Question

小弟电脑中拉木马病毒，杀不掉，望高手帮解决

小弟电脑中的是Trojan.win32.startpage.amg木马病毒，装的杀毒软件是咔吧6.0的，能发现病毒，显示重启后会删除，但重启都不能把其删掉，望高手帮忙解决。还有个就是我的IE 浏览器不能打开，请问是点原因
小弟的电脑在开机的时候回出现加载c:\windows\system32\mgsfif34.dll时出错，找不到指定的模块；按照 gloomrabbi给我的方法我试拉下，我的电脑感染病毒的文件是mgsfif34.sys,在查找－句柄或Dll里输入上面的文件名可以找到该文件，但在选择关闭句柄是出现强制制关闭会出现系统崩溃的字样，并说明关闭句炳无效，我不知是怎么会事，至于mgsfif34.dll文件根本就找不到所以也就不能将其关闭和删除，望高手能对我的上续补充进行帮助，再次谢过.小弟今天在查找文件的时候竟然找不到被病毒感染的文件，这又是怎么回事呢
，望高手帮忙拉

Answer 1

引自“小虫也无敌”的回答，建议下次先搜索下以回答过的

http://berrykwok.hits.io/MY123Killer2.zip

该病毒会恶意篡改用户首页为my123.com

使用方法：
打开My123Killer.exe,会自动检测系统是否被my123.com病毒感染

若是，可以点清除，将其清除之

杀完后推荐使用360安全卫士修复一下
下载地址
http://220.181.34.241/setup.exe

如果用上述软件无法查杀,就再试试我这个方法吧
首先你要确定你那里的病毒名称,肯定是8位的,最后2位为数字
再下载一个procexp这个软件
菜单栏 点击查找－句柄或Dll
在搜索框中输入那个驱动的名称 我这里是dngxcm52.sys
搜索出来了
单击那个搜索结果 软件会自动定位到那个 驱动的位置
然后在那个上面点右键——关闭句柄
然后同理 查找与那个启动同名的dll文件 我这里是dngxcm52.dll
再用同样的方法搞定它
然后删除掉这2个文件
一个在c:\windows\system32\drivers\XXXXXXXX.sys
一个在c:\windows\system32\XXXXXXXX.dll

然后进入注册表 查找XXXXXXXX这个文件名(后边不用带扩展名),把所有找到的都删除
再查找www.my123.com 都删除
然后重起

再用专杀杀一下,安全卫士修复一下
这里提醒一下,在装安全卫士的时候最好改一下安装文件夹的名字

转自360安全论坛的病毒特征

病毒的核心部分是一个驱动程序
该驱动程序是随机文件名的.sys文件
疑似是之前piaoxue驱动的修正版
该驱动会在操作系统加载时作为System Bus Extend驱动加载
然后 会将自身以独占方式打开，导致任何Windows下程序也无法读写及删除它
系统启动后，驱动开始分多个模块工作（分别建立多个线程）
1.服务保护模块:该模块会检测驱动自身的注册表服务项，不停地暴力重写自身服务项，使得无法删除其服务项
2.自身文件独占及句柄检测保护模块等:
会将自身文件以独占方式打开，这样若不解除独占，任何windows下使用常规访问文件方法的程序包括杀毒软件都无法读写或者删除它的驱动程序文件
文件句柄检测保护模块则是为了针对之前我的piaoxue类专杀而进行的保护
之前我的专杀会强制解除piaoxue类驱动对自身文件的独占，从而将其清除
但该驱动增加了这个保护，会不停检测自身文件的独占是否被强制解除，如果检测到，立即再次独占

2.篡改首页模块:该模块会不停暴力重写注册表中首页设置为www.my123.com，导致无法对该项进行修复

下面来看看为什么这个流氓会在11月11日这天突然大面积爆发
该篡改模块会检测当前时间是否在2006年11月1日到2006年11月10日之间
如果在这段时间之内，那么则潜伏下来，只有模块1和模块2运行，不修改主页
到了11月11号这天，则启动模块3,强行篡改用户主页
也就是说 11月开始，该流氓早已在大量用户的机器上潜伏下来
（去看了下各个可能感染源的连接，每个都有数百万乃至数千万的下载量，有些更是在一些知名的下载网站上）
然后一直不发作，等到11日，就会突然发作，造成“my123流氓不明原因大面积爆发”的现象，既使反流氓组织措手不及，又使得查出流氓感染源变得困难重重

从piaoxue,feixue,再到现在的my123，其流氓手段已经同病毒无异
此次的my123已经完全具备了衡量病毒的三大特征： 潜伏性、传播性、破坏性
在我们在道德上对这些病毒作者及网站站长进行谴责的同时，这些人更应受到法律的制裁

Answer 2

你可以用这个软件到安全模式下去处理试试：
按杀毒软件提供的路径，记下来
1.下载一个软件：冰刃(http://www.ttian.net/website/2005/0829/391.html)
这是一个绿色软件，下载解压缩后即可使用。然后重启机器到安全模式下，
对于杀软提供的DLL文件，点击：进程 逐个右击右侧的进程－－模块信息，仔细查看这个dll到底对哪些进程进行了插入（特别是那些系统进程），尝试用右侧的“强制解除”试试，能不能将这个dll文件从进程中解除出来（可能会碰上在某个进程中强制解除时机器会重启的现象，碰上这个问题的话，就麻烦多了，在这里也讲不清了）。
如果不行，请先运行regsvr32 /u 这个dll文件，将它从系统中反注册。

2.对于杀软提供的这个.sys文件，直接在冰刃左侧的栏里通过“文件”直接定位到这个文件所在的文件夹下，找到这个文件

3.通过按钮“创建时间”对这个文件夹下的文件进行排序，仔细查看与这个文件在创建时间是同一天的所有文件（但是不是都是与它一样是病毒文件，需要你判断）。右击它们一一删除。

4.在这个软件的界面里直接搜索注册表里这个文件的键值，删除搜索到的。

5.重启电脑，这个东西应该清除干净了。

Answer 3

找到病毒文件，点击右键选属性再选安全选项。进去把组或用户名的权限修改成允许，再杀毒就行了。

Answer 4

因为病毒会修改注册表`启动等很多东西不是杀一次就行了。建议去安全模式杀一下。。在不行就重做系统了。

Answer 5

杀毒软件很难对付木马，就算是卡巴斯基，用杀木马的专杀工具，evido