减少）:
mstask.exe 允许程序在指定时间运行。(系统服务)
regsvc.exe 允许远程注册表操作。(系统服务)
winmgmt.exe 提供系统管理信息(系统服务)。
inetinfo.exe 通过 Internet 信息服务的管理单元提供 FTP 连接和管理。(系统服务)
tlntsvr.exe 允许远程用户登录到系统并且使用命令行运行控制台程序。(系统服务)
允许通过 Internet 信息服务的管理单元管理 Web 和 FTP 服务。(系统服务)
tftpd.exe 实现 TFTP Internet 标准。该标准不要求用户名和密码。远程安装服务的一部分。(系统服务)
termsrv.exe 提供多会话环境允许客户端设备访问虚拟的 Windows 2000 Professional 桌面会话以及运行在服务器上的基
于 Windows 的程序。(系统服务)
dns.exe 应答对域名系统(DNS)名称的查询和更新请求。(系统服务)
以下服务很少会用到，上面的服务都对安全有害，如果不是必要的应该关掉
tcpsvcs.exe 提供在 PXE 可远程启动客户计算机上远程安装 Windows 2000 Professional 的能力。(系统服务)
支持以下 TCP/IP 服务：Character Generator, Daytime, Discard, Echo, 以及 Quote of the Day。(系统服务)
ismserv.exe 允许在 Windows Advanced Server 站点间发送和接收消息。(系统服务)
ups.exe 管理连接到计算机的不间断电源(UPS)。(系统服务)
wins.exe 为注册和解析 NetBIOS 型名称的 TCP/IP 客户提供 NetBIOS 名称服务。(系统服务)
llssrv.exe License Logging Service(system service)
ntfrs.exe 在多个服务器间维护文件目录内容的文件同步。(系统服务)
RsSub.exe 控制用来远程储存数据的媒体。(系统服务)
locator.exe 管理 RPC 名称服务数据库。(系统服务)
lserver.exe 注册客户端许可证。(系统服务)
dfssvc.exe 管理分布于局域网或广域网的逻辑卷。(系统服务)
clipsrv.exe 支持“剪贴簿查看器”，以便可以从远程剪贴簿查阅剪贴页面。(系统服务)
msdtc.exe 并列事务，是分布于两个以上的数据库，消息队列，文件系统，或其它事务保护资源管理器。(系统服务)
faxsvc.exe 帮助您发送和接收传真。(系统服务)
cisvc.exe Indexing Service(system service)
dmadmin.exe 磁盘管理请求的系统管理服务。(系统服务)
mnmsrvc.exe 允许有权限的用户使用 NetMeeting 远程访问 Windows 桌面。(系统服务)
netdde.exe 提供动态数据交换 (DDE) 的网络传输和安全特性。(系统服务)
smlogsvc.exe 配置性能日志和警报。(系统服务)
rsvp.exe 为依赖质量服务(QoS)的程序和控制应用程序提供网络信号和本地通信控制安装功能。(系统服务)
RsEng.exe 协调用来储存不常用数据的服务和管理工具。(系统服务)
RsFsa.exe 管理远程储存的文件的操作。(系统服务)
grovel.exe 扫描零备份存储(SIS)卷上的重复文件，并且将重复文件指向一个数据存储点，以节省磁盘空间。(系统服务)
SCardSvr.exe 对插入在计算机智能卡阅读器中的智能卡进行管理和访问控制。(系统服务)
snmp.exe 包含代理程序可以监视网络设备的活动并且向网络控制台工作站汇报。(系统服务)
snmptrap.exe 接收由本地或远程 SNMP 代理程序产生的陷阱消息，然后将消息传递到运行在这台计算机上 SNMP 管理程序
。(系统服务)
UtilMan.exe 从一个窗口中启动和配置辅助工具。(系统服务)
msiexec.exe 依据 .MSI 文件中包含的命令来安装、修复以及删除软件。(系统服务)

如果有不明白的可以找我。空间地址http://hi.baidu.com/avengert或者给我讯息

补充1：建议用winpe系统（卖系统安装盘的地方就有，3-5元一张。最好要求带最新杀软的，或者是支持最新库的。），最好系统中带有杀毒软件。或者是你进入后将病毒文件删除（这个需要一定得知识，需要有人指点才可以。）试试吧。

Answer 2

其实这样的问题很简单也很容易解决，但是需要一点病毒的基础知识，在下不才，提示一些注意的方面，旨在给新手一些提醒，并希望达到抛砖引玉的效果，请各位DX以及老前辈们不吝赐教。现在，请各位听我慢慢道来。

早在win95盛行的年代，流行在机器上的病毒，也不过就是一些文件型病毒和引导区型病毒，最大的破坏效果也就是导致系统运行变慢、文件不能运行，遇到BT一点的，还会删除或者格式化硬盘和破坏硬盘分区表。那时的网络没有现在这样普及，个人上网还是一件“奢侈”的事情。NTFS分区也没有应用到个人家庭的PC中（仅仅在NT操作系统中应用）。所以那个时候病毒也没有现在这样厉害，在传播性和杀伤程度上都不如现在，也没有很多的木马病毒，最多也就是“冰河木马”和“ BO ”。但是由于他们的病毒机制和语言编写方面的原因，导致他们的客户端隐蔽性不好，可以在按下“ctrl+alt+del”键的时候，被用户发现运行在内存中。对于注册表的修改，也仅仅限于修改启动项目，使自己可以开机加载。在那个年代，我们防范病毒的意识也仅仅停留在D版软件和软盘的使用方面。到现在我还清楚的记得，当时学校机房的老师不允许使用自己的软盘时的情景――脸拉的老长，在每个人身边渡来渡去的，要是被发现谁偷偷使用，轻者遭到横眉冷对，重者会被“驱逐出境”。而且在不了解内情的情况下，还会遭到“千夫指”――众多同学认为你是害群之马，抛以鄙夷的眼光。（其实是老师生气，不许玩那时经典的、盼望以久的、打发时间的好游戏－“玛力兄弟”）

在那个时候杀毒也显得是那么简单（技术方面）的事情，插入张D版的K***的软盘（那时玩电脑的人手一张，代替计算机系学生证了），启动机器，一阵硬盘配合小喇叭（那时没有音箱）“滴、滴..”的声音响过，和满屏幕的“found xxxx virus ，killed！！不停的闪过，病毒就解决完了。

但是现在的病毒远远没有那么简单，不论是传播方法还是杀伤力，都更胜一筹。由于操作系统的不断升级（98-->98se-->me-->2000-->xp），病毒也在不断的升级。过去DOS下的引导区病毒已经不是病毒世界的中心（有消息说最近引导型病毒有回升的趋势），开始发展到以木马病毒为主的局面。由于现在网络的飞速发展和普及，几乎每个人都可以上网，所以给病毒带来了传播的“温床”。以哲学角度看问题，这些都是不可避免的（事物个有利弊么），唯有加紧防范。而现在的木马病毒远非最初的“冰河”和“BO”那么简单。开后门、监听端口、自我隐藏、复制、偷取游戏密码、银行、股票账号及机器上其他重要信息、恶意删除文件、甚至是偷偷干掉正在运行的各种实时杀毒监控程序……等等，让我们感到防不胜防。

最初的木马不过是通过文件合并器合并成其他类型的文件引诱用户运行或者D版软件盘上本身携带，通过邮件传播的都很少。但是现在的网络安全随着我们网络更加平民化显得更加脆弱。多少年前，我们从没有想到过浏览一个网站，就会使机器中毒的事情，现在层出不穷、笔笔皆是。（很多网友莫名其妙的中毒也是由于此类恶意网站所至）如何防范网络安全，如何使自己免受病毒困扰，成了现在每个人关心的话题。毕竟病毒带给我们的损失太大了。当年CIH病毒肆虐的时候导致主板报废的消息，震惊了多少业界人士。

在这里我提醒大家注意的一点就是：“千万不要以为杀毒软件是万能的，有了正版杀毒软件和最新病毒库就‘无敌'了！”这是极其错误的概念。毕竟病毒数据库都是在出现新病毒之后，分析出病毒代码填充的，才可以查杀。万一哪天“横走江湖”的你正好“倒霉”，遇见“新品种”，偏偏又是一个“狠角”％#……^#￥^#％#…… 恐怕到时候预哭无泪啊！杀毒软件永远是跑在病毒后面的“追捕”，而不是预知灾难和未来的“先知”。先有鸡和先有蛋的问题也许我们永远也弄不清楚，但是病毒和杀毒软件两者，永远是病毒在先！请大家时刻注意自我安全防范。谨记！！

病毒的简单发展和危害，我想给大家介绍的差不多了，接着就是要回答大家提出的为什么有些病毒“杀不掉”或者“再次回来”这个问题。其实这两个问题涉及的完全是同一个方面，就是是如何杀毒？别笑，杀毒不是每个人都会的。有人认为“不就是简单的WIN操作么？在windows下运行瑞星就可以了，我常常那么杀，也没有什么问题啊？”实际非也。我只能说那是你老兄运气好，运气不好的可是大多数。绝对不要在带毒环境下杀毒，那样做几乎是零效果。

现在拥有电脑的朋友们，很多没有经历过DOS时代（绝非以老卖老），仅仅是在图形桌面和鼠标点击下成长的，所以对于引导区、病毒的传染、复制方面不是很了解，有的甚至跟本就不了解。甚至是谈“毒”色变，把机器一切不正常现象都归于-“是有病毒了吧？”非也，告诉大家病毒很简单，人做的程序而已，别怕。其实病毒机理无非就是“感染－》优先运行－》自我复制－》隐藏、破坏－》传播”几个步骤。熟悉了这些，我们就可以知道，杀毒到底要从什么方面入手。先就简单的说说病毒的感染和传播方法。

1、 引导区型病毒 感染启动扇区（包括软盘），在每次开机时读区引导区也就激活了病毒 加入内存。传播方式是通过软盘的读写。
2、 文件型病毒 感染 .exe \.com为扩展名的可执行文件，常驻内存，感染此后加载到内存的应用程序。修改程序文件，导致文件不能使用。
3、 破坏型病毒 恶意删除文件或者格式化硬盘，第一时间加入内存，实行破坏活动
4、 木马型病毒 自我复制、自我隐藏、开机加载、窃取破坏于一身的病毒
5、 恶意网站 通过恶意代码和IE漏洞侵害用户，偷偷下载和运行带有木马的程序
剩下的宏病毒和脚本病毒先不讨论

不难发现，所有病毒的感染方式都是以第一时间占领机器，取得领导权，并且常驻内存，感染所有今后进入内存的程序为目的。所以对他们下手，也就有了初步的思路。这就是你和病毒之间，到底谁能先拥有机器的“领导权”问题。如果先让病毒占领机器，无疑你就是“攻击战”，攻击战看似简单，但是可惜和病毒使用的武器是同一个东东――“你的爱机”。如果你的爱机先听了病毒的指挥，恐怕攻击战不好打啊，既要夺“武器”，又要“擒贼首”，太被动了。有的时候，爱机跟本不会帮你解决问题，就是因为病毒先占领了机器。

举个例子，比如很多时候，我们杀毒时遇见“文件正在使用“或者”清除失败”这样的报告，原因就是如此，病毒先占领了机器，启动了windows。Windows是决不会允许你对正在运行的程序进行杀毒和删除的。(加一个特殊情况：当检查到压缩文件的时候，瑞星可能提示，需要解压缩之后才可以删除病毒。因为瑞星不能改变你的压缩文件内部结构，所以你最好乖乖的听话，把这个压缩文件解压到一个临时目录下 杀毒后 再次压缩打包就可以了。如果这个压缩文件不是很重要，就直接删除好了，再次去下载新的无毒的压缩文件，不要解压的时候处理不善 造成病毒泄露）

而很多病毒在当时被报告“已清除”但是再次开机或者过几天再次出现的原因是因为病毒有复制功能，并且先占领机器并执行了自己，只要让它先拥有了机器的“领导权”，他会再次将自己复制，并再次感染。这样的恶梦循环不断。所以这就是为什么常常我们在windows下杀毒杀不掉或者杀掉之后再次感染的原因。

既然问题分析清楚了，那么解决的办法也应运而生，那就是脱离windows环境杀毒，争取第一时间取得机器领导权是首要问题。也就是我们常说的使用DOS启动盘杀毒(瑞星A盘)。为什么使用DOS启动盘杀毒就可以真正的杀掉病毒呢？不是启动盘里的瑞星更厉害，而是用软盘启动的时候，不通过硬盘引导，不启动windows。Windows启动的时候根据注册表加载了大量的程序，其中就包括病毒程序，因为经过病毒的修改，启动项目和其他驱动一样被写进了注册表启动项目。但是一但通过软盘引导系统，就不会执行windows注册表配置，病毒自然也就无法第一时间占领机器了。机器已经归我们所有了，病毒只能是束手就擒。同志们！杀啊！杀 杀！！解气去！！

有很多朋友是浏览网页的时候，不知不觉的中了“招”。解决办法只能是防范第一，杀毒第二。主要是打开瑞星监控并及时的把IE的补丁打上，升级最高版本。打上系统补丁。但是对于病毒，我们始终只能是防范，而不是先知。所以给各位常在网上走的朋友提个醒“防患于未然，多多提高警惕吧”！

回答一些朋友的问题

很多朋友说我的机器是2000系统和XP系统 系统分区是NTFS的，据我看瑞星说明书，瑞星A盘具有杀NTFS分区的功能，请各位放心好了。

还有朋友说自己的机器上没有软驱怎么办？我只能说很遗憾，也许你可以杀毒（安全模式），但是远不如DOS下杀的更彻底。我在这里建议大家配机器的时候，给自己的机器加个软驱有利无害！大家肯定都懂得什么是有备无患，真正遇见问题的时候，我想远不是几十块钱钞票可以解决的吧，钞票不能恢复数据，不能杀毒，不能启动！还是加个软驱吧。

看了很多朋友的回复帖子，发现很多人建议在安全模式下杀毒。我一直对这个方法持不赞成态度。实际安全模式也仅仅是不加载一些驱动程序，当你执行安全模式的时候，相信你也能看见一大堆.dll文件执行了（2000和xp）。对于是不是所有病毒都不会运行在安全模式，这个有待考证。我只能说这个方法是没有软驱朋友的唯一可行方案，但不是其他朋友的最佳方案。强烈建议DOS下杀毒，尽管麻烦，尽管慢 ，但是出于安全角度考虑，牺牲这点时间还是值得的。

Answer 3

在 “ 安全模式 ”下查杀木马病毒无效是很正常的 ， 我也很奇怪为什么有很多人那么热衷于在安全模式下查杀病毒木马的 ，所为 “ 安全模式 ”其实就是一种内置在操作系统中 ， 帮助用户管理操作系统并诊断和修复电脑故障的工具 ， 它的主要功能就是 ：用尽可能少的设备驱动程序以及服务设置启动操作系统 ， 也就是说 ： 它只是使用必须的基本文件和驱动程序启动 ， 来检查并排除一些操作系统方面的故障的 ， 比如说 ： 操作系统不能正常启动 ，或者不能将有些驱动程序完全删除 ， 那么 ， 此时就可以在 “ 安全模式 ”下启动电脑 ，然后从系统中删除这些软件或者设备驱动程序等等 ，我们也可以对一些比较顽固的病毒在其模式下进行查杀 ， 但是 ，它不是专业的杀毒软件 ，它也就不能来代替杀软设置 ， 此 ，不要过分依赖或者倾向于 “ 安全模式 ” 下杀毒的 。 另外 ，要明白什么是 “ 木马 ” ？ 什么是 “ 病毒 ” ？ 这二者的区别 ， 这对我们在处理系统染毒问题上是有很大帮助的 。一般来说 ： 病毒的基本特性就是具有 “ 主动传染性 ” ， 这就使它区别于同样具有隐蔽性 ， 激发性 ， 和攻击性的逻辑炸弹与特洛伊木马等等了 。一般的木马程序通常是不会感染文件的 ， 它们的特性是 ： 修改注册表的启动项目 ， 或者修改大开文件关联设置来获得运行的机会的 ， 根据此特性 ，可以说相对的容易用手工的方法来将其清楚即可 。 那么 ， 查看一下 “ 任务管理器 ” 是否有陌生或者可疑的进程 ， 以及该进程的名称 ？ 因为 ， 注册表就是注册的意思 ， 系统中所有的程序如果要得到运行的允许命令 ， 就必须要注册到注册表中 ，如果有陌生可疑进程 ， 问题就相对容易处理了 ， 可以通过 ： “ 开始 ”－ “ 搜索 ”－ “ 文件或文件夹 ” ， 打开 “ 搜索结果 ” 对话框后 ，将其可疑地名称书写在 “ 全部或部分文件名 ” 下面的空白搜索框中 ， 然后 ， 确定或者回车 ， 此时 ， 系统就会快速而准确的查找该可以的文件名 ， 最后将检查结果详细的显示在你的面前 ， 比如 ：“ 文件名称 － 所在的文件夹 － 文件的大小 － 类型 ” 等 ， 经过筛选后 ， 进行删除即可 。 最后 ， “ 开始 ”－ “ 运行 ” 输入 ：regedit 命令并回车 ， 这样就打开了注册表的编辑器了 ， 因为 ，前面我已经说过了 ， 要得到运行命令 ， 就需要在注册表中进行注册 ， 以便为了正常运行而建立的其自己的键值项目与分支的 ， 此 ， 你就可以通过对注册表所有的各大根键进行多次查找 ， 最后经过筛选并删除 ， 即可彻底的清除该木马的 。

一步一步来啊

Answer 4

没有那个杀毒软件能百分之百说他能杀掉一个刚出道的病毒。
像一些低层的语言开发出来的病毒杀毒软件是拿他没办法的。
像你这样的情况有两种可能性，一种是自己的电脑种毒了，另一种就是别人电脑种毒了，攻击你的电脑。
你先对自己的电脑进行查毒，在开始的运行里面输入msconfig进入到启动项界面，把启动项里面的勾全部去掉，把输入法ctfmon和你的杀毒软件勾上（就是你杀毒软件的几个进程名）点确定，重新启动。
启动好了以后，在开始里面的运行里输入regedit进入到注册表
选中我的电脑，按ctrl+f会弹出一个查找的对话框，在里面 输入病毒的名字按F3查找。看到这个名字就删除，一直到查完为止，很快的，最多也就几个。
以上两步做完，重起一下电脑，看看进程里面有没有可疑的进程，如果有可疑的进程，把进程的名字记下来，再进注册表重复刚才的操作，查找可疑进程的名字。找完重启。这样就可以确保自己的电脑没有中病毒。
查看别人的电脑是否中毒是否攻击自己的电脑。用抓包工具，抓几个包看看，是谁在向你的机器发包。就能找出是那一台机器在攻击你的电脑。

Answer 5

你可能中了AV终结者 病毒 症状就是杀软无法打开 杀毒网站上不了

在能正常上网的电脑上登录金山毒霸网站，
下载“AV终结者”专杀工具
适用平台：WinXP
工具说明：彻底清除AV终结者病毒
在正常的电脑上禁止自动播放功能，避免插入U盘或移动硬盘而被病毒感染。把AV终结者专杀工具从正常的电脑复制到U盘或移动硬盘上，然后再复制到中毒的电脑上。
执行AV终结者专杀工具，清除已知的病毒，修复被破坏的系统配置。
不要立即重启电脑，请先启动杀毒软件，升级病毒库，进行全盘扫描。以清除木马下载器下载的其它病毒。

但其实
最简单的方法就是重装系统，如知道那些文件损坏，用以从安装盘中找到原文件覆盖，最好有WINPE启动盘，这样操作方便得多。当然你会用DOS也可以

根据本人以往经验，系统文件中毒，杀软打不开的时候，系统基本就是病入膏肓，修复一个问题，又会出现更多的问题，反正是问题多多，费时费力，还不如直接重装，效率更高些