落雪木马病毒专杀（下载木马杀毒）
文章大纲：
落雪木马的杀法
看你的进程中有没有一个:WINLOGON.EXE
用户名为你使用的用户,若有,则为"落雪",条件为:大写且为你用户名,缺一不是落雪!
你可以到下面下个专杀工具+木马杀客试一下:
要是真的是落雪,试用下面手动 *** 清一下吧:
落雪病毒的杀毒清除 *** （落雪病毒专杀）：
大家有谁中了“落雪”病毒，不要着急,在做下面这些步骤以前我们要先下载木马杀客;和升级包我们可以到;里来下载.还有点击下载Regfix.rar; 将里边的 Regfix.exe改名为Regfix.com.这个时候我们的EXE文件怎么改成COM呢!我们要先打开工具----文件夹选象------隐藏以知文件的扩展名,把前面的对勾去掉,然后点Regfix.exe的属性,我们将EXE改成COM这样就可以了!
正常的 winlogon系统进程，其用户名为“SYSTEM” 程序名为小写winlogon.exe。而伪装成该进程的木马程序其用户名为当前系统用户名，且程序名为大写的WINLOGON.exe。进程查看方式 ctrl+alt+del ，然后选择进程。正常情况下有且只有一个winlogon.exe进程，其用户名为“SYSTEM”。如果出现了两个winlogon.exe，且其中一个为大写，用户名为当前系统用户的话，表明可能存在木马。
这个木马非常厉害，能破坏掉木马XX和常用的杀毒软件，使其不能正常运行。目前我使用江民杀毒软件未能查出，连瑞星在线杀毒对它都没有查出来，并且使防火墙处于无法启动状态，在清除病毒之后也不能启动，我不得不重新再安装一次防火墙。
在WINDOWS 下的WINLOGON.EXE确实是病毒。但是，它不过是这个病毒中的小角色而已，大家打开D盘看看是否有一个pagefile的DOS指向文件（有的版本病毒还有autorun.inf文件），我机器里的pagefile不是隐藏的，而是光明正大的存在D盘里，删这个文件是没用的，因为它关联了很多东西，甚至在安全模式都存在，只要运行任何程序，或者双击打开D盘，它会重新出现在D盘。网上有的网友说叫这个病毒为 ”落雪“ 是专门盗传奇、传奇世界的木马，至于会不会盗其他帐号如 *** ，网银就不得而知了（我不会玩传奇，但是也有这个病毒!!我晕～～～～～）。同时它还将将杀毒软件里的设置进行了改变，不能启动防火墙，强制手工启动时，会出现一个窗口说防火墙某个文件失效，被windows 关闭。真的好可恨！！
我解决“落雪”病毒的 ***
症状：D盘打开，里面有pagefile.com文件 ，它所关联的文件如下，绝大多数文件都是显示为系统文件和隐藏的。 所以要在文件夹选项里打开显示所有隐藏文件。 D盘里就一个，C盘里的就多了！
D:\pagefile.com
C:\Program Files\Common Files\iexplore.com
C:\WINDOWS\1.com
C:\WINDOWS\iexplore.com
C:\WINDOWS\finder.com
C:\WINDOWS\Exeroud.exe
C:\WINDOWS\Debug\DebugProgramme.exe
C:\Windows\system32\command.com
C:\Windows\system32\msconfig.com
C:\Windows\system32\regedit.com
C:\Windows\system32\dxdiag.com
C:\Windows\system32\rundll32.com
C:\Windows\system32\finder.com
C:\Windows\WINLOGON.EXE
winlogon这个在进程里可以看得到，有两个，一个是真的，一个是假的。 真的是小写winlogon.exe，用户名是SYSTEM，
而假的是大写的WINLOGON.EXE，用户名是你自己的用户名。这个文件在进程里是中止不了的，说是关键进程无法中止，
搞得跟真的一样！就连在安全模式下它都会呆在你的进程里！
然后打开开始菜单的运行，输入命令 regedit，进注册表，
到 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 里面，有一个Torjan programme，
这个明摆着“我是木马”，证明你的电脑里已经有WINLOGON.EXE病毒。
知道了这些文件，首先关闭可以关闭的所有程序，打开程序附件里头的WINDOWS资源管理器，
并在上面的工具里头的文件夹选项里头的查看里设置显示所有文件和文件夹，取消隐藏受保护操作系统文件。
随后我使用了木马杀客软件，进行硬盘扫描，这么作的好处是知道木马病毒所在的位置，
同时木马杀客软件将这些木马病毒进行删除操作，如果不能删除就将那些病毒进行隔离。扫描结果是：
2006年2月16日
系统事件：启动项目中发现木马!
木马名称：Troj.LMir2.ky.2605
木马启动项：torjan program
木马从启动项目中清除成功!
c:\windows\winlogon.exe
木马在硬盘清除成功!
c:\windows\winlogon.exe
系统事件：启动项目中发现木马!
木马名称：系统用户登录管理.3
木马启动项：torjan program
木马从启动项目中清除成功!
c:\windows\winlogon.exe
核心启动中发现木马! 已经清除 1
2006年1月16日
系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2607
木马路径：C:\WINDOWS\1.com
处理方式：隔离 成功
系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2610
木马路径：C:\WINDOWS\ExERoute.exe
处理方式：隔离 成功
系统事件：已发现木马!
木马名称：W32.Gokar.A@mm.2062
木马路径：C:\WINDOWS\iexplore.com
处理方式：隔离 成功
系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2609
木马路径：C:\WINDOWS\finder.com
处理方式：隔离 成功
系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2615
木马路径：C:\WINDOWS\system32\command.pif
处理方式：隔离 成功
系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2614
木马路径： C:\Windows\system32\command.com
处理方式：删除 成功
系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2614
木马路径：C:\WINDOWS\system32\dxdiag.com
处理方式：隔离 成功
系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2609
木马路径：C:\WINDOWS\system32\finder.com
处理方式：隔离 成功
系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2616
木马路径：C:\WINDOWS\system32\MSCONFIG.COM
处理方式：隔离 成功
系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2617
木马路径：C:\WINDOWS\system32\regedit.com
处理方式：隔离 成功
系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2618
木马路径：C:\WINDOWS\system32\rundll32.com
处理方式：隔离 成功
系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2618
木马路径：C:\Windows\WINLOGON.EXE
处理方式：隔离 成功
系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2618
木马路径：C:\WINDOWS\Debug\DebugProgramme.exe
处理方式：隔离 成功
系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2618
木马路径：C:\Program Files\Common Files\iexplore.com
处理方式：隔离 成功
然后到D盘（注意不要双击进入！否则又会激活这个病毒）右键，选“打开”，把pagefile.com删掉，
然后再到C盘把木马杀客上面所列出来的文件都删掉（C盘里上述的病毒经过木马杀客的扫描已经被其屏蔽了，
并且在病毒的名字里有屏蔽的字样，很容易找到）！中途注意不要双击到其中任何一个文件，
否则所有步骤都要重新来过！其中WINLOGON.EXE文件虽然被屏蔽了但是我们还是删不了它,我们可以
先注销然后在删,这样就可以了!
删完之后注销，但是在注销之前千万别忘了将垃圾桶清空
删掉那些文件后，所有的exe文件全都打不开了.
这个时候我们运行Regfix.COM,修复exe关联.
这样exe文件就可以运行了。打开注册表，在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ WindowsNT\ CurrentVersion\Winlogon]中把"Shell"="Explorer.exe 1"恢复为"Shell"="Explorer.exe" ，完成！！
WINLOGON.EXE病毒就杀了!
再没办法就只能重装了哦!!!
我的电脑中了落雪病毒，用KV的专杀杀不掉，怎么办
江民“落雪”病毒专杀工具
V1.1
“落雪”木马也叫“游戏大盗”(Trojan/PSW.GamePass)，由VB
程序语言编写，通过
nSPack
3.1
加壳处理(即通常所说的“北斗壳”North
Star)，该木马文件图标一般是红色的图案，伪装成 *** 游戏的登陆器。
你可以试一下能不能帮你解决。希望有用!!!
落雪木马专杀
解决“落雪”病毒的 ***
症状：D盘双击打不开，里面有autorun.inf和pagefile.com文件
做这个病毒的人也太强了，在安全模式用Administrator一样解决不了！经过一个下午的奋战才算勉强解决。我没用什么查杀木马的软件，全是手动一个一个把它揪出来把他删掉的。它所关联的文件如下，绝大多数文件都是显示为系统文件和隐藏的。所以要在文件夹选项里打开显示隐藏文件。
D盘里就两个，搞得你无法双击打开D盘。C盘里盘里的就多了！
D:\autorun.inf
D:\pagefile.com
C:\Program Files\Internet Explorer\iexplore.com
C:\Program Files\Common Files\iexplore.com
C:\WINDOWS\1.com
C:\WINDOWS\iexplore.com
C:\WINDOWS\finder.com
C:\WINDOWS\Exeroud.exe（忘了是不是这个名字了，红色图标有传奇世界图标的）
C:\WINDOWS\Debug\*** Programme.exe(也是上面那个图标，名字忘了-_- 好大好明显非隐藏的)
C:\Windows\system32\command.com 这个不要轻易删，看看是不是和下面几个日期不一样而和其他文件日期一样，如果和其他文件大部分系统文件日期一样就不能删，当然系统文件肯定不是这段时间的。
C:\Windows\system32\msconfig.com
C:\Windows\system32\regedit.com
C:\Windows\system32\dxdiag.com
C:\Windows\system32\rundll32.com
C:\Windows\system32\finder.com
C:\Windows\system32\a.exe
对了，看看这些文件的日期，看看其他地方还有没有相同时间的文件还是.COM结尾的可疑文件，小心不要运行任何程序，要不就又启动了，包括双击磁盘
还有一个头号文件！WINLOGON.EXE！做了这么多工作目的就是要干掉她！！！
C:\Windows\WINLOGON.EXE
这个在进程里可以看得到，有两个，一个是真的，一个是假的。
真的是小写winlogon.exe，（不知你们的是不是），用户名是SYSTEM，
而假的是大写的WINLOGON.EXE，用户名是你自己的用户名。
这个文件在进程里是中止不了的，说是关键进程无法中止，搞得跟真的一样！就连在安全模式下它都会
呆在你的进程里！我现在所知道的就这些，要是不放心，就更好看一下其中一个文件的修改日期，然后用“搜索”搜这天修改过的文件，相同时间的肯定会出来一大堆的，连系统还原夹里都有！！这些文件会自己关联的，要是你删了一部分，不小心运行了一个，或在开始－运行里运行msocnfig，command，regedit这些命令，所有的这些文件全会自己补充回来！
知道了这些文件，首先关闭可以关闭的所有程序，打开程序附件里头的WINDOWS资源管理器，并在上面的工具里头的文件夹选项里头的查看里设置显示所有文件和文件假，取消隐藏受保护操作系统文件，然后打开开始菜单的运行，输入命令 regedit，进注册表，到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
里面，有一个Torjan pragramme，这个明摆着“我是木马”，删！！
然后注销！重新进入系统后，打开“任务管理器”，看看有没rundll32，有的话先中止了，不知这个是真还是假，小心为好。到D盘（注意不要双击进入！否则又会激活这个病毒）右键，选“打开”，把autorun.inf和pagefile.com删掉，
然后再到C盘把上面所列出来的文件都删掉！中途注意不要双击到其中一个文件，否则所有步骤都要重新来过！然后再注销。
我在奋战过程中，把那些文件删掉后，所有的exe文件全都打不开了，运行cmd也不行。
然后，到C:\Windows\system32 里，把cmd.exe文件复制出来，比如到桌面，改名成cmd.com 嘿嘿我也会用com文件，然后双击这个COM文件
然后行动可以进入到DOS下的命令提示符。
再打入以下的命令：
assoc .exe=exefile （assoc与.exe之间有空格）
ftype exefile="%1" %*
这样exe文件就可以运行了。如果不会打命令，只要打开CMD.COM后复制上面的两行分两次粘贴上去执行就可以了。
但我在弄完这些之后，在开机的进入用户时会有些慢，并会跳出一个警告框，说文件"1"找不到。（应该是Windows下的1.com文件。）,最后用上网助手之类的软件全面修复IE设置
最后说一下怎么解决开机跳出找不到文件“1.com”的 *** ：
在运行程序中运行“regedit”，打开注册表，在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]中
把"Shell"="Explorer.exe 1"恢复为"Shell"="Explorer.exe"
大功告成！大家分享一下吧！
中了落雪病毒木马，该怎么做才能彻底杀除？
您好
落雪病毒其实很容易查杀，仅仅是不能正常打开磁盘而已
您可以先到腾讯电脑管家官网下载一个电脑管家
然后使用电脑管家——杀毒——全盘查杀
电脑管家拥有管家系统修复引擎，可以在杀毒后帮您智能修复因落雪病毒篡改的注册表，恢复您的磁盘正常开启。
如果还有其他疑问和问题，欢迎再次来电脑管家企业平台进行提问，我们将尽全力为您解答疑难
腾讯电脑管家企业平台：
请问中了落雪木马要怎么清除最彻底?
教你手动清除落雪木马
中毒症状：
1：系统运行缓慢。
2：右下方任务栏的杀软和防火墙图标消失（被无故关闭）但杀软的右键扫描可用。
3：D盘双击打不开，D盘里面有autorun.inf和pagefile.com两个文件，其中autorun.inf为隐藏属性。
4：打开任务管理器，可以看到有一个当前用户所属的1.EXE在运行，或者是一个当前用户所属的一个大写的WINLOGON.EXE在运行。
5：打开注册表：在运行程序中运行“regedit”，会看到
（1）：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 项里有一个Torjan pragramme，这是木马。
（2）：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下的"Shell"="Explorer.exe"已被改为"Shell"="Explorer.exe 1"。
6：exe文件打不开（包括杀软，防火墙）。
7：开机进入系统时会跳出一个警告框，说文件"1"找不到。（由于杀软查杀后，无法对木马更改的注册表项进行修复）。
中毒后对系统的改动：
向C盘释放：（其实都是同一个文件）
c:\windows\winlogon.exe
C:\WINDOWS\1.com
C:\WINDOWS\ExERoute.exe
C:\WINDOWS\iexplore.com
C:\WINDOWS\finder.com
C:\WINDOWS\system32\command.pif
C:\Windows\system32\command.com
C:\WINDOWS\system32\dxdiag.com
C:\WINDOWS\system32\finder.com
C:\WINDOWS\system32\MSCONFIG.COM
C:\WINDOWS\system32\regedit.com
C:\WINDOWS\system32\rundll32.com
C:\Windows\WINLOGON.EXE
C:\WINDOWS\services.exe
C:\WINDOWS\Debug\DebugProgramme.exe
C:\Program Files\Common Files\iexplore.com
C:\Program Files\Common Files\Microsoft Shared\MSInfo\msinfo.rr
向D盘释放：
D:\autorun.inf
D:\pagefile.com
向注册表添加：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run Torjan pragramme
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下的"Shell"="Explorer.exe"已被改为"Shell"="Explorer.exe 1"。
1：打开始菜单的运行，输入命令 regedit，进注册表，到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 删除Torjan pragramme
2：然后注销！ 重新进入系统后到D盘（注意不要双击进入！否则又会激活这个病毒）右键，选“打开”，把pagefile.com和D:\autorun.inf删掉， 然后再到C盘把上面所列出来的文件都删掉，可以对比其他文件的日期判断。
3：头号文件WINLOGON.EXE在C:\Windows\WINLOGON.EXE 可能提示删不掉
可以用光盘启动进入DOS模式，把它的系统，隐藏属性去掉然后删除它！
手工病毒清除后的系统修复
1：把那些病毒文件删掉后，所有的exe文件全都打不开了，运行cmd也不行。
到C:\Windows\system32 里，把cmd.exe文件复制出来，比如到桌面，改名成cmd.com ，然后双击这个COM文件，然后行动可以进入到DOS下的命令提示符。再打入以下的命令：
assoc .exe=exefile （assoc与.exe之间有空格）
ftype exefile="%1" %*
这样exe文件就可以运行了。或者用Regfix.exe，sreng.exe等工具修复,将扩展名EXE改成COM，就可打开。
2：开机跳出找不到文件“1.com”
在运行程序中运行“regedit”，打开注册表，在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]中
把"Shell"="Explorer.exe 1"恢复为"Shell"="Explorer.exe"
3：清除了这个出马出现IE不能下载 请在IE选项 然后安全 然后点默认级别就可以下载了。
“落雪木马病毒专杀（下载木马杀毒）” 的相关文章
西安地铁4号线（西安高铁站怎么去机场）
全程约21公里从西安北站步行约400米，到二号航站楼或三号航站楼，全线还没有正式开工建设。下。现已开通火车北客站至曲江国际会展中心。 ttt3，2300西安，但是有轻轨。 方向，西安北站到咸阳机场机场城际线西安北站步行160米北客站。2012年开始建设火车北客站到西安咸阳国际机场的轻轨线路。经过2站...
租房子58同城（58同城房屋出租信息发布平台）
注册一个58同城账号，58同城租房，甚至骗子。 然后在58同城的首页右上方点击免费发布信息点击房屋信息点击房屋出租，上尧小区，右上角有一个免费发布信息，您好，第一步现在58同城网站注册一个账户第二部注册好之后把你的个人信息填好第三部发布信息，选好你的发布城市，真的倒被卡住。他们审核通过的严格程度居然...
过敏性鼻炎偏方（怎样才能治好过敏性鼻炎）
治过敏性鼻炎的偏方，服用，荆芥各10克。 放几小团指甲盖大小的药棉浸葱汁备用，如果治疗不当或不及时的话会反复发作，再灌满醋至浸没蒜瓣为止。捣烂，方法是口服盐酸西替利嗪片和氯雷他定片、喷嚏打个不停，吃西药和中药当时，薄荷各6克。 边食蒜。去皮浸在一瓶陈醋、治疗时先用棉签沾淡盐。防风，预防措施很重要。所...
董事长秘书职责（董秘一般什么人能做）
负责董事长身边的事务。薪水没有固定的范围。董事长秘书岗位主要职责负责董事长的办公服务工作。 谢谢，副总。级别，为董事会服务。公司法没有规定董事会秘书不能兼任财务负责人。 董事会秘书直接对董事会负责，理论上来说，而办公室主任是行政与综合事务的集大成者。 行使对董事会日常工作协调和会议。 组织完成监管机...
德云社官网订票（德云社官网订票南京）
现在还没开票，感谢您对大麦网的支持。 演出时间2008年9月12日演出地点南京五台山体育馆售票热线025。您好亲。德云社在天桥乐的售票时间是每周六日的上午11点开始售票。 大麦网跟现场都没票，周二到周末的票都缺货，南京德云社在老门东现场买票也可以网上预定，南京郭德纲相声专场的订票方式有哪些我在外地。...
美军撤离阿富汗（美国为什么撤军阿富汗）
另外这么多年在伊拉克该收，其实很大程度是军头们的意思，阿政府什么态度。澳大利亚。阿富汗局势动荡。 如果撤出会面临什么麻烦。如果当年美国先清完阿富汗在打伊拉克的话。阿富汗在地理上属于世界的中心，黄金万两，塔利班转入游击战争。 美国总统奥巴马当地时间12月1日晚8点，美军从伊拉克撤军了，是撤兵伊拉克以集...
评论列表
发表评论
