這個(gè)方法是告訴大家如何在用第三方工具無(wú)效的情況下，用手工操作，擺平那些連殺毒軟件也無(wú)法搞定的頑固木馬（病毒）。
自從發(fā)表有關(guān)Rootkit木馬清除方法的帖子以來(lái)，有部分網(wǎng)友給我留言說(shuō)，按那帖子介紹的方法去處理還是殺不掉病毒。系統每次啟動(dòng)時(shí)殺毒軟件都仍然發(fā)現病毒，但也總殺不了，只能“隔離”。
經(jīng) 過(guò)研究發(fā)現，原來(lái)這些木馬隱藏得更加深，把自己偽裝成了系統的底層設備的驅動(dòng)程序，這樣，就算在安全模式下也系統同樣加載這些木馬程序，殺毒軟件奈何它不 得，只好“隔離”了事。也許有人會(huì )想到用Unlocker等的工具去刪除它們，但實(shí)際上根本不行，這些工具會(huì )提示說(shuō)“重啟后刪除”，但重啟后木馬程序“巋 然不動(dòng)”。
既然殺毒軟件和第三方工具都無(wú)效，那就只有靠我們自己啦。俗話(huà)不是說(shuō)“物是死的、人是活的”嘛，人總該比殺毒軟件要聰明些吧。要刪除這些木馬，方法只剩兩個(gè)了，一是重裝系統，一是手工清除。如果不喜歡重裝系統的話(huà)，那么手工清理自然是唯一選擇。
當 然，手工清理也是頗有難度的，因為這些木馬變成了最底層的系統設備，一旦系統啟動(dòng)（包括安全模式），這個(gè)設備（木馬程序）也被啟用，木馬文件不能刪除（因 為正在被系統使用），它在系統中注冊的服務(wù)也是不可以被刪除的。別以為這是“權限”不夠，即使賦予Everyone“完全控制”權限，也是無(wú)濟于事的，只 可以刪除其中一部份“鍵值”，但那個(gè)“默認”鍵值總是刪除不了的，而且，刷新注冊表后那些被刪掉的東西又會(huì )恢復過(guò)來(lái)。
要搞定它們，就必須用“釜底抽薪”的辦法——刪除木馬偽裝的系統設備?？墒?，說(shuō)的容易，做的難，因為木馬作者也不是傻子，不再像http://softbbs.pconline.com.cn/topic.jsp?tid=6066133這個(gè)帖子中的那樣，虛擬的系統設備的名稱(chēng)跟木馬程序的名稱(chēng)相同，他會(huì )給虛擬設備另起一個(gè)名字，在眾多的虛擬系統設備中，你看得暈乎乎的，很難分別出哪個(gè)是木馬偽裝的設備（除非你平時(shí)對這些設備非常了解）。
難道就沒(méi)辦法了嗎？當然不是啦，因為“人是活的”??！我們可以用“枚舉”法，這是高中時(shí)代老師教我們的邏輯推理方法！呵呵，就用這個(gè)，雖然方法有點(diǎn)笨，但非常簡(jiǎn)單、有用。
方 法是這樣的：右擊“我的電腦”→屬性→硬件→設備管理→查看→顯示隱藏的設備，點(diǎn)一下“非即插即用驅動(dòng)程序”前邊的＋號，就會(huì )列出所有的虛擬設備。找到你 認為可疑的設備，然后右擊→屬性→驅動(dòng)程序→驅動(dòng)程序詳細信息，就可以看到它是在調用哪一個(gè)設備驅動(dòng)程序。（本例要找的是gxsynw98.sys）如下 圖：
一個(gè)一個(gè)地找……，哈哈！功夫不負有心人，終于找到了！
接下來(lái)就好辦啦?；剡^(guò)頭來(lái)再右擊那個(gè)設備，然后選“停用”或“卸載”，一般應選“卸載”，為保險起見(jiàn)，也可以先選“停用”，待確認后再“卸載”。
“ 停用”或“卸載”這些虛擬設備后，重啟系統。這樣就可以到相應的文件夾里手工刪除這些木馬的源程序；再打開(kāi)注冊表，也能夠順利地刪除木馬在系統中注冊的服務(wù)。至此，頑固的木馬就被徹底清除掉了。
最后，再教大家一招：如何刪除木馬在系統中注冊的服務(wù)。因為有好多網(wǎng)友不是很清楚這個(gè)，所以順帶說(shuō)一下。
說(shuō)明：這個(gè)是以刪除hilkon50.sys木馬為例的，你中的木馬源程序的名稱(chēng)不會(huì )是這個(gè)，所以不要完全照搬，要懂得舉一反三的哦。
1、單擊“開(kāi)始”→運行，輸入regedit，然后確定，打開(kāi)注冊表編輯界面；
2、點(diǎn)擊“編輯”→查找，輸入hilkon50，點(diǎn)“查找下一個(gè)”，開(kāi)始查找；
3、好，找到了第一個(gè)，右擊它，選“刪除”時(shí)，出錯，因為“權限”不夠；
4、提升權限：右擊，選“權限”→點(diǎn)用戶(hù)“Everyone”→點(diǎn)“完全控制”的“允許”；
5、提升了權限后，再像第3步那樣右擊那個(gè)“項”，選“刪除”，就可以刪掉了；
6、刪除第一個(gè)后，按F3鍵（或者“編輯”→查找下一個(gè)），繼續查找，把找到的刪除掉（如果提示出錯，按第4步的方法提升權限），然后再繼續查找、刪除，直至查找完畢。
這樣，木馬在系統中注冊的服務(wù)就被刪除干凈了，重啟系統后，木馬源程序就再也不會(huì )被調用，你就可以順利地刪除木馬文件了。
補充：
總覺(jué)得教大家“赤手空拳”的太“危險”，還是手里有樣東西拿著(zhù)心里踏實(shí)些。
經(jīng)過(guò)試驗，現在找到一款可以顯示各設備的驅動(dòng)程序名稱(chēng)，而且也能停用設備的軟件。
它叫utoruns，下載地址：http://www.crsky.com/soft/5285.html
用了它，就不用一個(gè)一個(gè)地查看設備的驅動(dòng)程序這樣麻煩了。
聯(lián)系客服
