瑞星卡卡安全论坛

问题症状：　
    开机后大约２－３分钟，cmd.exe自动运行，并占满cpu,结束进程并无异样出现 系统恢复正常，但重启依然
跟踪cmd命令，发现cmd命令运行的是 　　
C:\DOCUME~1\XXX\LOCALS~1\Temp\microsoft.bat，该bat文件内容如下 　　
try 　　
del "C:\DOCUME~1\XXX\LOCALS~1\Temp\asas.exe" 　　
if exist "C:\DOCUME~1\XXX\LOCALS~1\Temp\asas.exe" goto try 　
del %0
安全模式下找到microsoft.bat，asas.exe删除，重新启动后2-3分钟cpu再次被cmd占满
再次跟踪cmd命令，发现每当出现CMD.EXE进程之前都会出现new123.dll进程，搜索c盘发现 　　是在IE PLUGINS中的一个控件，打开C:\\Program Files\\Internet Explorer\\PLUGINS 　　
发现三个文件都是以new123命名的 　 　　
到安全模式下删除C:\\Program Files\\Internet Explorer\\PLUGINS中的new123命名的 　　三个文件，到C:\DOCUME~1\XXX\LOCALS~1\Temp\删除microsoft.bat，asas.exe文件， 　
并且再搜索一下注册表关于new123的信息全部删除后 　　
重新启动，症状解决。 　　

总结：这个木马确实比较高明，卡巴斯基最新版，木马克星最新版都不能发现,在进程管理器也根本看不到，他不加载单独的进程，而是通过explorer.exe调入 new123.sys，每隔10分钟自动检查microsoft.bat和asas.exe文件是否存在，如不存在则重新释放文件，所以即使删除了这两个文件，也会再次出现。 　作者本意应该是在盗取有用信息后，试图通过microsoft.bat删除asas.exe， 　然后隔几分钟再生成asas.exe再盗取信息，然后又删除又生成……不想木马创建的asas.exe是系统隐藏文件，删除不掉，导致cpu100%，这也是作者的一个小失误把，庆幸……

参考http://forum.ikaka.com/topic.asp?board=28&artid=8064333
清理一下注册表里的垃圾吧。
一般来说，病毒将自身复制到指定位置后删除自身，都是用的cmd命令。所以监控cmd命令的产生可以发现一些蛛丝马迹。不过我之前拿到的样本，运行时并不会出现cmd.exe占用100％的问题，你中的那个，应该有缺陷。
另外，此毒金山毒霸和瑞星早有报毒。

我用的是卡巴 貌似这个毒卡巴查不到

此毒若运行成功，将删除QQ密码保护驱动，所以清除此毒后建议重装QQ（刚才附的帖子，baohe不用qq的，所以没有发现。）

将CMD改个名就什么问题都没有了,我试过,现在用得很好
根据楼主的办法找那几个文件没看到哈