感染系统后，这个木马破坏多种文件关联。

1/结束木马进程CSRSS.EXE。
2/将注册表修复工具RegFix.exe的后缀改为.scr。运行RegFix.scr，选择“全自动修复”，修复文件关联。
3/删除下列文件（图）。图待补发。今天论坛不能发JEPG图片附件。只要带图片附件，就回应：出现异常。
4/清理注册表：

（1）HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
删除：@="\"C:\\Program Files\\Internet Explorer\\IEXP1ORE.com\""

（2）HKEY_CLASSES_ROOT\ftp\shell\open\command
删除： @="\"C:\\Program Files\\Internet Explorer\\IEXP1ORE.com\" %1"

（3）HKEY_CLASSES_ROOT\htmlfile\shell\open\command
删除 ：@="\"C:\\Program Files\\Internet Explorer\\IEXP1ORE.com\" -nohome"


（4）HKEY_CLASSES_ROOT\htmlfile\shell\opennew\command

删除： @="\"C:\\Program Files\\common~1\\IEXP1ORE.pif\" %1"

（5）HKEY_CLASSES_ROOT\winfiles\Shell\Open\Command

删除：@="C:\\WINDOWS\\ROUTER.exe \"%1\" %*"

（6）HKEY_CURRENT_USER\Software\VB and VBA Program Settings\Microsoft Soft Debuger\Settings

删除："GUID"="{KFIXE3-N8A50B-O2A82F-5WU490-6YBUUU}"

（7）HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除：Trojan Program

（8）HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

删除：Trojan Program

怎么不能发图片附件了？
只要有图片附件，发帖就失败（出现异常）。

汗！！！

引用:

【baohe的贴子】怎么不能发图片附件了？ 只要有图片附件，发帖就失败（出现异常）。 汗！！！ ...........................

昨天就是了。

这个木马还是那个“龙”吗？

【回复“天天泡泡”的帖子】
是的。

泡泡元旦快乐！！

【回复“baohe”的帖子】
还是那么变态的东东啊

也祝您新年快乐！

这个木马现在命名了没?昨天看见"幸福的狮子"也发了个~不知道是不是同一个~

我中的就是这个，好几天了，怎么也删不掉，删了又自动生成。都应该删那些文件啊？能你第三步里的图发上来吗？我看看是不是有我没删掉的文件。谢谢了。

我不玩传奇呵

这是我的HijackThis v1.99.1扫描结果。

Logfile of HijackThis v1.99.1
Scan saved at 18:05:56, on 2006-1-12
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
E:\WINNT\System32\smss.exe
E:\WINNT\system32\winlogon.exe
E:\WINNT\system32\services.exe
E:\WINNT\system32\lsass.exe
E:\WINNT\system32\svchost.exe
E:\WINNT\system32\spoolsv.exe
E:\WINNT\system32\svchost.exe
E:\WINNT\system32\ServeHost.exe
F:\PROGRAM FILES\RISING\RAV\Ravmond.exe
E:\WINNT\system32\MSTask.exe
E:\WINNT\system32\stisvc.exe
E:\Program Files\SearchNet\SearchNet.exe
E:\WINNT\System32\WBEM\WinMgmt.exe
F:\PROGRAM FILES\RISING\RAV\RavStub.exe
E:\WINNT\system32\svchost.exe
E:\WINNT\Explorer.EXE
E:\Program Files\HuaCi\huaci\zsearch.exe
E:\WINNT\CSRSS.EXE
F:\Program Files\Rising\Rav\RavTimer.exe
E:\WINNT\system32\internat.exe
E:\Program Files\HuaCi\huaci\ZsUp.exe
E:\WINNT\system32\conime.exe
E:\Program Files\racer-henan-cnc\racer.exe
E:\Program Files\racer-henan-cnc\RacerKp.exe
F:\Program Files\Rising\Rav\RsAgent.exe
E:\Program Files\Maxthon\Maxthon.exe
E:\WINNT\ROUTER.exe
E:\WINNT\ROUTER.exe
F:\软件\155847200541134207\HijackThis.exe
E:\WINNT\system32\taskmgr.exe

R3 - URLSearchHook: 雅虎助手 - {406F94F0-504F-4a40-8DFD-58B0666ABEBD} - E:\PROGRA~1\Yahoo!\ASSIST~1\assist\yasbar.dll
O3 - Toolbar: @msdxmLC.dll,-1@2052,电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - E:\WINNT\system32\msdxm.ocx
O3 - Toolbar: 雅虎助手 - {406F94F0-504F-4a40-8DFD-58B0666ABEBD} - E:\PROGRA~1\Yahoo!\ASSIST~1\assist\yasbar.dll
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [MoveSearch] E:\Program Files\HuaCi\huaci\zsearch.exe
O4 - HKLM\..\Run: [PigUpdate] E:\DOCUME~1\tantian\LOCALS~1\Temp\RarSFX1\DownLoadPig.exe
O4 - HKLM\..\Run: [SKYNET Personal FireWall] E:\Program Files\SkyNet\FireWall\PFW.exe
O4 - HKLM\..\Run: [Trojan Program] E:\WINNT\CSRSS.EXE
O4 - HKLM\..\Run: [SearchNet_Up] "E:\Program Files\SearchNet\ServeUp.exe"
O4 - HKLM\..\Run: [CdnCtr] (T'
x


O4 - HKLM\..\Run: [RavTimer] F:\Program Files\Rising\Rav\RavTimer.exe
O4 - HKLM\..\RunServices: [Trojan Program] E:\WINNT\CSRSS.EXE
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - Startup: 划词搜索.lnk = E:\Program Files\HuaCi\huaci\zsearch.exe
O8 - Extra context menu item: &使用迅雷下载 - E:\Program Files\Thunder Network\Thunder\geturl.htm
O8 - Extra context menu item: &使用迅雷下载全部链接 - E:\Program Files\Thunder Network\Thunder\getallurl.htm
O8 - Extra context menu item: 上传到QQ网络硬盘 - D:\qq\AddToNetDisk.htm
O8 - Extra context menu item: 添加到QQ自定义面板 - D:\qq\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - D:\qq\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - D:\qq\SendMMS.htm
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - D:\qq\QQ.EXE
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - D:\qq\QQ.EXE
O9 - Extra button: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - D:\qq\QQIEHelper.dll
O9 - Extra 'Tools' menuitem: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - D:\qq\QQIEHelper.dll
O16 - DPF: {3D8F74EE-8692-4F8F-B8D2-7522E732519E} (WebActivater Control) - http://game.qq.com/QQGame2.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1135394794479
O16 - DPF: {E4E2F180-CB8B-4DE9-ACBB-DA745D3BA153} (Rising Web Scan Object) - http://download.rising.com.cn/register/pcver/autoupgradepad/Ver2005/OL2005.cab
O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - E:\WINNT\System32\dmadmin.exe
O23 - Service: Network DRV (NTDRV) - Unknown owner - E:\WINNT\system32\netdrvr.exe (file missing)
O23 - Service: Remote Log - Unknown owner - E:\WINNT\system32\ServeHost.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - rising - F:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - F:\PROGRAM FILES\RISING\RAV\Ravmond.exe



这是和木马同时生成的文件，请问那些是木马？

多着呢
应该全都是吧（可能是覆盖ＷＩＮＤＯＷＳ系统文件了）