一、下载附件到c:\windows\system32目录下，然后调出任务管理器，结束userinit.exe这个进程，右键附件，选择“解压到当前文件夹”，在系统提示是否替换时选择“是”；
二、卸载瑞星杀软、防火墙、QQ，并删除软件安装目录；
三、下载XDELBOX1.8，解压后，关闭IE，拔掉网线（之后所有操作均在无网络连接状态下进行），运行XDELBOX.EXE，利用“抑制再生”、“导入剪贴板不检查路径”、“立即重启执行删除”等功能，一次性删除如下病毒文件：
C:\WINDOWS\system32\sh01019.dll
C:\WINDOWS\system32\sh02004.dll
C:\WINDOWS\system32\sh03003.dll
C:\WINDOWS\system32\sh05004.dll
C:\WINDOWS\system32\sh12007.dll
C:\WINDOWS\system32\sh14015.dll
C:\WINDOWS\system32\sh17019.dll
C:\WINDOWS\system32\sh18021.dll
C:\WINDOWS\system32\sh21012.dll
C:\WINDOWS\system32\sh23007.dll
C:\WINDOWS\system32\sh27006.dll
C:\WINDOWS\system32\sh21013.dll
C:\WINDOWS\system32\sh18022.dll
C:\WINDOWS\system32\chmhp.dll
C:\Program Files\Internet Explorer\53u1ttMe.2ys
C:\WINDOWS\system32\755D0ED0.dll
C:\WINDOWS\system32\122B901E.dll
C:\WINDOWS\system32\43ACDCC5.dll
C:\WINDOWS\system32\4FBFD5A4.dll
C:\WINDOWS\system32\9F684DE8.dll
C:\WINDOWS\system32\DA63E650.dll
C:\WINDOWS\system32\5934EA2B.dll
C:\WINDOWS\system32\58FF3024.dll
C:\WINDOWS\system32\C8FFD223.dll
C:\WINDOWS\system32\66AFCB56.dll
C:\WINDOWS\system32\08223B03.dll
C:\WINDOWS\system32\BA7EDF54.dll
C:\WINDOWS\system32\E4814792.dll
C:\WINDOWS\system32\E1D19FCC.dll
C:\WINDOWS\system32\201476D0.dll
C:\WINDOWS\system32\E59214A3.dll
C:\WINDOWS\system32\2EF0D734.dll
C:\WINDOWS\system32\System.exe
C:\WINDOWS\system32\chmhp.exe
C:\WINDOWS\system32\HBWOW.dll
C:\WINDOWS\system32\HBDNF.dll
C:\WINDOWS\system32\HBJTLQ.dll
C:\WINDOWS\system32\HBQQXX.dll
C:\WINDOWS\system32\HBWD.dll
C:\WINDOWS\system32\HBTL.dll
C:\WINDOWS\System32\Drivers\aliimz.sys
C:\WINDOWS\system32\c39e8db.sys
C:\WINDOWS\\system32\drivers\HBKernel32.sys
C:\WINDOWS\system32\d435fd4.sys
C:\Documents and Settings\tdszl\antisg.sys
C:\WINDOWS\system32\de8296f.sys
C:\WINDOWS\system32\b160485.sys
C:\WINDOWS\system32\f35ee9e.sys
C:\DOCUME~1\tdszl\LOCALS~1\Temp\987691
四、重启删除病毒文件并重新登录系统后，进入注册表编辑器:
1、删除如下注册表项：
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<HBService32>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
<nwiz>
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
<{755D0ED0-3996-4ADB-9B1F-AD8F0E9E4738}>
<{122B901E-493F-4AD9-BC69-7DE8C3E52FCC}>
<{43ACDCC5-9009-4AF4-B80A-93BC656EF298}>
<{4FBFD5A4-5FE8-4444-8BD9-FD0FAFA64F96}>
<{9F684DE8-3E87-4174-9033-E02A3DFD8B61}>
<{DA63E650-537C-4042-87BB-9D19D844680B}>
<{5934EA2B-B2C4-4BE7-BF7A-FBA781A12E40}>
<{58FF3024-8A83-4B1A-88E9-302F47646EEE}>
<{C8FFD223-C0FB-40C5-94A0-FD7891AC18E9}>
<{66AFCB56-FAA9-42D2-8C72-2767A46C7FA8}>
<{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}>
<{BA7EDF54-8408-4B21-B351-7B447B344BA4}>
<{E4814792-EFA3-4C20-93D0-8B130A59F9A8}>
<{F6A454AE-156A-415E-9F89-3795677A8A91}>
<{E1D19FCC-4777-4D71-B863-6A0A5B4E59BC}>
<{201476D0-2B18-462E-AB9F-3E2B0CC8732B}>
<{E59214A3-5359-415A-9E5E-50F3273DC168}>
<{2EF0D734-21FD-4225-A1A2-BCD296182AAF}>
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\CCenter.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ras.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMon.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavStub.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavTask.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RsAgent.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RSTray.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Thunder5.exe]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\aliimz]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\c39e8db]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\HBKernel32.sys]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\antisg]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\de8296f]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\b160485]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\f35ee9e.sys]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\d435fd4]
2、将[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]<AppInit_DLLs>这个注册表值项的数据修改为<kmon.dll> （不包括外面的尖括号，原有数值多余的字符串全部删除）。
五、运行SRENG扫描工具，系统修复--浏览器加载项，删除如下项：
[]
{F6A454AE-156A-415E-9F89-3795677A8A91}
[]
{F6A454AE-156A-415E-9F89-3795677A8A91}
六、清理系统临时文件和IE缓存；
七、重启电脑；
八、安装瑞星杀软、防火墙、QQ；
九、反馈结果。
