Question

电脑中了病毒，请高手们帮忙呀

症状：1.任务管理器里有sqkswrn.exe和klwxfhe.exe两个进程无法关闭,关闭后又重 新生成.
2.杀毒软件无法运行.
3.无法进入安全模式，在进入安全模式过程中自动重起.
4.双击某个分区的盘符就在一个新的windows窗口中打开.
5.无法显示隐藏文件.
6.重装系统后,再打开任意盘符,木马马上复生.

Answer 1

sqkswrn.exe和klwxfhe.exe两个进程
一旦中招，它们会在你除了C以外的所有盘下生成2个隐藏文件，一个是autorun，另外一个是病毒原名，比较古怪dnj什么的，（具体没记清楚），而且会更改你的系统属性让你无法察看隐藏文件,并关联.exe可执行程序，并在C：\windows\system32下生成klwxfhe.exe和sqkswrn.exe两者均为隐藏文件，进程里有表示。在注册表的N多地方写入自启动项目，并且，你一旦从注册表里删除，就自己立刻写入。其次，关联你的硬盘打开方式，你打开一次C除外的盘就等于是激发一次病毒。
另，注意，中了这个的话你的安全模式无法进入，下载的反病毒软件无法正常运行。

本人中过招，现已经搞定。说一下本人解决的方法。

首先，希望你有一个对于C盘的GHOST。（如果没有，那就无奈了）
1、首先用GHOST还原你的C盘，保证你的C盘和注册表的干净。
2、进入安全模式，此时你的C盘应该是干净的，不要打开其他盘和任何可执行程序。打开我的电脑--工具--文件夹选项--查看，让你可以完全察看系统文件和隐藏文件。
3、在桌面新建一个TXT文本文件点击文件--打开--文件类型（选择所有）打开D、E、F…………如果你有多个，依次打开，打开前边所说的两个autorun和dnj什么什么的隐藏文件，将里面的乱七八糟的内容随便删删。搞完之后保存文件，记得将你其他所有的盘里的两个文件都给“修改”一下并保存。
4、做完上面的一切后，点击开始--运行--D：--回车，打开D盘（因为你修改了刚才的两个文件，可能现在你会发现你的D、E…………等等的盘都无法正常打开了，所以用运行里的命令打开）找到刚才你修改的两个文件，将他们的属性改为“只读”。现在你的C盘应该已经又生成C：\windows\system32 klwxfhe.exe和sqkswrn.exe这两个文件了，不用理会，再次使用GHOST重新还原你的C盘。
5、进入系统，可能你的D、E、F…………等盘仍然不能正常打开，点击开始--运行--D、E……依次删除你所有盘下的autorun 和 dnj两个隐藏文件。之后重新启动一下系统。OK，全部搞定了。
现在你是考虑升级病毒库或者打系统补丁都行。最重要的是你在装好系统后有一个关于C盘的GHOST文件，这样你以后无论有什么麻烦都比较容易解决了。更重要的是你的GHOST做好后要把属性改为“只读”

Answer 2

我挨着给你回答啊
电脑高手多了
我不一定能给你答好 不过尽力
一.仅给各位朋友做个参考。
1.在另外一台干净的机器上下载冰刃，保存至干净的U盘，备用；
2.重新安装系统或者用中毒前的ghost镜像恢复系统（为了进入安全模式），进入安全模式。只打开任务管理器，不用运行其他任何EXE文件。插入U盘；
3.打开注册表，定位到："HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" 新建一个REG_DWORD（一定是这个类型）类型的键CheckedValue，并赋值“1”（如果已经有了，直接修改就可以），这样，我们就可以在资源管理器查看隐藏的文件了。
4.在资源管理器里选择“工具－－文件夹选项－－查看”，勾选“显示所有文件和文件夹”并去掉“隐藏受保护的操作系统文件”前的勾。
5.查看任务管理器，如果有klwxfhe.exe和sqkswrn.exe两个进程，请依次关闭sqkswrn.exe、klwxfhe.exe。
5.打开U盘上的冰刃，在冰刃左侧的栏里通过“文件”直接定位到 %WINDOWS%\system32下面的klwxfhe.exe和sqkswrn.exe强制删除，并在此目录新键两个文本文件，分别改名为klwxfhe.exe和sqkswrn.exe，同时把属性改为只读。
6.在注册表中搜索klwxfhe和sqkswrn，将包含这两个值的键全部删掉。
7.重启系统，搞定！
PS:等专杀工具出来了可以再查杀一遍，呵呵。如果是双系统用户，或者在DOS下，可以更方便的解决问题。关键是建立那两个只读文件，阻止病毒文件的建立。不再赘述，给大家一个思路。
二．在一里面说了
三．面对问题六，建议你在做完第一步后杀毒，如果不行就格式所有盘．然后重装系统
后面的我想放弃回答了
前面的你执行了．后面的应该是也没有行了吧
我没有遇到过这问题
除非 呵呵 我和你一样
可能会给你答的更详细点
以上仅供参考

Answer 3

有两个方法：
一、格式化所有硬盘分区，之所以打开任意盘符，说明在这些盘符有一个autorun.inf文件。
二、重系统盘。做好后，不要双击任意盘符！用右键点击一个盘符，用右键菜单中的“打开”命令打开，然后在“工具”-“文件夹先项”-“查看”-选中“显示所有文件和文件夹”。在当前打开的盘符找到autorun.inf，删除！用同样的方法处理其他所有的盘。最后杀软升级到最新，杀毒！
或者手动杀！
手动杀的方法：用记事本打开autonrun.inf，里面会有一些字母，看到后缀名为.exe的，根据上面所记录的路径，删除。最后删除autorun.inf.

切记：在没有确信处理完病毒前，不要双击打开盘符，而要用右键菜单中的“打开”。

Answer 4

下载Icesword1.20(1.12没文件强制删除功能），改成excel.exe运行，应该是可以成功运行的。
进入后终止这两个进程，一会儿又会重新生成，这时查看一下“监控进程创建”，估计是explorer.exe等几个系统进程，因为病毒已经注入到里面去了。
找到源进程后，查看一下它的模块，若有用户临时目录下的文件，十有八九是病毒注入的模块，记下文件名。
利用icesword的文件管理功能去检查temp目录、windows、system32目录下的文件，按创建日期排序，那些最近才创建的DLL、EXE文件，很多都是病毒文件，强制删除。
删除这些文件（还有每个分区的自运行文件）并终止尽可能的进程（只保留系统运行改需的）后，你可以下载卡卡上网助手来解除应用程序劫持了，估计也要改名运行，解除之后，杀毒软件也应该可以运行了，升到最新，全盘扫毒吧。

Answer 5

你重装系统没有将整个硬盘格式化，该木马在你双击硬盘分区就会发作 。

1：尝试用ICESWORD来关闭进程。并寻找该进程指向路径，关闭后看能否开启卡巴斯基
2：查看注册表和可疑启动项，并删除
3：若无法进入安全模式，必要时只能全面格式化