WINLOGON 怎么杀？

显示全部楼层 · 2009-1-30 06:28:38

WINLOGON 病毒怎么杀我的任务管理器里只有一个WINLOGON是不是病毒谢谢高手

正常的winlogon系统进程，其用户名为“SYSTEM” 程序名为小写winlogon.exe。而伪装成该进程的木马程序其用户名为当前系统用户名，且程序名为大写的WINLOGON.exe。进程查看方式 ctrl+alt+del 然后选择进程。正常情况下有且只有一个winlogon.exe进程，其用户名为“SYSTEM”。如果出现了两个winlogon.exe，且其中一个为大写，用户名为当前系统用户的话，表明可能存在木马。
这个木马非常厉害，能破坏掉木马克星，使其不能正常运行。目前我使用卡巴斯基未能查出。那个WINDOWS下的WINLOGON.EXE确实是病毒，但是，她不过是这个病毒中的小角色而已，大家打开D盘看看是否有一个pagefile的DOS指向文件和一个autorun.inf文件了，呵呵，当然都是隐藏的，删这几个没用的，因为它关联了很多东西，甚至在安全模式都删除不掉，只要运行任何程序，或者双击打开D盘，它就会重新被安装了，这段时间很多人被盗就是因为这个破解的传家宝了，而且杀毒软件查不出来，有人叫这个病毒为 ”落雪“ 是专门盗传奇世界的木马，至于会不会盗其他帐号如QQ，网银就看它高兴了，估计也都是一并录制。不怕毒和要减少损失的最好开启防火墙阻止除了自己信任的几个常用任务出门，其他的全部阻挡，当然大家最好尽快备份，然后关门杀毒。以下是最近特别毒的WINLOGON.EXE盗号病毒清除方法，注意这个假的WINLOGON.EXE是在WINDOWS下，进程里头表现为当前用户或ADMINISTRATOR.另外一个 SYSTEM的winlogon.exe是正常的。解决“落雪”病毒的方法：症状：D盘双击打不开，里面有autorun.inf和pagefile.com文件做这个病毒的人也太强了，在安全模式用Administrator一样解决不了！它所关联的文件如下，绝大多数文件都是显示为系统文件和隐藏的。所以要在文件夹选项里打开显示隐藏文件。 D盘里就两个，搞得你无法双击打开D盘。C盘里的就多了！ D:\\autorun.inf D:\\pagefile.com C:\\Program Files\\Internet Explorer\\iexplore.com C:\\Program Files\\Common Files\\iexplore.com C:\\WINDOWS\\1.com C:\\WINDOWS\\iexplore.com C:\\WINDOWS\\finder.com C:\\WINDOWS\\ExERoute.exe（红色传奇世界图标） C:\\WINDOWS\\Debug\\DebugProgram.exe(也是上面那个图标) C:\\Windows\\system32\\command.com 这个不要轻易删，看看是不是和下面几个日期不一样而和其他文件日期一样，如果和其他文件大部分系统文件日期一样就不能删，当然系统文件肯定不是这段时间的。 C:\\Windows\\system32\\msconfig.com C:\\Windows\\system32\\regedit.com C:\\Windows\\system32\\dxdiag.com C:\\Windows\\system32\\rundll32.com C:\\Windows\\system32\\finder.com C:\\Windows\\system32\\a.exe 对了，看看这些文件的日期，看看其他地方还有没有相同时间的文件还是.COM结尾的可疑文件，小心不要运行任何程序，要不就又启动了，包括双击磁盘还有一个头号文件！WINLOGON.EXE！做了这么多工作目的就是要干掉它！！！ C:\\Windows\\WINLOGON.EXE 这个在进程里可以看得到，有两个，一个是真的，一个是假的。真的是小写winlogon.exe，用户名是SYSTEM，而假的是大写的WINLOGON.EXE，用户名是你自己的用户名。这个文件在进程里是中止不了的，说是关键进程无法中止，搞得跟真的一样！就连在安全模式下它都会呆在你的进程里！我现在所知道的就这些，要是不放心，就最好看一下其中一个文件的修改日期，然后用“搜索”搜这天修改过的文件，相同时间的肯定会出来一大堆的，连系统还原夹里都有！！这些文件会自己关联的，要是你删了一部分，不小心运行了一个，或在开始－运行里运行msocnfig，command，regedit这些命令，所有的这些文件全会自己补充回来！知道了这些文件，首先关闭可以关闭的所有程序，打开程序附件里头的WINDOWS资源管理器，并在上面的工具里头的文件夹选项里头的查看里设置显示所有文件和文件夹，取消隐藏受保护操作系统文件，然后打开开始菜单的运行，输入命令 regedit，进注册表，到 HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run 里面，有一个Torjan pragramme，这个明摆着“我是木马”，删！！然后注销！重新进入系统后，打开“任务管理器”，看看有没rundll32，有的话先中止了，不知这个是真还是假，小心为好。到D盘（注意不要双击进入！否则又会激活这个病毒）右键，选“打开”，把autorun.inf和pagefile.com删掉，然后再到C盘把上面所列出来的文件都删掉！中途注意不要双击到其中一个文件，否则所有步骤都要重新来过！然后再注销。这些文件删掉后，所有的exe文件全都打不开了，运行cmd也不行。然后，到C:\\Windows\\system32 里，把cmd.exe改名成cmd.com ，我也会用com文件，然后双击这个COM文件，然后行动可以进入到DOS下的命令提示符。再打入以下的命令： assoc .exe=exefile （assoc与.exe之间有空格） ftype exefile="%1" %* 这样exe文件就可以运行了。但我在弄完这些之后，在开机的进入用户时会有些慢，并会跳出一个警告框，说文件"1"找不到。（应该是Windows下的1.com文件。）最后说一下怎么解决开机跳出找不到文件“1.com”的方法：在运行程序中运行“regedit”，打开注册表，在[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon]中把"Shell"="Explorer.exe 1"恢复为"Shell"="Explorer.exe" 重启，删除C:\\Windows\\WINLOGON.EXE大功告成！大家分享一下吧！
提问者对答案的评价：

这是个盗号木马，叫落雪！也有可能是系统进程，首先你要看是否有中毒症状！详情请查阅http://blog.sina.com.cn/myblog/article/article_print.php?blog_id=566715b8010004xn好运！参考文献：http://blog.sina.com.cn/myblog

进程文件:winlogon or winlogon.exe进程名称:microsoft windows logon process描述:winlogon.exe是windows域登陆管理器。它用于处理你登陆和退出系统过程。该进程在你系统的作用是非常重要的。注意：winlogon.exe也可能是w32.netsky.d@mm蠕虫病毒。该病毒通过email邮件传播，当你打开病毒发送的附件时，即会被感染。该病毒会创建smtp引擎在受害者的计算机上，群发邮件进行传播。该病毒允许攻击者访问你的计算机，窃取密码和个人数据。请注意此进程所在的文件夹，正常的进程应该是在windows的system32下面出品者:microsoft corp.属于:windows系统

任务管理器里有两个WINLOGON ，有一个必定是大写的，你中落雪病毒了，请用落雪病毒专杀工具：http://ishare.sina.com.cn/cgi-bin/fileid.cgi?fileid=859672