| 引用: |
【hehemyfall的贴子】你为什么要骂我？我哪里惹你了？我希望你对你的留言负责。你自己来给我解释,http://www.47555.net/o.asp?=岸芷汀兰
请问这是什么病毒？只在第一次打开聊天对话框时候自动发送。
谢谢
........................... |
如果系统是Windows 9x，病毒将系统原来的Internat.exe和Rundll32.exe复制到C盘根目录，把自己以Internat.exe和Rundll32.exe文件名复制到它们原来的位置，所以在删除了病毒文件后要把C盘根目录下病毒“好心”备份的原系统文件复制回去。
在安全模式下删除：
%Windows%\Cqdll.dll
%Windows%\delttoul.exe
%Windows%\lsass.exe
%Windows%\MlcrosoftSound.wav（MlcrosoftSound.wav的第二个字母是L）
%Windows%\rundll32.exe
%Windows%\services.exe
%Windows%\smss.exe
%Windows%\ywin32.dll
%System%\cq0dll.dll
%System%\hiddukel.dll
%System%\huangjiaju.exe
%System%\lnterapi32.dll（lnterapi32.dll的第一个字母是L）
%System%\lnterapi64.dll（lnterapi32.dll的第一个字母是L）
%System%\slsorve.exe
%System%\SVCH0ST.EXE（SVCH0ST.EXE中的0是数字0，不是字母O）
%System%\winc1.exe
%System%\winc2.exe
%System%\winmem.exe
%System%\WinSocks.dll
%System%\yyd55dg.dll
%System%\yyd55dg.exe
%ProgramFiles%\explorer.exe
删除病毒建立的启动项信息：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
(默认) = winmem
loadMecq0 = %ProgramFiles%\explorer.exe
SysDll32_ = %Windows%\delttoul.exe
services = %Windows%\services.exe
smss = %Windows%\smss.exe
slSorvice = %System%\slsorve.exe
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
ws_dd = %Windows%\lsass.exe
services = %Windows%\services.exe
smss = %Windows%\smss.exe
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
26 = %System%\slsorve.exe
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
ws_dd = %Windows%\lsass.exe
smss = %Windows%\smss.exe
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices]
smss = %Windows%\smss.exe
还要删除：
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}]
[HKEY_LOCAL_MACHINE\Software\CLASSES\LNTERAPI64.classname]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\ShellExecuteHooks]下的{081FE200-A103-11D7-A46D-C770E4459F2F}
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
编辑WIN.INI文件中run=%Windows%\smss.exe为run= （Windows 9x）；
在注册表编辑器中定位到HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows，修改右边“run”的内容，将“%Windows%\smss.exe”删除，改为空（Windows NT/2000/XP/2003）。
编辑SYSTEM.INI文件中Shell = Explorer.exe %Windows%\lsass.exe为Shell = Explorer.exe（Windows 9x）；
在注册表编辑器中定位到“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”，编辑右边“Shell”的内容，将“Explorer.exe %Windows%\lsass.exe”修改为“Explorer.exe”（Windows NT/2000/XP/2003）。
恢复被修改的起始页信息：
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page，建议设置为“
about:blank”
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page，建议设置为“
about:blank”
