由谁来爱我 泳儿百度云:落雪病毒！金山的专杀工具吃软饭的！！

你才知道金山是吃软饭的啊?金山垃圾公司,做出来的软件就垃圾的要死.除了词霸家族的软件有使用价值,其它的都是垃圾

尊敬的金山网络用户您好：
您可以尝试先使用最新版本的顽固木马专杀工具尝试查杀一次。
查杀后到金山官网下载最新的毒霸安装包重新进入带有网络连接的安全模式升级至最新全盘杀毒彻底杀毒。

顽固木马专杀下载：http://cu003.www.duba.net/duba/tools/dubatools/usb/sysfixkill.exe
金山毒霸官网：www.ijinshan.com

如仍有疑问，欢迎您向金山企业知道提问

上楼说的真好。

有补丁

我还是把我的一点经验说出来与大家分享吧：
中招的特征是：运行一段时间后提示“虚拟内存”不足，你设置的大一点还是一样，然后死机，查看进程是有一个“WINLOGON.EXE”用户名是你的用户名，注意：该进程是名字全部是大写，用户名一定是你的用户名，而另外有一个系统进程同这个名儿是一样的，只是全部是小写的，用户名是 “SYSTEM”
查杀过程：先下了一个“木马杀客”一个“落雪木马专杀”一个“落雪木马专杀补丁”
进入安全模式先运行“木马杀客”，（我最近用好像没有一台机子没有被他查不出木马来），运行完以后它提示隔离的不少，然后进入到C盘在查看里设置显示所有文件，打开资源管理器，看木马杀客隔离的木马在那里，然后点开相应的文件夹逐个删除，被他隔离的文件都被号上了“被屏蔽木马”的记号，所以特别好找，我是用搜索的：）文件名关键词是“屏蔽”。有一些可能直接删不掉，注销后再运行一遍木马杀客试试。注意：删除后清空回收站，注销后运行“落雪木马专杀”。直接点查杀，有可能运行不了，蓝屏后死机，你可以先在正常模式下运行一次，然后回到安全模式再运行。用完专杀后再注销运行“专杀补丁”，我选择的是 “自动恢复”（左上角一个，右下角一个），重起，基本好了。该木马的激活是双击D盘

下面方法是别人介绍的，非常好用，或许能帮帮你

正常的 winlogon系统进程，其用户名为“SYSTEM” 程序名为小写winlogon.exe。而伪装成该进程的木马程序其用户名为当前系统用户名，且程序名为大写的WINLOGON.exe。 进程查看方式 ctrl+alt+del ，然后选择进程。正常情况下有且只有一个winlogon.exe进程，其用户名为“SYSTEM”。如果出现了两个winlogon.exe，且其中一个为大写，用户名为当前系统用户的话，表明可能存在木马。
这个木马非常厉害，能破坏掉木马XX和常用的杀毒软件，使其不能正常运行。目前我使用江民杀毒软件未能查出，连瑞星在线杀毒对它都没有查出来，并且使防火墙处于无法启动状态，在清除病毒之后也不能启动，我不得不重新再安装一次防火墙。
在WINDOWS 下的WINLOGON.EXE确实是病毒。但是，它不过是这个病毒中的小角色而已，大家打开D盘看看是否有一个pagefile的DOS指向文件（有的版本病毒还有autorun.inf文件），我机器里的pagefile不是隐藏的，而是光明正大的存在D盘里，删这个文件是没用的，因为它关联了很多东西，甚至在安全模式都存在，只要运行任何程序，或者双击打开D盘，它会重新出现在D盘。网上有的网友说叫这个病毒为 ”落雪“ 是专门盗传奇、传奇世界的木马，至于会不会盗其他帐号如QQ，网银就不得而知了（我不会玩传奇，但是也有这个病毒!!我晕～～～～～）。同时它还将将杀毒软件里的设置进行了改变，不能启动防火墙，强制手工启动时，会出现一个窗口说防火墙某个文件失效，被windows 关闭。真的好可恨！！

我解决“落雪”病毒的方法
症状：D盘打开，里面有pagefile.com文件 ，它所关联的文件如下，绝大多数文件都是显示为系统文件和隐藏的。 所以要在文件夹选项里打开显示所有隐藏文件。 D盘里就一个，C盘里的就多了！
D:\pagefile.com
C:\Program Files\Common Files\iexplore.com
C:\WINDOWS\1.com
C:\WINDOWS\iexplore.com
C:\WINDOWS\finder.com
C:\WINDOWS\Exeroud.exe
C:\WINDOWS\Debug\DebugProgramme.exe
C:\Windows\system32\command.com
C:\Windows\system32\msconfig.com
C:\Windows\system32\regedit.com
C:\Windows\system32\dxdiag.com
C:\Windows\system32\rundll32.com
C:\Windows\system32\finder.com
C:\Windows\WINLOGON.EXE
winlogon这个在进程里可以看得到，有两个，一个是真的，一个是假的。 真的是小写winlogon.exe，用户名是SYSTEM，
而假的是大写的WINLOGON.EXE，用户名是你自己的用户名。这个文件在进程里是中止不了的，说是关键进程无法中止，
搞得跟真的一样！就连在安全模式下它都会呆在你的进程里！
然后打开开始菜单的运行，输入命令 regedit，进注册表，
到 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 里面，有一个Torjan programme，
这个明摆着“我是木马”，证明你的电脑里已经有WINLOGON.EXE病毒。
知道了这些文件，首先关闭可以关闭的所有程序，打开程序附件里头的WINDOWS资源管理器，
并在上面的工具里头的文件夹选项里头的查看里设置显示所有文件和文件夹，取消隐藏受保护操作系统文件。
随后我使用了木马杀客软件，进行硬盘扫描，这么作的好处是知道木马病毒所在的位置，
同时木马杀客软件将这些木马病毒进行删除操作，如果不能删除就将那些病毒进行隔离。扫描结果是：

2006年2月16日
系统事件：启动项目中发现木马!
木马名称：Troj.LMir2.ky.2605
木马启动项：torjan program
木马从启动项目中清除成功!
c:\windows\winlogon.exe

木马在硬盘清除成功!
c:\windows\winlogon.exe

系统事件：启动项目中发现木马!
木马名称：系统用户登录管理.3
木马启动项：torjan program
木马从启动项目中清除成功!
c:\windows\winlogon.exe

核心启动中发现木马! 已经清除 1

2006年1月16日
系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2607
木马路径：C:\WINDOWS\1.com
处理方式：隔离 成功

系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2610
木马路径：C:\WINDOWS\ExERoute.exe
处理方式：隔离 成功

系统事件：已发现木马!
木马名称：W32.Gokar.A@mm.2062
木马路径：C:\WINDOWS\iexplore.com
处理方式：隔离 成功

系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2609
木马路径：C:\WINDOWS\finder.com
处理方式：隔离 成功

系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2615
木马路径：C:\WINDOWS\system32\command.pif
处理方式：隔离 成功

系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2614
木马路径： C:\Windows\system32\command.com
处理方式：删除 成功

系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2614
木马路径：C:\WINDOWS\system32\dxdiag.com
处理方式：隔离 成功

系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2609
木马路径：C:\WINDOWS\system32\finder.com
处理方式：隔离 成功

系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2616
木马路径：C:\WINDOWS\system32\MSCONFIG.COM
处理方式：隔离 成功

系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2617
木马路径：C:\WINDOWS\system32\regedit.com
处理方式：隔离 成功

系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2618
木马路径：C:\WINDOWS\system32\rundll32.com
处理方式：隔离 成功

系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2618
木马路径：C:\Windows\WINLOGON.EXE
处理方式：隔离 成功

系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2618
木马路径：C:\WINDOWS\Debug\DebugProgramme.exe
处理方式：隔离 成功

系统事件：已发现伪系统木马!
木马名称：Troj.LMir2.ky.2618
木马路径：C:\Program Files\Common Files\iexplore.com
处理方式：隔离 成功
然后到D盘（注意不要双击进入！否则又会激活这个病毒）右键，选“打开”，把pagefile.com删掉，
然后再到C盘把木马杀客上面所列出来的文件都删掉（C盘里上述的病毒经过木马杀客的扫描已经被其屏蔽了，
并且在病毒的名字里有屏蔽的字样，很容易找到）！中途注意不要双击到其中任何一个文件，
否则所有步骤都要重新来过！其中WINLOGON.EXE文件虽然被屏蔽了但是我们还是删不了它,我们可以
先注销然后在删,这样就可以了!
删完之后注销，但是在注销之前千万别忘了将垃圾桶清空
删掉那些文件后，所有的exe文件全都打不开了.
这个时候我们运行Regfix.COM,修复exe关联.
这样exe文件就可以运行了。打开注册表，在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\ CurrentVersion\Winlogon]中把"Shell"="Explorer.exe 1"恢复为"Shell"="Explorer.exe" ，完成！！
WINLOGON.EXE病毒就杀了!