瑞星提示我中了Backdoor.Gpigeon.uql 木马，文件名是IEXPLORE。EXE

为什么查毒后杀毒软件说IEXPLORE.EXE是Backdoor.Gqigeon病毒~

灰鸽子木马啦 ！！！
瑞星、江民、安全网上都有它的专杀工具下载的
你可以去下载使用。
江民的：http://www.onlinedown.net/soft/43101.htm
瑞星的：http://www.bbky.net/down/2006821415403532/

我来帮帮你~

灰鸽子的特点是“三个隐藏”——隐藏进程、隐藏服务、隐藏病毒文件。灰鸽子2005感染系统后，将自身注册为系统服务，并在同一目录下生成一组（3个）隐藏的病毒文件；病毒文件名可变，但有一定规律。
清除灰鸽子仍然要在安全模式下操作，主要有两步：1、清除灰鸽子的服务；2删除灰鸽子程序文件。

注意：为防止误操作，清除前一定要做好备份。

由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是：启动计算机，在系统进入Windows启动画面前，按下F8键(或者在启动计算机时按住Ctrl键不放)，在出现的启动选项菜单中，选择“Safe Mode”或“安全模式”。

1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。打开“我的电脑”，选择菜单“工具”—》“文件夹选项”，点击“查看”，取消 “隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”，然后点击“确定”。

2、打开Windows的“搜索文件”，文件名称输入“_hook.dll”，搜索位置选择Windows的安装目录（默认98/xp为C:\windows，2k/NT为C:\Winnt）。

3、经过搜索，我们在Windows目录（不包含子目录）下看是否有一个名为IEXPLORE_Hook.dll（也可能是其他名称，但基本结构都是_hook.dll的）的文件。

4、根据灰鸽子原理分析我们知道，如果IEXPLORE_Hook.DLL是灰鸽子的文件，则在操作系统安装目录下还会有IEXPLORE.exe和 IEXPLORE.dll文件。打开Windows目录，应该还有一个用于记录键盘操作的IEXPLOREKey.dll文件。

经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了，下面就可以进行手动清除

灰鸽子的手工清除

一、清除灰鸽子的服务

2000／XP系统：

1、打开注册表编辑器（点击“开始”－》“运行”，输入“Regedit.exe”，确定。），打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。

2、点击菜单“编辑”－》“查找”，“查找目标”输入“IEXPLORE.exe”，点击确定，我们就可以找到灰鸽子的服务项（此例为IEXPLORE_Server）。

3、删除整个IEXPLORE_Server项。

98／me系统：

在9X 下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，打开HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Run项，我们立即看到名为IEXPLORE.exe的一项，将IEXPLORE.exe项删除即可。

二、删除灰鸽子程序文件

删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的IEXPLORE.exe、IEXPLORE.dll、IEXPLORE_Hook.dll以及IEXPLORE.dll文件，然后重新启动计算机。至此，灰鸽子已经被清除干净。


或者请下载ravgpk专杀工具或则冰仞

希望对你有帮助~

C:\WINDOWS\System32\smss.exe Session Manager Subsystem，该进程为会话管理子系统用以初始化系统变量，MS-DOS驱动名称类似LPT1以及COM，调用Win32壳子系统和运行在Windows登陆过程。它是一个会话管理子系统，负责启动用户会话。这个进程是通过系统进程初始化的并且对许多活动的，包括已经正在运行的Winlogon，Win32(Csrss.exe)线程和设定的系统变量作出反映。在它启动这些进程后，它等待Winlogon或者Csrss结束。如果这些过程时正常的，系统就关掉了。如果发生了什么不可预料的事情，smss.exe就会让系统停止响应(挂起)。要注意：如果系统中出现了不只一个smss.exe进程，而且有的smss.exe路径是"%WINDIR%\SMSS.EXE"，那就是中了TrojanClicker.Nogard.a病毒，这是一种Windows下的PE病毒，它采用VB6编写 ，是一个自动访问某站点的木马病毒。该病毒会在注册表中多处添加自己的启动项，还会修改系统文件WIN.INI，并在[WINDOWS]项中加入"RUN" = "%WINDIR%\SMSS.EXE"。手工清除时请先结束病毒进程smss.exe，再删除%WINDIR%下的smss.exe文件，然后清除它在注册表和WIN.INI文件中的相关项即可。
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe Windows Service Controller，管理Windows服务。大多数的系统核心模式进程是作为系统进程在运行。打开管理工具中的服务，可以看到有很多服务都是在调用service.exe。正常的services.exe应位于%System%文件夹中，如果在%Windir%\Connection Wizard\Status中发现services.exe和csrss.exe、smss.exe的话，则是中了Worm_Sober.N蠕虫病毒。病毒运行后，显示一下对话框，看上去是一个错误信息。同时，在%Windir%\Connection Wizard\Status和%system%目录下生成多个文件。病毒会在被感染用户的系统内搜索多种扩展名的文件，找到电子邮件地址，并使用的自带的SMTP向这些地址发送带毒的电子邮件进行传播。
C:\WINDOWS\system32\lsass.exe 本地安全权限服务控制Windows安全机制。管理IP安全策略以及启动ISAKMP/Oakley(IKE)和IP安全驱动程序等。它会为使用Winlogon服务的授权用户生成一个进程。这个进程是通过使用授权的包，例如默认的msgina.dll来执行的。如果授权是成功的，lsass就会产生用户的进入令牌，令牌别使用启动初始的Shell。其他的由用户初始化的进程会继承这个令牌的。而Windows活动目录远程堆栈溢出漏洞，正是利用LDAP 3搜索请求功能对用户提交请求缺少正确缓冲区边界检查，构建超过1000个"AND"的请求，并发送给服务器，导致触发堆栈溢出，使LSASS.EXE服务崩溃，系统在30秒内重新启动。这里请记住该进程的正常路径为C:\WINDOWS\system32，一些病毒，如W32.Nimos.Worm病毒会在其它位置模仿LSASS.EXE来运行。

C:\WINDOWS\system32\svchost.exe ervice Host Process是一个标准的动态连接库主机处理服务。Svchost.exe文件对那些从动态连接库(DLL)中运行的服务来说是一个普通的主机进程名。Svhost.exe文件定位在系统的Windows\system32文件夹下。在启动的时候，Svchost.exe检查注册表中的位置来构建需要加载的服务列表。这就会使多个Svchost.exe在同一时间运行。Windows 2000一般有2个Svchost进程，一个是RPCSS(Remote Procedure Call)服务进程，另外一个则是由很多服务共享的一个Svchost.exe；而在windows XP中，则一般有4个以上的Svchost.exe服务进程；Windows 2003 server中则更多。Svchost.exe是一个系统的核心进程，并不是病毒进程。但由于Svchost.exe进程的特殊性，所以病毒也会千方百计的入侵Svchost.exe。通过察看Svchost.exe进程的执行路径可以确认是否中毒。如果您怀疑计算机有可能被病毒感染，Svchost.exe的服务出现异常的话通过搜索Svchost.exe文件就可以发现异常情况。一般只会在C:\Windows\System32目录下找到一个Svchost.exe程序，如果您在其他目录下发现Svchost.exe程序的话，那很可能就是中毒了。
C:\Program Files\Rising\Rav\CCenter.exe 瑞星信息中心，是瑞星杀毒软件的组件。
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Rising\Rav\Ravmond.exe 瑞星实时监控SERVICE程序，负责为多用户打开小伞，增强保护小伞不被关闭。注意，正常的瑞星进程应位于瑞星杀毒软件安装文件夹中，而某些病毒可能冒其名以骗过用户，如Worm_Lovgate.AF(爱之门)蠕虫病毒，它则位于System32中。
C:\WINDOWS\Explorer.EXE 可能有问题
C:\WINDOWS\system32\spoolsv.exe Printer Spooler Service，Windows打印任务控制程序，用以打印机就绪。缓冲(spooler)服务是管理缓冲池中的打印和传真作业。
C:\Program Files\Common Files\Autodesk 不清楚Shared\Service\AdskScSrv.exe 安装了Autodesk系列产品(如AutoCAD、3D Studio VIZ、Autodesk VIZ等)后出现的进程。该程序位于C:\Program Files\Common Files\Autodesk Shared\中，该目录用于存放Autodesk系列产品的共用程序。
C:\Program Files\CPUCooL\CooLSrv.exe CPUCooL是一款运行在Windows环境下的CPU降温软件。它提供支持在Windows环境中最佳化CPU功能(支持AMD、Cyrics、Intel)和监视、显示主机版温度、风扇速度和电压(支持Intel、SIS、VIA、ALI等晶片组)。
C:\Program Files\Common 不清楚Files\Real\Update_OB\realsched.exe RealPlayer的自动更新及检测服务，这个服务可以从RealPlayer的服务器上获取一些版本更新等消息。
C:\Program Files\D-Tools\daemon.exe Daemon Tools是一个不错的模拟备份并且合并保护盘的软件，可以备份SafeDisc保护的软件，可以打开CUE, ISO, IMB, CCD, BWT, MDS, CDI, VCD等这些虚拟光驱的镜像文件。有了它，您就可以把光盘镜像直接变成一个光盘盘符，也就是说您可以不用把镜像释放到硬盘或者再刻出光盘就可以当做光驱一样用了。
C:\WINDOWS\system32\nvsvc32.exe NVIDIA Driver Helper Service，NVIDA显卡驱动相关程序。
C:\WINDOWS\system32\rundll32.exe Windows RUNDLL32 Helper，Windows Rundll32为了需要调用DLLs的程序。该文件可有被QQ白骨精病毒所感染，应该先结束此进程，然后删除%SysDri%\Rundll32.exe文件，再去找一个正常的Rundll32.exe恢复即可。QQ白骨精病毒是一种用VC编写的发送QQ尾巴和盗取信息的木马病毒，它通过在QQ上发送以诱惑性文字为名的EXE文件(如：超级MM，超级FLASH，请您笑纳.EXE)来传播。病毒会搜索QQ好友并自动发送病毒文件，并盗取被感染的电脑中的QQ密码。若中了此病毒请用KavQQ最新版杀毒。
C:\PROGRA~1\Yahoo!\ASSIST~1\YLive.exe 雅虎中国Yahoo China出品雅虎助手软件相关升级模块。
C:\WINDOWS\system32\RunDLL32.exe Windows RUNDLL32 Helper，Windows Rundll32为了需要调用DLLs的程序。该文件可有被QQ白骨精病毒所感染，应该先结束此进程，然后删除%SysDri%\Rundll32.exe文件，再去找一个正常的Rundll32.exe恢复即可。QQ白骨精病毒是一种用VC编写的发送QQ尾巴和盗取信息的木马病毒，它通过在QQ上发送以诱惑性文字为名的EXE文件(如：超级MM，超级FLASH，请您笑纳.EXE)来传播。病毒会搜索QQ好友并自动发送病毒文件，并盗取被感染的电脑中的QQ密码。若中了此病毒请用KavQQ最新版杀毒。
C:\PROGRA~1\Yahoo!\Assistant\yassistse.exe 雅虎助手，流氓软件
C:\Program Files\Rising\Rav\RavTask.exe 瑞星相关进程。
C:\Program Files\Rising\Rav\Ravmon.exe 瑞星实时监控SHELL程序(就是任务栏里的那个小绿伞)
C:\WINDOWS\system32\ctfmon.exe Alternative User Input Services，控制Alternative User Input Text Processor (TIP)和Microsoft Office语言条。Ctfmon.exe提供语音识别、手写识别、键盘、翻译和其它用户输入技术的支持。
C:\Program Files\Rising\Rav\Rav.exe 瑞星进程。
C:\WINDOWS\system32\rundll32.exe Windows RUNDLL32 Helper，Windows Rundll32为了需要调用DLLs的程序。该文件可有被QQ白骨精病毒所感染，应该先结束此进程，然后删除%SysDri%\Rundll32.exe文件，再去找一个正常的Rundll32.exe恢复即可。QQ白骨精病毒是一种用VC编写的发送QQ尾巴和盗取信息的木马病毒，它通过在QQ上发送以诱惑性文字为名的EXE文件(如：超级MM，超级FLASH，请您笑纳.EXE)来传播。病毒会搜索QQ好友并自动发送病毒文件，并盗取被感染的电脑中的QQ密码。若中了此病毒请用KavQQ最新版杀毒。
C:\Program Files\Thunder 迅雷号称是最快的下载工具，它是一款最新型的基于P2SP技术的下载软件，兼容传统的P2S和现在流行的P2P下载技术。尤其在下载游戏、工具、MP3音乐方面有着突出的效果。迅雷的最大特色就是其超群的下载速度，优于别的同类软件。迅雷针对宽带用户做了特别的优化，能够充分利用宽带上网的特点，带给用户高速下载的全新体验！而且在用户文件管理方面提供了比较完备的支持，尤其是对于用户比较关注的配置、代理服务器、文件类别管理、批量下载等方面进行了扩充和完善，使得迅雷可以满足中、高级下载用户的大部分专业需求。Network\Thunder\Thunder.exe 迅雷号称是最快的下载工具，它是一款最新型的基于P2SP技术的下载软件，兼容传统的P2S和现在流行的P2P下载技术。尤其在下载游戏、工具、MP3音乐方面有着突出的效果。迅雷的最大特色就是其超群的下载速度，优于别的同类软件。迅雷针对宽带用户做了特别的优化，能够充分利用宽带上网的特点，带给用户高速下载的全新体验！而且在用户文件管理方面提供了比较完备的支持，尤其是对于用户比较关注的配置、代理服务器、文件类别管理、批量下载等方面进行了扩充和完善，使得迅雷可以满足中、高级下载用户的大部分专业需求。
C:\DOCUME~1\cosml\LOCALS~1\Temp\HijackThis.exe Merijn Hijackthis程序，用于监视您的浏览器配置和插件。Hijackthis能够将绑架您浏览器的程序揪出来并且移除之。或许您只是浏览某个网站、安装了某个软件，就发现浏览器设定已经被绑架了，一般常见的绑架方式莫过于强制窜改您的浏览器首页设定、搜寻页设定，现在有了这个工具，可以将所有可疑的程序全抓出来，再让您判断哪个程序是“肇事者”，然后将其除去。
C:\WINDOWS\system32\Rundll32.exe Windows RUNDLL32 Helper，Windows Rundll32为了需要调用DLLs的程序。该文件可有被QQ白骨精病毒所感染，应该先结束此进程，然后删除%SysDri%\Rundll32.exe文件，再去找一个正常的Rundll32.exe恢复即可。QQ白骨精病毒是一种用VC编写的发送QQ尾巴和盗取信息的木马病毒，它通过在QQ上发送以诱惑性文字为名的EXE文件(如：超级MM，超级FLASH，请您笑纳.EXE)来传播。病毒会搜索QQ好友并自动发送病毒文件，并盗取被感染的电脑中的QQ密码。若中了此病毒请用KavQQ最新版杀毒。
C:\WINDOWS\system32\Rundll32.exe

中了木马不要着急，我来帮你：
木马的查杀，可以采用自动和手动两种方式。最简单的删除木马的方法是安装杀毒软件(自动)，现在很多杀毒软件能删除网络最猖獗的木马，建议安装金山毒霸或安全之星XP，它们在查杀木马方面很有一套！
由于杀毒软件的升级多数情况下慢于木马的出现，因此学会手工查杀非常必要。方法是：

1.)检查注册表
看HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼Curren Version和HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion下，所有以“Run”开头的键值名，其下有没有可疑的文件名。如果有，就需要删除相应的键值，再删除相应的应用程序。
2.)检查启动组
木马们如果隐藏在启动组虽然不是十分隐蔽，但这里的确是自动加载运行的好场所，因此还是有木马喜欢在这里驻留的。启动组对应的文件夹为：C:＼windows＼start menu＼programs＼startup，在注册表中的位置：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Explorer＼Shell
Folders Startup="C:＼windows＼start menu＼programs＼startup"。要注意经常检查这两个地方哦！
3.)Win.ini以及System.ini也是木马们喜欢的隐蔽场所，要注意这些地方
比方说，Win.ini的[Windows]小节下的load和run后面在正常情况下是没有跟什么程序的，如果有了那就要小心了，看看是什么；在System.ini的[boot]小节的Shell=Explorer.exe后面也是加载木马的好场所，因此也要注意这里了。当你看到变成这样：Shell=Explorer.exe wind0ws.exe，请注意那个wind0ws.exe很有可能就是木马服务端程序！赶快检查吧。
4.)对于下面所列文件也要勤加检查，木马们也很可能隐藏在那里
C:＼windows＼winstart.bat、C:＼windows＼wininit.ini、Autoexec.bat。
5.)如果是EXE文件启动，那么运行这个程序，看木马是否被装入内存，端口是否打开。如果是的话，则说明要么是该文件启动木马程序，要么是该文件捆绑了木马程序，只好再找一个这样的程序，重新安装一下了。
6.)万变不离其宗，木马启动都有一个方式，它只是在一个特定的情况下启动
所以，平时多注意一下你的端口，查看一下正在运行的程序，用此来监测大部分木马应该没问题的。

另外，你也可以试试用下面的办法来解决：
从网上下一个叫“冰刃”的软件。这是一个绿色免安装的小软件，可以放心使用。
这个是下载地址。
http://www.ttian.net/website/2005/0829/391.html
这个是它的详细用法。
http://www.ccw.com.cn/soft/review/htm2005/20050930_2107Z.htm
一般来说，不管是木马、病毒进入我们的机器后都是“三隐”的即隐进程、隐服务、隐文件的，利害的能将杀毒软件有实时监控给杀死！但在这个冰刃里，它是无法遁身的。开启的非法进程会以红色显示出来。

至于杀毒软件，应该说各人有各人的喜好，下面给出的链接上你看看比较一下：
六款主流杀毒软件横向评测
http://it.sohu.com/2004/05/19/39/article220183986.shtml

消费者该如何选择？六款杀毒软件横向评测(这个要详细些)
http://tech.tom.com/1380/1383/2005513-197230.html

手工查杀灰鸽子2005的关键是找到病毒注册的系统服务名及病毒文件X.exe所在位置。用HijackThis 1.99.0扫日志即可达到此目的（见附图）。HijackThis 1.99.0的下载地址：http://forum.ikaka.com/download.asp?id=5188960。这步操作在普通WINDOWS模式下即可完成，不一定非在“安全模式”下完成。

安全模式 删除

不行的话 你可以下个 木马专杀 杀木马 很有效果

加我QQ也可以 我把木马专杀 传给你 81891819

不用那么麻烦
我以前中过的
用金山毒霸就可以了

---

永顺县15265645726： 我电脑每次用瑞星开机扫描都会扫出四个backdoor.win32.G什么的病毒,还有一个EXE程序.可是在进Windows以后又扫不出来了~谁可以告诉怎么彻底删掉它的啊?？
月蚁弗瑞： 如果瑞星删除不了.装个360加个卡巴一定可以..楼主可以试下

永顺县15265645726： 电脑的瑞星杀毒软件反映有Backdoor.Gpigeon.2006.aic病毒 - ？
月蚁弗瑞： 这个就是近来著名的灰鸽子木马了,你很荣幸中了! 用下面2个软件来对付它(可能目前来讲是最好的的了): 1.木马杀客 5.2 绿色特别版 http://www.52z.com/soft/5943.Html 经过漫长的测试及完善,木马杀客5.2面世了,新版分别设了...

永顺县15265645726： 我用的是瑞星杀毒软件,最近每次杀毒都能杀到二三个Backdoor.Win32.RWX.ta个病毒,为什么机器总是中这种毒?向高手请教!!!？
月蚁弗瑞： 是木马保护程序的一中 每几分钟甚至几秒中检测一次,当保护文件发现被保护文件被删或者运行不正常就会自动复制一个并运行 建议:重装系统

永顺县15265645726： 中了这个病毒:Backdoor.Win32.Gpigeon2008.fb 用瑞星也删不掉,怎么办啊 ?？
月蚁弗瑞： 你看下你的启动项里是不是又可疑启动项.如果没有就看这个病毒在哪个文件将文件删除. 如果这2个都解决不了.建议到安全模式杀毒

永顺县15265645726： 木马名称:Backdoor.GPigeon.3261怎么清除啊? - ？
月蚁弗瑞： 你是怎么中灰鸽子木马的啊??我交你个手动清楚的方法` 1、找到c:\windows\taskman32.exe删除,这是个隐藏文件,罪魁祸首就是它. 2、运行regedit,搜索taskman32.exe,所有相关项删除. 3、再用瑞星杀毒,C:\Program Files\Internet ...

永顺县15265645726： 急呀,backdoor.gpieon.tan病毒怎样杀,瑞星杀不? ？
月蚁弗瑞： 1、先用最高版本的杀毒软件查杀内存驻留的病毒; 2、打开注册表,把病毒相关的键值删除; 3、把启动项表中的病毒自启动项关闭; 4、进入安全模式,把病毒源文件删除.

永顺县15265645726： VISTA系统中Backdoor.Win32.Koutodoor.gu病毒如何清除？
月蚁弗瑞： 重新启动按F8进入安全模式,然后用瑞星对发现病毒的文件夹再次扫描,看能否删除,不能删除的话,试试超级巡警的文件粉碎机,将文件粉碎

永顺县15265645726： 请问Backdoor.Win32.Gpigeon.zhn是什么病毒?为什么用瑞星查杀了,重启后又出现? - ？
月蚁弗瑞： 这是个灰鸽子木马(Backdoor.win32) 病毒特征:比起前辈冰河、黑洞来,灰鸽子可以说是国内后门的集大成者.其丰富而强大的功能、灵活多...

永顺县15265645726： Backdoor.Gpigeon.2006.aha灰鸽子如何彻底? ？
月蚁弗瑞： 灰鸽子的手工检测 由于正常模式下灰鸽子会隐藏自身,因此检测灰鸽子的操作一定要... 灰鸽子专杀工具 重点提示:病毒清除过程完成后若出现提示“您的计算机系统中已经...

永顺县15265645726： 我用瑞星从conime查出病毒 Backdoor.Win32.Puppet.e 清除成功了？
月蚁弗瑞： conime是输入法.可能你中的毒感染了这个文件 开始菜单-运行-输入“msconfig”-确定-打开“系统配置实用程序”-“启动”选项卡-去掉conime.exe选项前的“勾”,点击确定. 2.打开任务管理器(ctrl+alt+del),结束conime.exe进程,然后在...