這個(gè)方法是告訴大家如何在用第三方工具無效的情況下，用手工操作，擺平那些連殺毒軟件也無法搞定的頑固木馬（病毒）。
自從發(fā)表有關(guān)Rootkit木馬清除方法的帖子以來，有部分網(wǎng)友給我留言說，按那帖子介紹的方法去處理還是殺不掉病毒。系統(tǒng)每次啟動(dòng)時(shí)殺毒軟件都仍然發(fā)現(xiàn)病毒，但也總殺不了，只能“隔離”。
經(jīng) 過研究發(fā)現(xiàn)，原來這些木馬隱藏得更加深，把自己偽裝成了系統(tǒng)的底層設(shè)備的驅(qū)動(dòng)程序，這樣，就算在安全模式下也系統(tǒng)同樣加載這些木馬程序，殺毒軟件奈何它不 得，只好“隔離”了事。也許有人會(huì)想到用Unlocker等的工具去刪除它們，但實(shí)際上根本不行，這些工具會(huì)提示說“重啟后刪除”，但重啟后木馬程序“巋 然不動(dòng)”。
既然殺毒軟件和第三方工具都無效，那就只有靠我們自己啦。俗話不是說“物是死的、人是活的”嘛，人總該比殺毒軟件要聰明些吧。要?jiǎng)h除這些木馬，方法只剩兩個(gè)了，一是重裝系統(tǒng)，一是手工清除。如果不喜歡重裝系統(tǒng)的話，那么手工清理自然是唯一選擇。
當(dāng) 然，手工清理也是頗有難度的，因?yàn)檫@些木馬變成了最底層的系統(tǒng)設(shè)備，一旦系統(tǒng)啟動(dòng)（包括安全模式），這個(gè)設(shè)備（木馬程序）也被啟用，木馬文件不能刪除（因 為正在被系統(tǒng)使用），它在系統(tǒng)中注冊(cè)的服務(wù)也是不可以被刪除的。別以為這是“權(quán)限”不夠，即使賦予Everyone“完全控制”權(quán)限，也是無濟(jì)于事的，只 可以刪除其中一部份“鍵值”，但那個(gè)“默認(rèn)”鍵值總是刪除不了的，而且，刷新注冊(cè)表后那些被刪掉的東西又會(huì)恢復(fù)過來。
要搞定它們，就必須用“釜底抽薪”的辦法——?jiǎng)h除木馬偽裝的系統(tǒng)設(shè)備?？墒?，說的容易，做的難，因?yàn)槟抉R作者也不是傻子，不再像http://softbbs.pconline.com.cn/topic.jsp?tid=6066133這個(gè)帖子中的那樣，虛擬的系統(tǒng)設(shè)備的名稱跟木馬程序的名稱相同，他會(huì)給虛擬設(shè)備另起一個(gè)名字，在眾多的虛擬系統(tǒng)設(shè)備中，你看得暈乎乎的，很難分別出哪個(gè)是木馬偽裝的設(shè)備（除非你平時(shí)對(duì)這些設(shè)備非常了解）。
難道就沒辦法了嗎？當(dāng)然不是啦，因?yàn)椤叭耸腔畹摹卑?！我們可以用“枚舉”法，這是高中時(shí)代老師教我們的邏輯推理方法！呵呵，就用這個(gè)，雖然方法有點(diǎn)笨，但非常簡單、有用。
方 法是這樣的：右擊“我的電腦”→屬性→硬件→設(shè)備管理→查看→顯示隱藏的設(shè)備，點(diǎn)一下“非即插即用驅(qū)動(dòng)程序”前邊的＋號(hào)，就會(huì)列出所有的虛擬設(shè)備。找到你 認(rèn)為可疑的設(shè)備，然后右擊→屬性→驅(qū)動(dòng)程序→驅(qū)動(dòng)程序詳細(xì)信息，就可以看到它是在調(diào)用哪一個(gè)設(shè)備驅(qū)動(dòng)程序。（本例要找的是gxsynw98.sys）如下 圖：
一個(gè)一個(gè)地找……，哈哈！功夫不負(fù)有心人，終于找到了！
接下來就好辦啦?；剡^頭來再右擊那個(gè)設(shè)備，然后選“停用”或“卸載”，一般應(yīng)選“卸載”，為保險(xiǎn)起見，也可以先選“停用”，待確認(rèn)后再“卸載”。
“ 停用”或“卸載”這些虛擬設(shè)備后，重啟系統(tǒng)。這樣就可以到相應(yīng)的文件夾里手工刪除這些木馬的源程序；再打開注冊(cè)表，也能夠順利地刪除木馬在系統(tǒng)中注冊(cè)的服務(wù)。至此，頑固的木馬就被徹底清除掉了。
最后，再教大家一招：如何刪除木馬在系統(tǒng)中注冊(cè)的服務(wù)。因?yàn)橛泻枚嗑W(wǎng)友不是很清楚這個(gè)，所以順帶說一下。
說明：這個(gè)是以刪除hilkon50.sys木馬為例的，你中的木馬源程序的名稱不會(huì)是這個(gè)，所以不要完全照搬，要懂得舉一反三的哦。
1、單擊“開始”→運(yùn)行，輸入regedit，然后確定，打開注冊(cè)表編輯界面；
2、點(diǎn)擊“編輯”→查找，輸入hilkon50，點(diǎn)“查找下一個(gè)”，開始查找；
3、好，找到了第一個(gè)，右擊它，選“刪除”時(shí)，出錯(cuò)，因?yàn)椤皺?quán)限”不夠；
4、提升權(quán)限：右擊，選“權(quán)限”→點(diǎn)用戶“Everyone”→點(diǎn)“完全控制”的“允許”；
5、提升了權(quán)限后，再像第3步那樣右擊那個(gè)“項(xiàng)”，選“刪除”，就可以刪掉了；
6、刪除第一個(gè)后，按F3鍵（或者“編輯”→查找下一個(gè)），繼續(xù)查找，把找到的刪除掉（如果提示出錯(cuò)，按第4步的方法提升權(quán)限），然后再繼續(xù)查找、刪除，直至查找完畢。
這樣，木馬在系統(tǒng)中注冊(cè)的服務(wù)就被刪除干凈了，重啟系統(tǒng)后，木馬源程序就再也不會(huì)被調(diào)用，你就可以順利地刪除木馬文件了。
補(bǔ)充：
總覺得教大家“赤手空拳”的太“危險(xiǎn)”，還是手里有樣?xùn)|西拿著心里踏實(shí)些。
經(jīng)過試驗(yàn)，現(xiàn)在找到一款可以顯示各設(shè)備的驅(qū)動(dòng)程序名稱，而且也能停用設(shè)備的軟件。
它叫utoruns，下載地址：http://www.crsky.com/soft/5285.html
用了它，就不用一個(gè)一個(gè)地查看設(shè)備的驅(qū)動(dòng)程序這樣麻煩了。
聯(lián)系客服
