这只木马确实比较疯狂。然而，如果您安装了SSM，对付它，也不是什么难事。
即使不慎中招，SSM也会自动禁止其添加的两个关键启动加载项（图1）。这样，您可以轻松删除木马创建的19个文件（图2）。注意：木马文件CSRSS.EXE在WINDOWS文件夹中；正常系统文件CSRSS.EXE在系统文件夹中。不要盲目乱删文件。

注册表清理略繁（这个木马太BT了）。

可先用RegFix自动修复注册表。然后，再进行如下注册表清理工作。

展开：HKEY_CLASSES_ROOT\.bfc\ShellNew
删除："Command"="%SystemRoot%\\system32\\rundll32.com %SystemRoot%\\system32\\syncui.dll,Briefcase_Create %2!d! %1"

展开：HKEY_CLASSES_ROOT\.lnk\ShellNew
删除："Command"="rundll32.com appwiz.cpl,NewLinkHere %1"


展开：HKEY_CLASSES_ROOT\Applications\iexplore.exe\shell\open\command
删除：@="\"C:\\Program Files\\Internet Explorer\\iexplore.com\" %1"


展开：HKEY_CLASSES_ROOT\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\InprocServer32
删除：@="C:\\windows\\MSWINSCK.OCX"


展开：HKEY_CLASSES_ROOT\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\MiscStatus
删除：@="0"

展开：HKEY_CLASSES_ROOT\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\MiscStatus\1
删除：@="132497"

展开：HKEY_CLASSES_ROOT\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\ProgID
删除：@="MSWinsock.Winsock.1"

展开：HKEY_CLASSES_ROOT\CLSID\{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\ToolboxBitmap32
删除：@="C:\\windows\\MSWINSCK.OCX, 1"

展开：HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
删除：@="\"C:\\Program Files\\Internet Explorer\\iexplore.com\""

展开：HKEY_CLASSES_ROOT\cplfile\shell\cplopen\command
删除：@="rundll32.com shell32.dll,Control_RunDLL \"%1\",%*"

展开：HKEY_CLASSES_ROOT\Drive\shell\find\command
删除：@="%SystemRoot%\\explorer1.com"

展开：HKEY_CLASSES_ROOT\dunfile\shell\open\command
删除：@="%SystemRoot%\\system32\\rundll32.com NETSHELL.DLL,InvokeDunFile %1"

展开：HKEY_CLASSES_ROOT\ftp\shell\open\command
删除：@="\"C:\\Program Files\\Internet Explorer\\iexplore.com\" %1"

展开：HKEY_CLASSES_ROOT\htmlfile\shell\open\command
删除：@="\"C:\\Program Files\\Internet Explorer\\iexplore.com\" -nohome"

展开：HKEY_CLASSES_ROOT\htmlfile\shell\opennew\command
删除：@="\"C:\\Program Files\\common~1\\iexplore.pif\" %1"

展开：HKEY_CLASSES_ROOT\Interface\{248DD892-BB45-11CF-9ABC-0080C7E7B78D}\ProxyStubClsid
删除：@="{00020424-0000-0000-C000-000000000046}"

展开：HKEY_CLASSES_ROOT\Interface\{248DD892-BB45-11CF-9ABC-0080C7E7B78D}\ProxyStubClsid32
删除：@="{00020424-0000-0000-C000-000000000046}"

展开：HKEY_CLASSES_ROOT\Interface\{248DD892-BB45-11CF-9ABC-0080C7E7B78D}\TypeLib
删除：@="{248DD890-BB45-11CF-9ABC-0080C7E7B78D}"

展开：HKEY_CLASSES_ROOT\Interface\{248DD893-BB45-11CF-9ABC-0080C7E7B78D}\ProxyStubClsid
删除：@="{00020420-0000-0000-C000-000000000046}"

展开：HKEY_CLASSES_ROOT\Interface\{248DD893-BB45-11CF-9ABC-0080C7E7B78D}\ProxyStubClsid32
删除：@="{00020420-0000-0000-C000-000000000046}"

展开：HKEY_CLASSES_ROOT\Interface\{248DD893-BB45-11CF-9ABC-0080C7E7B78D}\TypeLib
删除：@="{248DD890-BB45-11CF-9ABC-0080C7E7B78D}"

展开：HKEY_CLASSES_ROOT\InternetShortcut\shell\open\command
删除：@="finder.com shdocvw.dll,OpenURL %l"

展开：HKEY_CLASSES_ROOT\MSWinsock.Winsock\CLSID
删除：@="{248DD896-BB45-11CF-9ABC-0080C7E7B78D}"

展开：HKEY_CLASSES_ROOT\MSWinsock.Winsock\CurVer
删除：@="MSWinsock.Winsock.1"


展开：HKEY_CLASSES_ROOT\MSWinsock.Winsock.1\CLSID
删除：@="{248DD896-BB45-11CF-9ABC-0080C7E7B78D}"

展开：HKEY_CLASSES_ROOT\scrfile\shell\install\command
删除：@="finder.com desk.cpl,InstallScreenSaver %l"


展开：HKEY_CLASSES_ROOT\scriptletfile\Shell\Generate Typelib\command
删除：@="\"C:\\WINDOWS\\System32\\finder.com\" C:\\WINDOWS\\System32\\scrobj.dll,GenerateTypeLib \"%1\""

展开：HKEY_CLASSES_ROOT\telnet\shell\open\command
删除：@="finder.com url.dll,TelnetProtocolHandler %l"

展开：HKEY_CLASSES_ROOT\TypeLib\{248DD890-BB45-11CF-9ABC-0080C7E7B78D}\1.0\0\win32
删除：@="C:\\windows\\MSWINSCK.OCX"

展开：HKEY_CLASSES_ROOT\TypeLib\{248DD890-BB45-11CF-9ABC-0080C7E7B78D}\1.0\FLAGS
删除：@="2"

展开：HKEY_CLASSES_ROOT\Unknown\shell\openas\command
删除：@="%SystemRoot%\\system32\\finder.com %SystemRoot%\\system32\\shell32.dll,OpenAs_RunDLL %1"

展开：HKEY_CLASSES_ROOT\winfiles\Shell\Open\Command
删除：@="C:\\windows\\ExERoute.exe \"%1\" %*"

展开：HKEY_CURRENT_USER\Software\VB and VBA Program Settings\Microsoft Process Debuger\CRCCode
删除："Name"="0"

展开：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除："HKEY_CLASSES_ROOT\\.exe"="exefile"



图1

图2

引用:

【什么情况的贴子】斑竹，木马创建的文件以及注册表修改项都是你的tpf2005检测出来的 ？ ...........................

是的。

引用:

【什么情况的贴子】斑竹能不能告诉下你的测试环境，比如所有的软件和工具等 ...........................

测试环境就是普通WINDOWS模式。监测工具：TPF2005和SSM。

引用:

【什么情况的贴子】还有我在安装你说的tpf2005的时候总出现 ...........................

已经说 得很明白了：要安装TPF2005，软件环境需要WIN2000 ＋SP3或者WINXP+SP1以上；或WIN2003。

引用:

【花落花又开的贴子】【回复“baohe”的帖子】 用Regfix时候还需改名，否则不断激活此木马。。 ...........................

之所以如此，多是因为没有在安全软件的注册表监控中加入HKCR\.exe、HKCR\exefile\shell\open\command两个注册表键值的保护。
这两个键值有一个被改动，再把注册表编辑器一封，你就是有再好的工具，也不好使了。

引用:

【天天泡泡的贴子】现在专杀工具还没有看到，谢谢老大，有空把Tiny的资料给我吧，我忍受不了了。 ...........................

TPF2005的说明书（英文）在附件中。

【回复“我汗菜”的帖子】
正常的是：
Command"="%SystemRoot%\\system32\\rundll32.exe %SystemRoot%\\system32\\syncui.dll,Briefcase_Create %2!d! %1"

引用:

【阿呆的贴子】为什么没人看我34楼的东东呢? ...........................

看了。如果你确实中了这个毒，你的问题并未解决。需要删除的病毒文件多达19个。

引用:

【yiersan的贴子】 更改下后缀名为com和scr也是一样的吧 ...........................

我还没试用过“多扩展名版”的SREng解决此木马的文件关联更改。不知效果如何。如果木马有注册表监视能力，用“多扩展名版”SREng恢复文件关联也没用。你用工具恢复，木马再改过来，你没有它改得快。
如果这个木马没有注册表监视能力，用“多扩展名版”SREng恢复文件关联，可以开辟解决问题的通道。

由此可见：用安全软件保护注册表的关键键值是何等重要！