Question

电脑中毒~~导致快捷方式无法用~~

电脑中毒后~~现在杀了～～但是有很多软件无法用～～比如千千静听～～
本来是一个圆形的耳麦图标～～但是现在没有了图标～～而且一点击～～卡巴就弹出中毒的信息来～～这些病毒有 a1[1].exe SMSS.EXE
yudi[1].js popup[1].htm windds32.dll windhcp.ocx
现在我要怎么办？？
如果是说要重装系统就不用说了～～～

Answer 1

差不多是需要重新做了

SMSS.EXE(Session Manager Subsystem)，该进程为会话管理子系统用以初始化系统变量，MS-DOS驱动名称类似LPT1以及COM，调用Win32壳子系统和运行在Windows登陆过程。它是一个会话管理子系统，负责启动用户会话。这个进程是通过系统进程初始化的并且对许多活动的，包括已经正在运行的Winlogon，Win32（Csrss.exe）线程和设定的系统变量作出反映。在它启动这些进程后，它等待Winlogon或者Csrss结束。如果这些过程时正常的，系统就关掉了。如果发生了什么不可预料的事情，smss.exe就会让系统停止响应（挂起）。要注意：如果系统中出现了不只一个smss.exe进程，而且有的smss.exe路径是"%WINDIR%\SMSS.EXE"，那就可以肯定是中了病毒或木马了。MyPlaces(自我空间 自由展现) j&M(O k;^2@

7L }.S#R ^1O _ v c!Z;gGuest清除方法：MyPlaces(自我空间 自由展现)%\ B H ~9s W f u Y

P u g:\ M Q2s-^ D QGuest1. 运行Procexp.exe和SREng.exe
%e |4? F p Z:zGuest2. 用ProceXP结束%Windows%\SMSS.EXE进程，注意路径和图标
6R,H K.T AGuest3. 用SREng恢复EXE文件关联MyPlaces(自我空间 自由展现) d*F.E c6C-J K Y ^ h
1,2,3步要注意顺序，不要颠倒。MyPlaces(自我空间 自由展现)7G4i ? k:u'b1| d

F5c ] ~ nGuest4. 可以删除文件和启动项了……
`)n$g;k |+R rGuest
H r {5P!T3g H UGuest要删除的清单:

1. 结束病毒的进程%Windows%\smss.exe（用进程管理软件可以结束，如：Process viewer）MyPlaces(自我空间 自由展现) ^0} l,{ U7b S
MyPlaces(自我空间 自由展现) H1b6` b T l6g/@ w#U
2. 删除相关文件：MyPlaces(自我空间 自由展现)0Z ] E U7y'[
C:\MSCONFIG.SYSMyPlaces(自我空间 自由展现)1B o V W q { W
%Windows%\1.comMyPlaces(自我空间 自由展现) I+b;Z8P u1D
%Windows%\ExERoute.exe
s G6] z0G B2a p |Guest %Windows%\explorer.comMyPlaces(自我空间 自由展现) | | r E0u;Pc
%Windows%\finder.comMyPlaces(自我空间 自由展现)7d9I5V y6K K q3q n J \ |
%Windows%\smss.exeMyPlaces(自我空间 自由展现) L3p F I3?7F+C w }-R
%Windows%\Debug\DebugProgram.exeMyPlaces(自我空间 自由展现) u b N dm m F!@ \6O
%System%\command.pifMyPlaces(自我空间 自由展现)'A { K7V;L5| D.k L
%System%\dxdiag.com
7k7B y M p:c&v E ?Guest %System%\finder.comMyPlaces(自我空间 自由展现)!u P(\ n O5V'| d P
%System%\MSCONFIG.COMMyPlaces(自我空间 自由展现)#N [&D#I5O$r X i
%System%\regedit.comMyPlaces(自我空间 自由展现):G ~ f G o v4j R
%System%\rundll32.comMyPlaces(自我空间 自由展现) [ j I}*X a ?
%ProgramFiles%\Internet Explorer\iexplore.com
%u:C9M:k4}Guest %ProgramFiles%\Common Files\iexplore.pifMyPlaces(自我空间 自由展现) [ t/q \ G ~ C G#A c
MyPlaces(自我空间 自由展现)6m;|(z b:Z Z;w ]
3. 恢复EXE文件关联
x:O q8b F.a!B'^ mGuest 删除[HKEY_CLASSES_ROOT\winfiles]项MyPlaces(自我空间 自由展现)*[ M Q7d#N \ l&H C

*m)] }'d ?-L ` d c EGuest 4. 删除病毒启动项：MyPlaces(自我空间 自由展现) y4Z&P2} ~.F!X L0y
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]MyPlaces(自我空间 自由展现) C:^ ] y,v4?*t5G"Q X
"Torjan Program"="%Windows%\smss.exe"
;q N7Y!b y gGuest 修改[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]下MyPlaces(自我空间 自由展现) E'^)S } T7X'n3Y){
"shell"="Explorer.exe 1"
&b#H5X T c y(p _1c rAGuest 为MyPlaces(自我空间 自由展现)"O,] P b L(z T:F `.H
"shell"="Explorer.exe"MyPlaces(自我空间 自由展现) @&\ f e-R m!S v l'P&\
MyPlaces(自我空间 自由展现)!C B k1c4|.P t!F j c
5. 恢复病毒修改的注册表信息：MyPlaces(自我空间 自由展现) D Z)Z/?:Y6n s W A
(1)分别查找“command.pif”、“finder.com”、“rundll32.com”的信息，将“command.pif”、“finder.com”、“rundll32.com”修改为“rundll32.exe”
)y i | _ TGuest
!O _ ` I qGuest (2)查找“explorer.com”的信息，将“explorer.com”修改为“explorer.exe”MyPlaces(自我空间 自由展现)'r B&I ]%_ ` [ t6m'K

g9q a j5a T4FGuest (3)查找“iexplore.com”的信息，将“iexplore.com”修改为“iexplore.exe”MyPlaces(自我空间 自由展现)8b L B*K I(M [,H

k#i%u [&{ M QGuest (4)查找“iexplore.pif”的信息，将找到的“%ProgramFiles%\Common Files\iexplore.pif”修改为“%ProgramFiles%\Internet Explorer\iexplore.exe”MyPlaces(自我空间 自由展现) I/C `'~3\-E d2W9Q f G

m+F ] O/tGuest
,D W5Z#j(` i"M fGuest 6 在command模式下写入assoc .exe=exefileMyPlaces(自我空间 自由展现) a h9n.h!B6B A
修复exe关联，这样exe文件才可以打的开

MyPlaces(自我空间 自由展现)%U#U e O)M K

)t:H;p-g#{!k s Q `&zGuest删除的启动项：MyPlaces(自我空间 自由展现) k ~&x S7x t l

Code:[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
x7c,L+a ^/UGuest"TProgram"="%Windows%\SMSS.EXE"
)` C { c ^ ]:@ O `GuestMyPlaces(自我空间 自由展现).D g;| J;S s J-r
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices]
F g.}#o)u(A:IGuest"TProgram"="%Windows%\SMSS.EXE"
:z `4`(t S/n)g k B5bGuest
)Y T0X1d bGuest[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]MyPlaces(自我空间 自由展现) J i*X%I [;w ? a B |
"Shell"="Explorer.exe 1"MyPlaces(自我空间 自由展现) f P S T I [ U L
修改为：
-? G P)f l T(I N"r c%qGuest"Shell"="Explorer.exe"MyPlaces(自我空间 自由展现) C ~'a/a T A%T

3~ Z O!t2J J qGuest删除的文件就是一开始说的那些，别删错就行
,k/L [1l9qGuestMyPlaces(自我空间 自由展现)/r*U Y(r3d2i
5. 最后打开注册表编辑器，恢复被修改的信息：MyPlaces(自我空间 自由展现) z,H U l f-A |
查找“explorer.com”，把找到的“explorer.com”修改为“explorer.exe”；MyPlaces(自我空间 自由展现) M ^ v x3c } F O K ^
查找“finder.com”、“command.pif”、“rundll32.com”，把找到的“finder.com”、“command.pif”、“rundll32.com”修改为“rundll32.exe”；MyPlaces(自我空间 自由展现)/S5p IN;R9~!\4] r
查找“iexplore.com”，把找到的“iexplore.com”修改为“iexplore.exe”；MyPlaces(自我空间 自由展现) ` J)` y } x7r y
查找“iexplore.pif”，把找到的“iexplore.pif”，连同路径一起修改为正常的IE路径和文件名，比如“C:\Program Files\Internet Explorer\iexplore.exe”。MyPlaces(自我空间 自由展现) ` N w)N ^
MyPlaces(自我空间 自由展现) C z ^(V;y v7i0]:R)[ S Y
关于SMSS.EXE进程的描述：MyPlaces(自我空间 自由展现)!l q'Z-Y,@ y Z4d Q

1Qe b1`{ u LGuest
y \"f8{ _Guest MyPlaces(自我空间 自由展现) ^ @5X/i ^ h
进程文件： smss or smss.exe
6] U O1jJ;}6YGuest进程名称： Session Manager Subsystem
!P6r m y8X3q ?:c uGuest进程类别：其他进程
h#F2` M M!wGuest英文描述：
/f2@ H8~ { E u1VGuest MyPlaces(自我空间 自由展现) D F6o G {;X `X+p {
Code:smss.exe is a process which is a part of the Microsoft Windows Operating System. It is called the Session Manager SubSystem and is responsible for handling sessions on your system.This program is important for the stable and secure running of your comp MyPlaces(自我空间 自由展现) e H O ?.s+V L h,O

w G/i%b*i B(W,R&zGuest中文参考： MyPlaces(自我空间 自由展现)7Z&D7k5b)J9b5T
Code:smss.exe是微软Windows操作系统的一部分。该进程调用对话管理子系统和负责操作你系统的对话。这个程序对你系统的正常运行是非常重要的。注意：smss.exe也可能是Win32.Ladex.a木马。该木马允许攻击者访问你的计算机，窃取密码和个人数据。该进程的安全等级是建议立即删除。MyPlaces(自我空间 自由展现) e;M q ~-r#e6j U
出品者：Microsoft Corp.
0o [3? H9b(G.J u9W oGuest属于：Microsoft Windows Operating System
l*X{ |9r wGuest系统进程：Yes
V w Y$r t e$s LGuest后台程序：Yes MyPlaces(自我空间 自由展现)2d V3n z L7p6[
网络相关：No MyPlaces(自我空间 自由展现) C \ S D(J J W V6Z _ N
常见错误：N/A MyPlaces(自我空间 自由展现))p1P X W-} V7V0Z ] u
内存使用：N/A MyPlaces(自我空间 自由展现)"J X/k ~6Y C
安全等级 (0-5): 0

Answer 2

中毒了

病毒特征
1、这个病毒关闭众多杀毒软件和安全工具
2、循环遍历磁盘目录，感染文件，对关键系统文件跳过
3、感染所有EXE、SCR、PIF、COM文件,并更改图标为烧香熊猫
4、感染所有.htm/.html/.asp/.php/.jsp/.aspx文件，添加木马恶意代码
5、自动删除*.gho文件
6，病毒攻击计算机弱口令以及利用微软自动播放功能
“尼姆亚（Worm.Nimaya）”病毒：警惕程度★★★☆，蠕虫病毒，通过感染文件传播，依赖系统：WIN 9X/NT/2000/XP。
诱使用户运行。病毒运行后，会自动查找Windows格式的EXE可执行文件，并进行感染。由于该病毒编写存在
问题，用户的一些软件可能会被其损坏，无法运行。
建议你去瑞星官网下个专杀工具:
http://it.rising.com.cn/Channels/Service/2006-11/1163505486d38734.shtml
熊猫烧香病毒专杀及手动修复方案
http://www.pconline.com.cn/pcedu/soft/virus/safe/0701/942893.html

杀毒完成以后如果还是不可以使用
使用下载瑞星的注册表修复器：http://download.rising.com.cn/zsgj/RegClean.com，利用它来修复一下文件关联。