电脑中了灰鸽子，就是WINLOGO.EXE`不会删，怎么办？拜托各位了 3Q

求助！我中了G_Server1.23.exe灰鸽子无法删除~！！~

加我214384177
我有专门后门清除工具

专杀地址：http://bbs.antidu.cn/forum-35-1.html

最近电脑突然卡，发现进程了多了很多个explorer.exe
感觉不对，马上用在线杀毒http://www.antidu.cn/board/online/ 查杀
瑞星报毒！！！
<virus.win32.vb.bu是什么>文件名称：EXPLORER.EXE
病毒名称：Virus.Win32.VB.bu（卡巴斯基）
Win32/VB.NHZ 蠕虫（NOD32）
Trojan.PSW.SBoy.a（瑞星）
Trojan/PSW.Jianghu.ei（江民）
清除步骤
怕麻烦的直接去下载专杀工具： http://bbs.antidu.cn/forum-35-1.html
1.更改文件夹选项，在文件夹选项--查看中选择“显示所有文件和文件夹”，去掉“隐藏受保护的操作系统文件（推荐）”前面的勾。
2.删除移动硬盘中3个文件：autorun.inf、EXPLORER.EXE、wsctf.exe
3.结束病毒相关进程。
4.删除病毒注册自启动项
5.更改[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WINLOGON]值为[userinit.exe,]
小提示：
结束它，可以节省一定的系统资源，比如配置低的机子或者机子资源不足的情况下，玩大型游戏时，就可以结束它，但是windows的桌面就会消失，变得不可操作了，但是并不影响系统的正常运行！！可以打开任务管理器，在新建任务里通过浏览找到游戏的程序，然后新建任务就可以打开游戏了。有时候结束它然后再启动，可以让系统更稳定些！另外，对于像有些小软件，安装完以后要求你重新启动，只是想刷新注册表，这时候你只需结束这个进程，再新建后，注册表就可以刷新了。
explorer.exe
常被病毒冒充的进程名有：iexplorer.exe、expiorer.exe、explore.exe。explorer.exe就是我们经常会用到的“资源管理器”。如果在“任务管理器”中将explorer.exe进程结束，那么包括任务栏、桌面、以及打开的文件都会统统消失，单击“任务管理器”→“文件”→“新建任务”，输入“explorer.exe”后，消失的东西又重新回来了。explorer.exe进程的作用就是让我们管理计算机中的资源。
explorer.exe进程默认是和系统一起启动的，其对应可执行文件的路径为“C:\Windows”目录，除此之外则为病毒。
EXPLORER.EXE
File size: 36,864
File type: 应用程序
File path:%system32%及移动介质的根目录
File MD5: 1EB40158DDEE938B5E40AF9E66C3E1B7
wsctf.exe
File size: 24,576
File type: 应用程序
File path:%system32%及移动介质的根目录
File MD5: CBDCF0AB0561540891A3E466147A4CE4
======================================================
如果杀完毒,修理完注册表,开机仍然不自动运行explorer.exe,但可以用任务管理器打开
你可以用搜索命令,搜索C盘.或者在C:\windows这个文件夹下搜索.
一般来说能搜索到explorer.exe这个文件,还可能有几个带"$"符号的恢复信息.
那么不要管带"$"符号的.
打开explorer.exe这个文件所在文件夹,找到它.
对它进行杀毒扫描.
如果无毒,那么它现在应该不在C:\windows这个文件夹内.
剪切,并把它放如C:\windows这个文件夹内.
再在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
将其值改为"Explorer.exe".如果没有shell这一项,请手动创建它在赋值.
如果已经有,请删除,并重新创建后赋值.
这样开机就又会自动运行explorer.exe了
=================================================
其实对于病毒的EXPLORER.EXE,不一定使用粉碎.这样仍然占用硬盘空间,而且可能留有后患.
这里推荐两款软件:Unlocker和冰刃.它们都能轻松的删除顽固的防删文件,冰刃也是一款威力强大的清理软件,配合使用,基本没有什么文件是删不掉的.
explorer 命令参数及其应用

如果遇到这类隐藏性很高的、又释放驱动的病毒，很难处理。所以要先对病毒灭活，杀掉活体病毒之后就很容易查杀了
如果遇到木马或病毒杀不掉，一般是由于木马病毒正在运行，或者有其他的病毒进程守护，造成的。
1、电脑杀毒建议安装专业的杀毒软件，用杀毒软件在安全模式下全盘查杀处理病毒应当可以清理彻底，推荐试试腾讯电脑管家，它是免费专业安全软件，杀毒管理二合一(只需要下载一份），占内存小，杀毒好，防护好，无误报误杀。拥有云查杀引擎、反病毒引擎、金山云查杀引擎、AVIRA查杀引擎、小红伞和查杀修复引擎等世界一流杀毒软件内嵌杀毒引擎！。
打开腾讯电脑管家——软件管理——搜索【顽固木马克星】
2、安全模式下，将该目录的所有文件按修改时间重新排列，将该病毒以及修改时间和病毒一样的文件删除（先纪录名字）。安全模式下，在运行中输入msconfig，在“启动”中将除了ctfmon之外的所有项目的勾去掉。在安全模式下，把刚才的名字一个一个在注册表中查找一遍，一样路径和名称的键都删除

3、如果遇到所有安全类软件打不开，就可以用安全模式试试。如果安全模式下也进入不了的话没有太好的办法了，可以尝试挂盘杀毒，也可以制作一个引导杀毒的工具，很多杀毒软件都有引导杀毒工具，或者是重装系统。

建议你在用杀毒软件检测出木马病毒后，第一时间进行清除。一般当扫描出木马后，都会帮您勾选好所有木马，只需要点击“立即清除”就可以了。有些木马需要重启电脑，为了彻底清除危害千万不要嫌麻烦哦。

灰鸽子2005病毒的特点是：1、运行后， 病毒进程插入所有当前正在运行的进程中；2、隐藏病毒自身进程； 3、隐藏病毒文件；4、将自身注册为系统服务，实现启动加载。 因此，染毒后很难在WINDOWS下将病毒杀净。 手工查杀灰鸽子2005的关键一步是找到病毒注册的系统服务名， 将其从注册表HKEY_LOCAL_MACHINE\ SYSTEM \ CURRENTCONTROLSET \ SERVICES分支中删除。然而， 由于黑客配置灰鸽子2005服务端时命名的系统服务名五花八门， 没有一定规律可循，因而使不少人中招后难以下手清除病毒。 其实，灰鸽子2005有一个弱点，可供手工杀毒时利用。 这个弱点就是——用HijackThis1.99. 1扫系统日志，O23项可以显示灰鸽子注册的系统服务名（例： WindowsPowerServer）和可执行文件名（例： D:\WINDOWS\spoolvs.exe）。（注： NT系统的HiajckThis日志中才有O23项； WIN98等非NT系统不可能有此项。） 因此， 建议因感染灰鸽子2005的发帖求助的网友按以下步骤操作： 1、用HijackThis1.99.1（ 本帖附件中的一个小工具）扫系统日志， 在O23项中寻找灰鸽子2005注册的系统服务名（例： WindowsPowerServer）。 如果自己看不懂HijackThis日志， 可以将日志贴在帖子中，请别人帮助辨认。 2、确认灰鸽子2005注册的系统服务名后，打开注册表编辑器， 定位到HKEY_LOCAL_MACHINE\ SYSTEM \ CURRENTCONTROLSET \ SERVICES分支，删除左栏中的病毒服务名（例： WindowsPowerServer）。 3、重启系统，在“文件夹选项”的“查看”面板中勾选“ 显示系统文件”、“显示所有的文件和文件夹”两项，点击“确定” 按钮。然后在%windows%下寻找病毒文件名（例： D:\WINDOWS\spoolvs.exe）， 找到后删除之。需要注意的是： 灰鸽子2005生成的病毒文件为一组，3－4个。 病毒文件命名有一定规律，即：X.exe、X.dll、X_ hook.dll以及XKey.dll，其中“X” 指病毒文件名的可变部分。例如，你的系统感染灰鸽子2005后， 在HijackThis1.99.1日志中看到“O23 - Service: RSVPS (QoS RSVPS) - Unknown owner - D:\WINDOWS\spoolvs.exe”这样的信息， 那么，这个日志提示： 这个灰鸽子2005服务端注册的系统服务名是“ RSVPS ”；生成的病毒文件是spoolvs.exe、spoolvs. dll、spoolvs_hook.dll， 可能还有一个spoolvsKey.dll。这一组3－ 4个病毒文件位于D:\WINDOWS\文件夹中。 附： HijackThis日志中见到的灰鸽子2005注册的系统服务 名与病毒文件名（供手工杀毒参考） O23 - Service: WINL0G0N - Unknown - C:\WINDOWS\WINL0G0N.EXE O23 - Service: Windows_Helper - Unknown - C:\WINDOWS\3721.exe O23 - Service: ray-pigeon-sorver-unknwn-c:/ windows/lerver.exe O23 - Service: Remotee - Unknown - C:\WINNT\explercr.exe O23 - Service: Gerver - Unknown - C:\WINDOWS\smcsc.exe O23 - Service: Intelnet - Unknown - C:\WINDOWS\system.exe O23 - Service: ssvn - Unknown - C:\WINNT\Servers.exe O23 - Service: Distributed Coordi - Unknown - C:\WINNT\ cmmon32.com O23 - Service: Contact Information - Unknown - C:\WINDOWS\svchost.exe O23 - Service: DNS Pigeon Server - Unknown - C:\WINDOWS\Rver.exe O23 - Service: system Management Instrumenta - Unknown - C:\WINDOWS\comines.exe O23 - Service: Plug and Play . - Unknown - C:\WINDOWS\crsss.exe 023- Service: Pigeon_Server-Unknown-C:\ WINDOWS\Server.exe O23 - Service: Windows Update Servers - Unknown - C:\WINDOWS\winupdate.exe O23 - Service: Windows Management Player - Unknown - C:\WINNT\system.exe O23 - Service: Application Performance Explor - Unknown - C:\WINDOWS\svchost.exe O23 - Service: Windows Management Drivers - Unknown - C:\WINNT\win32help.exe O23 - Service: WindowsPowerServer - Unknown - C:\WINNT\Server.exe O23 - Service: RSVPS (QoS RSVPS) - Unknown owner - D:\WINDOWS\spoolvs.exe 灰鸽子（Backdoor.Huigezi） 作者现在还没有停止对灰鸽子的开发， 再加上有些人为了避开杀毒软件的查杀故意给灰鸽子加上各种不同的 壳，造成现在网络上不断有新的灰鸽子变种出现。 尽管瑞星公司一直在不遗余力地收集最新的灰鸽子样本， 但由于变种繁多，还会有一些“漏网之鱼”。 如果您的机器出现灰鸽子症状但用瑞星杀毒软件查不到， 那很可能是中了还没有被截获的新变种。这个时候， 就需要手工杀掉灰鸽子。 手工清除灰鸽子并不难，重要的是我们必须懂得它的运行原理。 灰鸽子的运行原理 灰鸽子木马分两部分：客户端和服务端。黑客（姑且这么称呼吧） 操纵着客户端，利用客户端配置生成出一个服务端程序。 服务端文件的名字默认为G_Server.exe， 然后黑客通过各种渠道传播这个木马（俗称种木马或者开后门）。 种木马的手段有很多，比如，黑客可以将它与一张图片绑定， 然后假冒成一个羞涩的MM通过QQ把木马传给你，诱骗你运行； 也可以建立一个个人网页，诱骗你点击， 利用IE漏洞把木马下载到你的机器上并运行； 还可以将文件上传到某个软件下载站点， 冒充成一个有趣的软件诱骗用户下载…… G_Server. exe运行后将自己拷贝到Windows目录下(98/ xp下为系统盘的windows目录，2k/ NT下为系统盘的Winnt目录)，然后再从体内释放G_ Server.dll和G_Server_Hook. dll到windows目录下。G_Server.exe、G_ Server.dll和G_Server_Hook. dll三个文件相互配合组成了灰鸽子服务端， 有些灰鸽子会多释放出一个名为G_ServerKey. dll的文件用来记录键盘操作。注意，G_Server. exe这个名称并不固定，它是可以定制的， 比如当定制服务端文件名为A.exe时，生成的文件就是A. exe、A.dll和A_Hook.dll。 Windows目录下的G_Server. exe文件将自己注册成服务（9X系统写注册表启动项）， 每次开机都能自动运行，运行后启动G_Server. dll和G_Server_Hook.dll并自动退出。G_ Server.dll文件实现后门功能， 与控制端客户端进行通信；G_Server_Hook. dll则通过拦截API调用来隐藏病毒。因此，中毒后， 我们看不到病毒文件，也看不到病毒注册的服务项。 随着灰鸽子服务端文件的设置不同，G_Server_Hook. dll有时候附在Explorer.exe的进程空间中， 有时候则是附在所有进程中。 灰鸽子的手工检测 由于灰鸽子拦截了API调用， 在正常模式下木马程序文件和它注册的服务项均被隐藏， 也就是说你即使设置了“显示所有隐藏文件”也看不到它们。此外， 灰鸽子服务端的文件名也是可以自定义的， 这都给手工检测带来了一定的困难。 但是，通过仔细观察我们发现， 对于灰鸽子的检测仍然是有规律可循的。 从上面的运行原理分析可以看出， 无论自定义的服务器端文件名是什么， 一般都会在操作系统的安装目录下生成一个以“_hook. dll”结尾的文件。通过这一点， 我们可以较为准确手工检测出灰鸽子木马。 由于正常模式下灰鸽子会隐藏自身， 因此检测灰鸽子的操作一定要在安全模式下进行。 进入安全模式的方法是：启动计算机， 在系统进入Windows启动画面前，按下F8键( 或者在启动计算机时按住Ctrl键不放)， 在出现的启动选项菜单中，选择“Safe Mode”或“安全模式”。 1、由于灰鸽子的文件本身具有隐藏属性， 因此要设置Windows显示所有文件。打开“我的电脑”， 选择菜单“工具”—》“文件夹选项”，点击“查看”，取消“ 隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹” 项中选择“显示所有文件和文件夹”，然后点击“确定”。 2、打开Windows的“搜索文件”，文件名称输入“_ hook.dll”，搜索位置选择Windows的安装目录（ 默认98/xp为C:\windows，2k/NT为C:\ Winnt）。 3、经过搜索，我们在Windows目录（不包含子目录） 下发现了一个名为Game_Hook.dll的文件。 4、根据灰鸽子原理分析我们知道，如果Game_Hook. DLL是灰鸽子的文件，则在操作系统安装目录下还会有Game. exe和Game.dll文件。打开Windows目录， 果然有这两个文件， 同时还有一个用于记录键盘操作的GameKey.dll文件。 经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了， 下面就可以进行手动清除。 灰鸽子的手工清除 经过上面的分析，清除灰鸽子就很容易了。 清除灰鸽子仍然要在安全模式下操作，主要有两步：1、 清除灰鸽子的服务；2删除灰鸽子程序文件。 注意：为防止误操作，清除前一定要做好备份。 一、清除灰鸽子的服务 2000／XP系统： 1、打开注册表编辑器（点击“开始”－》“运行”，输入“ Regedit.exe”，确定。），打开 HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\ Services注册表项。 2、点击菜单“编辑”－》“查找”，“查找目标”输入“ game.exe”，点击确定，我们就可以找到灰鸽子的服务项（ 此例为Game_Server）。 3、删除整个Game_Server项。 98／me系统： 在9X下，灰鸽子启动项只有一个，因此清除更为简单。 运行注册表编辑器，打开HKEY_CURRENT_USER\ Software\Microsoft\Windows\ CurrentVersion\Run项， 我们立即看到名为Game.exe的一项，将Game. exe项删除即可。 二、删除灰鸽子程序文件 删除灰鸽子程序文件非常简单， 只需要在安全模式下删除Windows目录下的Game. exe、Game.dll、Game_Hook. dll以及Gamekey.dll文件，然后重新启动计算机。 至此，灰鸽子已经被清除干净。 小结 本文给出了一个手工检测和清除灰鸽子的通用方法， 适用于我们看到的大部分灰鸽子木马及其变种， 然而仍有极少数变种采用此种方法无法检测和清除。同时， 随着灰鸽子新版本的不断推出，作者可能会加入一些新的隐藏方法、 防删除手段，手工检测和清除它的难度也会越来越大。 当你确定机器中了灰鸽子木马而用本文所述的方法又检测不到时， 最好找有经验的朋友帮忙解决。 同时随着瑞星杀毒软件2005版产品发布， 杀毒软件查杀未知病毒的能力得到了进一步提高。 经过瑞星公司研发部门的不断努力， 灰鸽子病毒可以被安全有效地自动清除， 需要用户手动删除它的机会也将越来越少。 病毒注册的服务项。随着灰鸽子服务端文件的设置不同，G_ Server_Hook.dll有时候附在Explorer. exe的进程空间中，有时候则是附在所有进程中。 参考资料：yyfreeliang - 经理 五级

---

东乡县19250204342： winlogo是什么? - ？
禄婉心神： Windows Logon Process,Windows NT 用户登陆程序,管理用户登录和退出.该进程的正常路径应是 C:\Windows\System32 且是以 SYSTEM 用户运行,若不是以上路径且不以 SYSTEM 用户运行,则可能是病毒程序(如灰鸽子).

东乡县19250204342： 电脑中了灰鸽子病毒怎么办？
禄婉心神： 先下载个专用的杀毒软件.然后重启(首先验证下杀毒软件能不能用),开机的时候按F8,去安全模式杀毒,一般就能清除,再不行就重做系统,但是,他要是去了D,E,等盘的话,还能感染C盘,最好的办法就是重新分区,格盘重做!~

东乡县19250204342： 在开机时出现winlogo.exe应用程序错误 - ？
禄婉心神： “灰鸽子变种(Trojan.Huigezi)”病毒:警惕程度★★★,木马病毒,通过网络传播,依赖系统: WIN9X/NT/2000/XP.该病毒是著名病毒“灰鸽子”的一个变种,病毒运行时会把自己复制到系统目录,并命名为WINLOGO.EXE,然后监听用户的网...

东乡县19250204342： 电脑中了灰鸽子病毒我该怎么处理？
禄婉心神： 由于正常模式下灰鸽子会隐藏自身,因此检测灰鸽子的操作一定要在安全模式下进行.进入安全模式的方法是:启动计算机,在系统进入Windows启动画面前,按下F8键(或者在启动计算机时按住Ctrl键不放),在出现的启动选项菜单中,选择“Safe Mode”或“安全模式”.

东乡县19250204342： 开机时winlogo.exe应用程序出错 - ？
禄婉心神： 你肯定用优化大师之类的软件了,要么是用ThemePack包没有安装完全导致的,有些包就是傻冒,默认winlogon.exe文件名也会搞错.你到安全模式下,找到系统目录下的winlogo.exe,改成winlogon.exe

东乡县19250204342： 我电脑中了灰鸽子怎么办? - ？
禄婉心神： 近来“灰鸽子病毒”传播的甚是厉害,5Q上有不少人以发布卡巴斯基杀毒软件为名,在其中暗藏病毒,尤其以自解压包的文件最为危险,其病毒程序在自解压后能够自动运行,并在生成木马程序后自动删除源文件!而灰鸽子病毒的作者至今还...

东乡县19250204342： 中了＂灰鸽子＂病毒怎么办?？
禄婉心神： 只要从进程找到IEXPLOR.EXE(你没有打开ie的时候) 这个进程是灰鸽子通常用的服务端名字插进进程 只要吧他结束掉 就可以了 不过建议你重装系统吧 省得麻烦

东乡县19250204342： 电脑中了灰鸽子怎么办?？
禄婉心神： 上网下载一个灰鸽子专杀工具就可以清除了 重启电脑进入安全模式杀一下, 另外再用360木马专杀,看还有没有中其它木马 就是开机的时候按F8就可以进入安全模式了 只是叫你进安全模式.用灰鸽子专杀工具和360木马专杀工具清除那些木马啊,并没有叫你自己重装系统.再说有些文件感染太严重了也都损坏了.

东乡县19250204342： 我的电脑中了灰鸽子？
禄婉心神： 1.打开注册表编辑器,查找字符串“Kernel32.exe”,总共有3处.找到后将它所在的键名(一般为“LoadWindows”)删掉. 2.重启系统后选择安全模式,进入Windows\\System目录(若使用Win2000或WinNT,则为WinNT\\System32目录)...

东乡县19250204342： 我的电脑中了灰鸽子... - ？
禄婉心神： iexplore.exe是windows系列的一个进程 一般病毒会改大小写 比如:Iexplore.exe、iexplore.EXE、IEXPLORE.exe…… 怀疑你中的是灰鸽子病毒 灰鸽子的特点是“三个隐藏”——隐藏进程、隐藏服务、隐藏病毒文件.灰鸽子2005感染系统后,将...