求救:我电脑可能中木马了!

电脑中病毒或者木马~

你这个一件重装不能格式化的呀，它必须使用原有的系统来完成重装，所以是不能清除病毒的，你可以访问腾讯电脑管家官网，下载安装一个电脑管家，使用杀毒功能来查一下，就可以清除病毒了



电脑管家的杀毒部分采用的是4+1引擎，包含金山和腾讯两个国内最大的云查杀引擎

以及以高查杀著称的德国小红伞本地引擎，查杀率非常的高，可以完美的清除各种顽固的木马病毒


腾讯电脑管家企业平台：http://zhidao.baidu.com/c/guanjia/

当然有啊，木马是在你的磁盘里的，有病毒就杀掉它

特洛伊木马是一种基于远程控制的病毒程序，该程序具有很强的隐蔽性和危害性，它可以在你并不知情的的状态下控制你或者监视你的电脑。下面就讲讲木马经常藏身的地方和清除方法。

首先查看自己的电脑中是否有木马

1、集成到程序中

其实木马也是一个服务器-客户端程序，它为了不让用户能轻易地把它删除，就常常集成到程序里，一旦用户激活木马程序，那么木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动木马。

2、隐藏在配置文件中

木马实在是太狡猾，知道菜鸟们平时使用的是图形化界面的操作系统，对于那些已经不太重要的配置文件大多数是不闻不问了，这正好给木马提供了一个藏身之处。而且利用配置文件的特殊作用，木马很容易就能在大家的计算机中运行、发作，从而偷窥或者监视大家。不过，现在这种方式不是很隐蔽，容易被发现，所以在Autoexec.bat和Config.sys中加载木马程序的并不多见，但也不能因此而掉以轻心哦。

3、潜伏在Win.ini中

木马要想达到控制或者监视计算机的目的，必须要运行，然而没有人会傻到自己在自己的计算机中运行这个该死的木马。当然，木马也早有心理准备，知道人类是高智商的动物，不会帮助它工作的，因此它必须找一个既安全又能在系统启动时自动运行的地方，于是潜伏在Win.ini中是木马感觉比较惬意的地方。大家不妨打开Win.ini来看看，在它的[windows]字段中有启动命令“load=”和“run=”，在一般情况下“＝”后面是空白的，如果有后跟程序，比方说是这个样子：run=c:\windows\file.exe load=c:\windows\file.exe

这时你就要小心了，这个file.exe很可能是木马哦。

4、伪装在普通文件中

这个方法出现的比较晚，不过现在很流行，对于不熟练的windows操作者，很容易上当。具体方法是把可执行文件伪装成图片或文本----在程序中把图标改成Windows的默认图片图标, 再把文件名改为*.jpg.exe, 由于Win98默认设置是"不显示已知的文件后缀名",文件将会显示为*.jpg, 不注意的人一点这个图标就中木马了(如果你在程序中嵌一张图片就更完美了)。

5、内置到注册表中

上面的方法让木马着实舒服了一阵，既没有人能找到它，又能自动运行，真是快哉！然而好景不长，人类很快就把它的马脚揪了出来，并对它进行了严厉的惩罚！但是它还心有不甘，总结了失败教训后，认为上面的藏身之处很容易找，现在必须躲在不容易被人发现的地方，于是它想到了注册表！的确注册表由于比较复杂，木马常常喜欢藏在这里快活，赶快检查一下，有什么程序在其下，睁大眼睛仔细看了，别放过木马哦：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值；HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值；HKEY-USERS\.Default\Software\Microsoft\Windows\CurrentVersion下所有以“run”开头的键值。

6、在System.ini中藏身

木马真是无处不在呀！什么地方有空子，它就往哪里钻！这不，Windows安装目录下的System.ini也是木马喜欢隐蔽的地方。还是小心点，打开这个文件看看，它与正常文件有什么不同，在该文件的[boot]字段中，是不是有这样的内容，那就是shell=Explorer.exe file.exe，如果确实有这样的内容，那你就不幸了，因为这里的file.exe就是木马服务端程序！另外，在System.ini中的[386Enh]字段，要注意检查在此段内的“driver=路径\程序名”，这里也有可能被木马所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]这三个字段，这些段也是起到加载驱动程序的作用，但也是增添木马程序的好场所，现在你该知道也要注意这里喽。

7、隐形于启动组中

有时木马并不在乎自己的行踪，它更注意的是能否自动加载到系统中，因为一旦木马加载到系统中，任你用什么方法你都无法将它赶跑（哎，这木马脸皮也真是太厚），因此按照这个逻辑，启动组也是木马可以藏身的好地方，因为这里的确是自动加载运行的好场所。动组对应的文件夹为：C:\windows\start menu\programs\startup，在注册表中的位置：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Explorer\ShellFolders Startup="C:\windows\start menu\programs\startup"。要注意经常检查启动组哦！

8、隐蔽在Winstart.bat中

按照上面的逻辑理论，凡是利于木马能自动加载的地方，木马都喜欢呆。这不，Winstart.bat也是一个能自动被Windows加载运行的文件，它多数情况下为应用程序及Windows自动生成，在执行了Win.com并加载了多数驱动程序之后开始执行（这一点可通过启动时按F8键再选择逐步跟踪启动过程的启动方式可得知）。由于Autoexec.bat的功能可以由Winstart.bat代替完成，因此木马完全可以像在Autoexec.bat中那样被加载运行，危险由此而来。
9、捆绑在启动文件中

即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。

10、设置在超级连接中

木马的主人在网页上放置恶意代码，引诱用户点击，用户点击的结果不言而喻：开门揖盗！奉劝不要随便点击网页上的链接，除非你了解它，信任它，为它死了也愿意等等。

下面再看木马的清除方法

1、检查注册表中RUN、RUNSERVEICE等几项，先备份，记下可以启动项的地址， 再将可疑的删除。

2、删除上述可疑键在硬盘中的执行文件。

3、一般这种文件都在WINNT，SYSTEM，SYSTEM32这样的文件夹下，他们一般不会单独存在，很可能是有某个母文件复制过来的，检查C、D、E等盘下有没有可疑的.exe，.com或.bat文件，有则删除之。

4、检查注册表HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER\SOFTWARE\Microsoft\ Internet Explorer\Main中的几项（如Local Page），如果被修改了，改回来就可以。

5、检查HKEY_CLASSES_ROOT\inifile\shell\open\command和 HKEY_CLASSES_ROOT\txtfile\shell\open\command等等几个常用文件类型的默认打开程序是否被更改。这个一定要改回来。很多病毒就是通过修改.txt，.ini等的默认打开程序让病毒“长生不老，永杀不尽”的。

6、如果有可能，对病毒的母文件进行反汇编，比如我上次中的那个病毒，通过用IDA反汇编，发现它还偷窃系统密码并建立 %systemroot%\system\mapis32a.dll 文件把密码送到一个邮箱中，由于我用的是W2K，所以它当然没有得手。

至此，病毒完全删除！ 笔者建议有能力的话，时刻注意系统的变化，奇怪端口、可疑进程等等。 现在的病毒都不象以前那样对系统数据破坏很严重，也好发现的多，所以尽量自己杀毒（较简单的病毒、木马）。

鸽子的手工检测

由于灰鸽子拦截了API调用，在正常模式下木马程序文件和它注册的服务项均被隐藏，
也就是说你即使设置了“显示所有隐藏文件”也看不到它们。此外，灰鸽子服务端的文件
名也是可以自定义的，这都给手工检测带来了一定的困难。

但是，通过仔细观察我们发现，对于灰鸽子的检测仍然是有规律可循的。从上面的运
行原理分析可以看出，无论自定义的服务器端文件名是什么，一般都会在操作系统的安装
目录下生成一个以“_hook.dll”结尾的文件。通过这一点，我们可以较为准确手工检测出
灰鸽子木马。

由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进行
。进入安全模式的方法是：启动计算机，在系统进入Windows启动画面前，按下F8键，在出
现的启动选项菜单中，选择“安全模式”。

1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。打开“
我的电脑”，选择菜单“工具”—》“文件夹选项”，点击“查看”，取消“隐藏受保护
的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件
夹”，然后点击“确定”。

2、打开Windows的“搜索文件”，文件名称输入“*_hook.dll”，搜索位置选择Wind
ows的安装目录（默认98/xp为C:\windows，2k/NT为C:\Winnt）。

3、经过搜索，在Windows目录（不包含子目录）下发现了一个名为G_Server_Hook.dl
l的文件。

4、根据灰鸽子原理分析我们知道，G_Server_Hook.dll是灰鸽子的文件，则在操作系
统安装目录下还会有G_Server.exe和G_Server.dll文件。打开Windows目录，果然有这两个
文件，同时还有一个用于记录键盘操作的G_ServerKey.dll文件。

经过这几步操作基本就可以确定这些文件是灰鸽子木马了，下面就可以进行手动清除
。

灰鸽子的手工清除

经过上面的分析，清除灰鸽子就很容易了。清除灰鸽子仍然要在安全模式下操作，主
要有两步：1、清除灰鸽子的服务；2删除灰鸽子程序文件。
一、清除灰鸽子的服务

2000／XP系统：

1、打开注册表编辑器（点击“开始”－》“运行”，输入“Regedit.exe”，确定。
），打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 注册表项。
2、点击菜单“编辑”－》“查找”，“查找目标”输入“G_server.exe”，点击确定
，我们就可以找到灰鸽子的服务项.
3、删除整个G_server.exe键值所在的服务项。

98／me系统：

在9X下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，打开HKEY
_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项，立即可以看到名为
G_server.exe的一项，将G_server.exe项删除即可。

二、删除灰鸽子程序文件

删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的G_server.
exe、G_server.dll、G_server_Hook.dll以及G_serverkey.dll文件，然后重新启动计算机
。至此，灰鸽子已经被清除干净。

附：
其实现在大部分的杀毒软件还是可以帮助查杀灰鸽子病毒的，本人使用的是瑞星杀毒
软件并已经更新至最新版本，在正常模式下，瑞星查杀了除G_server.exe文件外的所有文
件，其实本人并没有指望瑞星能够全部查杀，但瑞星实际上给我帮了一个大忙，就是帮我
确定了所中灰鸽子病毒的类型，我在使用瑞星查杀时查杀了G_server.dll、G_server_Hoo
k.dll和G_serverkey.dll这三个文件以及由前两个文件释放的附在其他进程下的文件，这
就让我确定了剩下的那个文件必然是G_server.exe，于是重新启动计算机进入安全模式，
首先要设置Windows显示所有文件。打开“我的电脑”，选择菜单“工具”—》“文件夹选
项”，点击“查看”，取消“隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和
文件夹”项中选择“显示所有文件和文件夹”，然后点击“确定”。然后打开Windows的“
搜索文件”，因为确定病毒文件为G_server.exe，但同时出于保险起见，在搜索中输入G_
server*.*进行搜索,并选择所有分区,在C:\windows目录下发现了G_server.exe,但令我惊
讶的是竟然在D盘发现了这个文件的副本,其属性同样的隐藏的,所以建议大家在搜索时搜索
所有分区,然后删除即可!

另外还需进入注册表删除服务键值项,本人利用注册表的查找功能搜索G_server,查找
到了灰鸽子病毒的服务键值项,并发现其中由一个键值赫然写着".....灰鸽子.....",这令
本人愤恨不已,于是删除整个服务键值项.至此,灰鸽子病毒清除完毕,下面是针对灰鸽子两
个变种给出的详细清除方法。

此次是帮助朋友清除灰鸽子病毒，所以没有留下很详细的说明，不过在此还时会以图示进
行说明：

1、删除病毒源文件：

进入安全模式，由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。
打开“我的电脑”，选择菜单“工具”—》“文件夹选项”，点击“查看”，取消“隐藏
受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件
和文件夹”，然后点击“确定”。本人找到的如下图：

删除G_Server.exe和G_Server2.0.exe这两个文件即可

2、清除病毒程序服务启动项：

打开注册表编辑器（点击“开始”－》“运行”，输入“Regedit.exe”，确定。），打开
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 注册表项。
在里面找到为GrayPigeonServer和GrayPigeonServer2.0的键值项，如下图所示：

删除GrayPigeonServer和GrayPigeonServer2.0这两个键值即可！

灰鸽子病毒变种二：

此灰鸽子变种其病毒文件仍为三个，分别为system32.exe 、system32_hook.dll、system
32.dll
另外还会有一个system32key.dll文件，大家应该想到了为什么这个病毒文件隐蔽性增强了
，因为其命名采用了和系统文件相似的命名，使对这方面知识较缺乏的朋友难以分辨，同
时其注册表的键值项也做了相应的改动，因为利用注册表搜索功能搜索system32.exe 的话
根本不能找到灰鸽子病毒的服务启动项的键值。因为和system32相关的键值比较多，很多
和系统相关，误删的话可能会破坏系统！

首先建议朋友们务必将查毒软件更新到最新版本，虽然查毒软件不能完全清除灰鸽子病毒
，但我们还是需要其来帮助我们的！

此灰鸽子病毒变种在操作系统启动后，其会释放出病毒文件附到所有的系统进程和应用程
序的进程中，可见其强大的危害性了！！

首先启动你的杀毒软件查杀病毒，本人使用瑞星查杀了所有释放出来的附在系统进程和应
用程序的进程中的病毒文件，以及system32.dll这个文件，在这里说明一下为什么查杀不
到system32_hook.dll这个文件。这个文件实际上就是释放病毒文件附到其他进程的源头，
但其在释放病毒文件后就删除了自身！在下次启动时可由system32.exe再次释放出来，所
以system32.exe这个文件是罪魁祸首。：

1、删除病毒源文件：

然后进入安全模式，由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文
件。打开“我的电脑”，选择菜单“工具”—》“文件夹选项”，点击“查看”，取消“
隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有
文件和文件夹”，然后点击“确定”。本人找到的如下图：

如果大家不放心可利用系统自带的搜索功能，搜索格式最好为 system32*.*
2、清除病毒程序服务启动项：

打开注册表编辑器（点击“开始”－》“运行”，输入“Regedit.exe”，确定。），打开
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 注册表项。
在里面找到一个为system32的键值项，如下图所示：

关于这个键值我要说明的是虽然上面对其描述为系统文件管理，但据本人所知是系统本身
是没有这个键值项的，同时本人还查看了一位刚重装系统的朋友的机子，里面确实没有这
一项，所以大家可以大胆删除！

如果你只是想杀毒，那就这么做：修改注册表的启动项，看你问的问题的样子不像是个菜鸟应该知道怎么做吧，然后重启进入安全模式，把可疑文件删除就可以了，如果不知道是否清除干净了，就用杀软杀一下，垃圾助手清理一下

找到显卡驱动程序:在C盘里有的,如果显卡是NVIDIA的,那么在C盘下会有这个文件夹的,打开文件夹里运行里面的Setup,重启电脑就OK了。开机启动项最好也清理一下。

呵呵,长的回复不一定会被采纳.

---

嘉祥县19229833126： 电脑中木马病毒了,求救\(＂▔□▔)/ - ？
郁牲诺莱： 其实你没必要用这么多杀毒软件,选择一款杀毒软件进行强力排毒. 我就遇到过这种情况,比如我之前用 A B C三种杀毒软件; 我下载一exe文件D,然后 木马D 窃取了杀毒软件A的控制权,然后A将B C杀毒软件也限制了. 最后导致这三款杀毒软件都用不了. 只能重装!目前看,你就重启,选择最后正确的配置进入安全模式. 进行查杀试试吧. 祝福.望采纳!

嘉祥县19229833126： 我的电脑中木马病毒了怎么办?? - ？
郁牲诺莱： 中了病毒、木马不要着急,我来帮你: 这里的方法是总结的前辈们的经验,在此感谢他们!!!!! 其实中毒后的处理方法就是那么几种,但是借助杀毒软件用手工方法处理是最为有效的!!!! 木马的查杀,可以采用自动和手动两种方式....

嘉祥县19229833126： 电脑好像中木马了,谁来帮我解决这个问题啊???？
郁牲诺莱： 你好,这个问题我遇到过.你可以这样做,去360官网下一个360急救箱,解压后直接运行,点上面的修复,记得全选各选项,修复完了,就可以了,你这一般是由于中毒造成的,建议你升级杀毒软件,全面扫描一下吧,希望能帮到你,周未快乐朋友

嘉祥县19229833126： 电脑中木马求救？
郁牲诺莱： 这个情况可能是病毒造成的,你可以先用360系统急救箱在联网的状态下查杀一下,查杀后看看是否能打开,如果还是打不开,建议到360官网下载最新360杀毒,重新安装即可.

嘉祥县19229833126： 我的电脑感觉中了木马怎么办？
郁牲诺莱： 你开360全面查杀一篇.再把机重起了就可以拉.

嘉祥县19229833126： 电脑中木马了,求解决办法 - ？
郁牲诺莱： ……1.重装系统是对于菜鸟来说最好的办法2.还有一个复杂一点的办法,不用重装系统.下载一个软件:pemdmove然后,去网上下载正常的comdlg32.dll(要相同版本的哦~)进入pemdmove,设置重启...

嘉祥县19229833126： 电脑中木马程序 求救？
郁牲诺莱： 重启在电脑关闭之后狂点F8直到出现个窗口利用键盘上下键选择安全模式回车进去后问你个问题选择是.然后里面应该能杀了吧如果行下载个卡巴斯基吧过般都会有如果因为安全模式下病毒⑤法运行病毒的自我保护都⑤法运行.除非他把安全模式破坏了如果进去就蓝屏的话重启下载个安全模式修复工具吧才20多K是reg文件会修改注册表的.退出安全模式方法是重启哪些都别按

嘉祥县19229833126： 电脑中了木马求解决~!!!!？
郁牲诺莱： 我的电脑有同样的情况,我朋友帮我弄的时候直接换系统,要么就是360自己有病毒~ 现在的木马很隐蔽,没什么特点. 近几年,木马活动越来越频繁.针对这些木马的查杀工具和方法也先后登场.反病毒、反黑客软件的反应速度远没有木马出...

嘉祥县19229833126： 电脑中木马了应该怎么办??？
郁牲诺莱： 电脑中木马了应该怎么办?? 今年木马特别多的,一种杀毒软件可能杀不了有些病毒的 首先开机按F8进入安全模式,用360安全卫士和360专杀大(http://www.360.cn下载),windows 清理助手和恶意软件清理助手(这两个到多特下,绝对没有病毒),汉化的AVG Anti-Spyware7.5.1.43http://www.17ai.org.cn/qt/avg.htm联合查杀,如果不行,在360软件界面中下载专杀工具哦,一般会解决的 ,以上都是完全免费的

嘉祥县19229833126： 电脑中木马了,怎么办? - ？
郁牲诺莱： 好! 如果你电脑中了 -木马,-病毒,-恶意软件等 请接受我的建议: 如果解决中还有问题MYQQ:244344727 谢谢.,! 请容纳我的解决方案: 1准备软件: 杀毒软件,检测软件. [如果可以的话,尽量了解自己中什么病毒,下载该病毒专杀工具...