Question

怎么杀这个木马病毒

感染: 木马程序 Trojan.Win32.Agent.abe C:\WINDOWS\system32\drivers\sjyqcy58.sys 15.1 KB
这个木马比较麻烦，没法删程序，估计是进程里有，但是我不知道是哪个进程，求大家告诉我怎么杀这个病毒，方法不要太烦的，或者给个专杀也行。
我估计结束进程没用，他会再启动的。
卡巴斯基杀不掉，粉碎程序也没用。

Answer 1

病毒的清除
由于病毒关联了EXE文件，我们建议这样处理：
首先打开注册表编辑器或用来恢复文件关联的工具（如RegFix），先不要关闭（否则再次启动应用程序的时候使病毒又重新加载，或者将“.exe”的后缀名改为“.com”也可以。），然后通过任务管理器或KillBox或者是TroyanFindInfo等进程管理工具结束病毒Rundll32.exe的进程，接下来恢复EXE和TXT文件关联，最后再找到病毒文件删除掉：
%System%\ .exe
%System%\notepad .exe
%Windows%\System\RUNDLL32.EXE（如果是Windows 2000/XP）
%Windows%\System32\RUNDLL32.EXE（如果是Windows 9x）
还有一步，到QQ安装目录下，把病毒生成的TIMPlatform.exe删除，然后把TIMP1atform.exe改名为TIMPlatform.exe即可。
注：推荐使用工具来恢复TXT文件关联。
木马可以把自己改为系统启动时必定会调用的某个文件名，并复制到比原文件要浅一级以上的目录里。Windows系统搜寻一个不带路径信息的文件时遵循一种“从外到里”的规则，这就意味着，如果有两个同样名称的文件分别放在C:\和C:\Windows下，Windows会执行C:\下的程序，而不是C:\Windows下的，这就是木马运行起来的方式。但关键是如果你以为删除掉这些木马程序就万事大吉的话，你会发现在删除之后哭都来不及：系统也出了故障，所有应用程序都打不开了。因为在Windows系统里，文件的打开操作是通过注册表内相应键值指定的应用程序来执行的，这个部分位于注册表的“HKEY_CLASSES_ROOT”主键内。而应用程序自身也被视为一个文件，它也属于一种文件类型，同样可以用其他方式开启，只不过Windows设置它的调用程序为“"%1" %*”，但是木马程序则修改了应用程序(EXE文件)的并联方式,它将EXE后缀名对应的exefile类型的“打开方式”改成了“木马程序 "%1" %*”，也就是说，系统是通过调用木马程序将原来的.exe程序打开。所以当你把木马杀死后，没有东西给被改变并联方式的.exe文件传递参数，就没法启动这些程序，自然你的电脑的应用程序就打不开了。
一种最最最方便简捷有效的方法来恢复.exe文件的关联文件：新建一个记事本文件，把下面的复制进去
Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\exefile\shell\open\command]
@="\"%1\" %*"
直接保存，然后右键点此文件，选打开方式-〉选择程序-〉浏览到windows文件夹里双击regedit,把信息加到注册表就可以了 。

Answer 2

进入安全模式杀毒
如果还是不行
先选用两个查杀工具：一是Unlocker解套软件（点击下载）；二是IceSword冰刃专杀软件（点击下载）（主要用于清理注册表）。

1、安装并运行Unlocker解套软件。这个软件是右键扩充工具，安装后，它便能整合于鼠标右键的操作当中，当使用者发现有某个文件或目录无法删除时，只要按下鼠标右键中的“Unlocker”，那么程序马上就会显示出是哪一些程序占用了该目录或文件，接着只要按下弹出的窗口中的Unlock”就能够为你的文件解套。(因为病毒文件是寄生在其他系统文件里的,所以要把病毒解套出来才能看到它的真实面目,才便于杀掉它). Unlocker 不同于其它解锁软件的部分在于它并非强制关闭那些占用文件的程序，而是以解除文件与程序关连性的方式来解锁，因此不会像其它解锁程序一样因为强制关闭程序而造成使用者可能的数据遗失。 安装运行Unlocker后,在 C:\WINDOWS\system32 下找到病毒文件（是一个DLL文件，由字母和数字组成的，卡巴斯基能查到这个病毒但删不了，可以用卡巴斯基找到这个病毒文件名），找到带病毒的文件后,右击这个文件,在下拉菜单中选择unlocker进行解锁（安装完软件后会在右键菜单上生成一个unlocker的菜单项）。解锁后可用手动删除.也可用卡巴斯基删除.

删除system32里带病毒的dll文件后,再进入C:\WINDOWS\system32\drivers 里找到×.sys文件（×跟之前那个dll文件同名，只是扩展名不一样）用同样的方法先解锁后用手动删除。删除后记到清空回收站。然后再运行regedit打开注册表编辑器，分别在

HKEY_LOCAL_MACHINE\SYSTEM\Controlset001\Services

HKEY_LOCAL_MACHINE\SYSTEM\Controlset003(或002)\Services

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 下找到以病毒文件名命名的项并删除(这是删除病毒文件的注册项）至此,可恨的Trojan-Downloader.Win32.QQHelper.mo被杀掉了,重启计算机,卡巴斯基就不再报警尖叫了.

但是该病毒还没彻底删除干净，还有抓子（钩子）与外界相连，一但时机成熟又从病毒网站下载该病毒运行。所以要把抓子一起干掉，这个抓子在注册表：

HKEY-LOCA-MACHINE/sysTEM/controlset001/Enum/Root/LEGACY_NUTFPV20 里（也许你机子里的病毒文件名不是这个nutfpv20,但都在Root项下），这个抓子在常规下是删除不了的，必须要借助于以下工具。

2、运行IceSword冰刃专杀软件（此软件是免安装的）。打开后点“注册表”，按照地址HKEY-LOCA-MACHINE/sysTEM/controlset001/Enum/Root/LEGACY_NUTFPV20找到NUTFPV20（NUTFPV20是病毒文件名，也许你的不是这个文件名，但性质是一样的），删除右边栏里NUTFPV20的所有键值。

PS：如果不行，留言，一定答复，谢谢

Answer 3

你可以用这个软件到安全模式下去处理试试：
按杀毒软件提供的路径，记下来 （这种类型的病毒，杀软查杀时一般会报Windows/system32/drivers文件夹下的一个****.sys文件是病毒文件的）
1.下载一个软件：冰刃(http://www.ttian.net/website/2005/0829/391.html)
这是一个绿色软件，下载解压缩后即可使用。

2.在冰刃左侧的栏里通过“文件”直接定位到这个文件所在的文件夹下，找到这个文件。

3.通过按钮“创建时间”对这个文件夹下的文件进行排序，仔细查看与这个文件在创建时间是同一天的所有文件（但是不是都是与它一样是病毒文件，需要你判断）。右击它们一一删除。用同样的方法排查下system32文件夹，看看有没有同名或创建日期一致的.dll文件存在，有的话，一并删除。

4.搜索注册表里这个文件的键值，删除搜索到的－－如果有的话。
如果在system32文件夹下搜索到有.dll文件并且也删除了，在注册表中也搜索一下，看看有没有相关的键值，有的话也删除它。

5.重启电脑，这个东西应该清除干净了。

特别要注意第3步，搜索下System32这个文件夹下是否存在同名或同时间创建的dll文件。

另外你也可以用超级巡警这个软件来扫描下看看。

Answer 4

abeTrojan.Win32.Agent.abe病毒清除/删除方法及解决方案

这个QQ病毒和以往的此类病毒最大的区别就是不是通过发送网址来让人点击进入，而是染毒计算机会自动向QQ好友发送病毒文件，而且病毒文件大小不定，发送的病毒文件名具有一定诱惑性，诸如：

今年过年不收礼，收礼只收白骨精（搞笑版广告）.exe
啊哈，网友发的超级搞笑FLASH，你看得懂吗.exe
接啊，快接啊，推荐给你看看.exe
一个对你目前工作很有帮助的东东.exe
网上电视（20个CCTV频道+36个省台+50个英文台，极力推荐）.exe
等等。

病毒文件图标是WINRAR的压缩包的图样。

病毒运行后首先建立HKLM\Software\Classes\MSipv项，然后病毒创建自身副本到系统目录下：
%System%\ .exe
%System%\notepad .exe
%Windows%\System\RUNDLL32.EXE（如果是Windows 2000/XP）
%Windows%\System32\RUNDLL32.EXE（如果是Windows 9x）

并修改EXE和TXT的文件关联：
HKLM\Software\Classes\exefile\shell\open\command
EXE文件关联被修改为“ %1 %*”
HKLM\Software\Classes\txtfile\shell\open\command
TXT文件关联被修改为“notepad %1”

注：其中“ ”不是单纯的一个空格，而是一个字符,是双字节ASCII码为“41643”。病毒感染系统后会显示一个提示框：“安装时检测到系统中某程序与本软件发生冲突，请先纠正该冲突，或选择另一台电脑上安装！”
再注：病毒文件大小不固定，从文件内容来看好像是通过一些重复的信息来改变文件大小。

此外，病毒还会检查被感染系统是否安装QQ，如果安装有QQ，病毒则通过注册表找到QQ.EXE所在路径，把正常的TIMPlatform.exe改名为TIMP1atform.exe，将病毒自身复制为TIMPlatform.exe。

最后在注册表建立病毒标记：
HKLM\Software\Classes\MSipv\MainSetup
HKLM\Software\Classes\MSipv\MainUp
HKLM\Software\Classes\MSipv\MainVer
其中MainSetup和MainUp值相同，但不固定。

病毒的清除
由于病毒关联了EXE文件，我们建议这样处理：
首先打开注册表编辑器或用来恢复文件关联的工具（如RegFix），先不要关闭（否则再次启动应用程序的时候使病毒又重新加载，或者将“.exe”的后缀名改为“.com”也可以。），然后通过任务管理器或KillBox或者是TroyanFindInfo等进程管理工具结束病毒Rundll32.exe的进程，接下来恢复EXE和TXT文件关联，最后再找到病毒文件删除掉：
%System%\ .exe
%System%\notepad .exe
%Windows%\System\RUNDLL32.EXE（如果是Windows 2000/XP）
%Windows%\System32\RUNDLL32.EXE（如果是Windows 9x）
还有一步，到QQ安装目录下，把病毒生成的TIMPlatform.exe删除，然后把TIMP1atform.exe改名为TIMPlatform.exe即可。
注：推荐使用工具来恢复TXT文件关联。
木马可以把自己改为系统启动时必定会调用的某个文件名，并复制到比原文件要浅一级以上的目录里。Windows系统搜寻一个不带路径信息的文件时遵循一种“从外到里”的规则，这就意味着，如果有两个同样名称的文件分别放在C:\和C:\Windows下，Windows会执行C:\下的程序，而不是C:\Windows下的，这就是木马运行起来的方式。但关键是如果你以为删除掉这些木马程序就万事大吉的话，你会发现在删除之后哭都来不及：系统也出了故障，所有应用程序都打不开了。因为在Windows系统里，文件的打开操作是通过注册表内相应键值指定的应用程序来执行的，这个部分位于注册表的“HKEY_CLASSES_ROOT”主键内。而应用程序自身也被视为一个文件，它也属于一种文件类型，同样可以用其他方式开启，只不过Windows设置它的调用程序为“"%1" %*”，但是木马程序则修改了应用程序(EXE文件)的并联方式,它将EXE后缀名对应的exefile类型的“打开方式”改成了“木马程序 "%1" %*”，也就是说，系统是通过调用木马程序将原来的.exe程序打开。所以当你把木马杀死后，没有东西给被改变并联方式的.exe文件传递参数，就没法启动这些程序，自然你的电脑的应用程序就打不开了。
一种最最最方便简捷有效的方法来恢复.exe文件的关联文件：新建一个记事本文件，把下面的复制进去
Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\exefile\shell\open\command]
@="\"%1\" %*"
直接保存，然后右键点此文件，选打开方式-〉选择程序-〉浏览到windows文件夹里双击regedit,把信息加到注册表就可以了 。

如果你们的确看不懂 那我就给你们个补丁连接 打上补丁一般没事了
我的一些客户就是我给打的补丁 一直没出现什么问题
http://hi.baidu.com/pinkrare/blog/item/479a68d01b5e8c8fa1ec9c7f.html

Trojan.Win32.StartPage最新解决方法已经出台：http://hi.baidu.com/pinkrare/blog/item/8352c41b814ab3faae51337d.html
希望能给你们帮助。

Answer 5

这中病毒 很难处理的 建议 备份C盘 重装系统

重装系统 后 千万 不要打开 C盘以外的其他盘

因为 病毒 就在这些盘里 一触即发

方法1: 重装后 打开 "我的电脑" 在条栏 中找到 "工具" 点击 打开 "文件夹选项"

再打开"查看"在匡中找到"显示文件和文件夹" 点 此项 确定!!!

然后 在 "开始"中找到"运行"输入:"D:" 按回车 打开D 盘 有一个AUTO文件 打开AUTORUN.INF文件 删出里面 所显示的病毒程序 在D盘 最后也删出AUTORUN.INF文件(它就是你杀毒后进如其他新的页面 的文件)

依次 查杀其它盘 最后启动电脑 就可以了^^^

切记 在未做完 上束操作是 千万 不要打开 你的D E F 盘

否则 有中了^^^^

方法2: 冲装后 你也可以再安装杀毒软件 更新到最 最新

全面 扫描硬盘 通杀

再去网上下载一个AUTORUN清杀工具 在一杀 重新启动PC也就可以了

2中方法 都可一的