如何在计算机中删除木马程序

如何清除计算机中的木马程序？

木马是基于远程控制的病毒程序. 该程序是高度隐蔽和有害的. 它可以在您不知情的情况下控制您或监视您的计算机. 让我们谈谈木马经常隐藏在哪里以及如何将其删除.

首先检查您的计算机中是否存在木马

1，已集成到程序中

实木马也是服务器-客户端程序. 为了防止用户轻松删除它，通常将其集成到程序中. 用户激活木马程序后，木马文件将与特定应用程序捆绑在一起. 然后将其上传到服务器以覆盖原始文件，这样，即使删除了木马，只要您运行与木马捆绑在一起的应用程序，木马也将再次安装. 绑定到某个应用程序（例如绑定到系统文件），则每次Windows启动都会启动木马.

2，隐藏在配置文件中

木马太狡猾了. 我知道，新手通常使用图形界面操作系统. 大多数不再重要的配置文件都将被忽略. 这只是为木马提供了一个藏身之所. 地点. 而且，使用配置文件的特殊功能，木马可以轻松地在每个人的计算机上运行和攻击，从而可以窥探或监视每个人. 但是，这种方法不是很隐蔽，也很容易找到，因此很少在Autoexec.bat和Config.sys中加载木马程序，但不应掉以轻心.

3，潜伏在Win.ini中

要达到控制或监视计算机的目的，该木马必须正在运行，但没有一个愚蠢的人可以在其计算机上运行该死的木马. 当然，木马很早就已经做好了心理准备，因为知道人类是高智商的动物，不会帮助它工作，因此它必须找到一个安全的地方，当系统启动时可以自动运行，因此潜伏在Win中. 伊尼. Trojans感到更舒适的地方. 您不妨打开Win.ini看看. 在其[windows]字段中，有启动命令“ load =”和“ run =”. 通常情况下，“ =”为空白. 例如，如果它后面是程序，则它看起来像这样: run = c: windows ile.exe load = c: windows ile.exe

这时，您必须要小心，这个file.exe可能是木马.

4. 伪装在普通文件中

此方法出现较晚，但现在非常流行，对于不熟练的Windows操作员来说很容易上当. 具体方法是将可执行文件伪装成图片或文本----在程序中电脑清除木马软件，将图标更改为Windows的默认图片图标，然后将文件名更改为* .jpg.exe，因为默认设置Win98的“无显示已知文件后缀”，文件将显示为* .jpg，如果您不注意此图标，将是木马（如果您将图片嵌入到程序）.

5. 内置在注册表中

以上方法使木马真的很舒服了一段时间电脑清除木马软件，没人能找到它，并且它可以自动运行，非常高兴！但是，美好时光并没有持续多久，人类迅速拔出了脚并受到了严厉的惩罚！但是它仍然不愿意. 在总结了失败的教训后，它认为上面的隐藏位置很容易找到，现在必须将其隐藏在不容易发现的位置，因此想到了注册表！的确，注册表更复杂，因此木马通常喜欢躲在这里并感到高兴. 快速检查一下，看看下面是否有任何程序. 睁开眼睛，仔细看. 不要放过木马: 所有键值都以HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersion下的“ run”开头； HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion所有以“ run”开头的键； HKEY-USERS.DefaultSoftwareMicrosoftWindowsCurrentVersion下所有以“ run”开头的键.

6，隐藏在System.ini中

到处都是木马！哪里有差距，哪里都会走！不，Windows安装目录中的System.ini也是木马喜欢隐藏的地方. 小心. 打开此文件，看看它与普通文件有何不同. 在文件的[boot]字段中，是否包含此类内容？如果存在，那就是shell = Explorer.exe file.exe. 内容，那么您很不幸，因为这里的file.exe是Trojan服务器程序！此外，在System.ini的[386Enh]字段中，请注意检查本段中的“ driver = path程序名称”，木马也可能使用该名称. 此外，在System.ini的[mic]，[drivers]和[drivers32]这三个字段中，这些部分还起到加载驱动程序的作用，但是它们也是添加木马程序的好地方. 现在您还应该知道在这里注意.

7. 在启动组中不可见

有时候，木马并不关心它的下落. 它会更加注意是否可以将其自动加载到系统中，因为一旦将木马加载到系统中，您就无法通过任何使用的方法来摆脱它. 它确实太厚了），因此根据此逻辑，启动组也是隐藏木马的好地方，因为它确实是自动加载和运行的好地方. 与活动组相对应的文件夹是: C: windowsstart menuprogramsstartup，注册表中的位置: HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion

ExplorerShellFolders Startup =“ C: windowsstart menuprogramsstartup”. 注意经常检查启动组！

8，隐藏在Winstart.bat中

根据上述逻辑理论，只要有利于自动加载木马，木马就喜欢留下来. 不，Winstart.bat也是可以由Windows自动加载并运行的文件. 在大多数情况下，它是为应用程序和Windows自动生成的. 在Win.com被执行并加载了大多数驱动程序之后，它开始执行（可以通过在开始时按F8键，然后选择逐步跟踪启动过程的启动模式来完成，以完成此操作） . 由于可以将Winexec.bat的功能替换为Winstart.bat，因此可以像在Autoexec.bat中一样加载并运行木马，并且由此带来的危险.

9. 捆绑在启动文件中

它是应用程序的启动配置文件. 控制端使用这些文件的特性来启动程序，并使用木马启动命令将准备好的具有相同名称的文件上载到服务器，以覆盖具有相同名称的文件，从而可以启动木马. 目的.

10. 设置超级连接

木马的所有者在网页上放置了恶意代码，以诱使用户单击，而用户单击的结果是不言而喻的: 打开门然后窃取！我建议您不要随意单击网页上的链接，除非您理解，信任并愿意为此而死等等.

让我们再次看看木马的清除方法

1. 检查注册表中的RUN，RUNSERVEICE和其他项目，首先进行备份，记下可启动项目的地址，然后删除可疑项目.

2. 删除硬盘中上述可疑密钥的执行文件.

3. 通常，这些文件位于WINNT，SYSTEM和SYSTEM32等文件夹中. 它们通常不单独存在. 父文件可能已被复制. 检查C，D，E和其他磁盘. 如果有任何可疑的.exe，.com或.bat文件，请将其删除.

4. 检查注册表HKEY_LOCAL_MACHINE和HKEY_CURRENT_USERSOFTWARE Microsoft Internet Explorer Main中的几个项目（例如“本地页面”），如果它们被修改，只需将它们改回即可.

5. 检查是否更改了几种常用文件类型的默认打开程序，例如HKEY_CLASSES_ROOTinifileshellopencommand和HKEY_CLASSES_ROOT xtfileshellopencommand. 这必须改回来. 许多病毒通过修改.txt，.ini等默认打开的程序，使病毒“永生不灭”.

6. 如果可能，请反汇编病毒的父文件. 例如，我上次发现的病毒是用IDA分解的，发现它还偷走了系统密码，并创建了％systemroot％systemmapis32a.dll文件来更改密码. 将其发送到邮箱，因为我使用的是W2K，所以它肯定不会成功.

此时，病毒已被完全删除！作者建议，如果有此能力，则应始终注意系统更改，奇怪的端口，可疑进程等. 当前的病毒不会像以前那样严重破坏系统数据，因此很容易找到更多病毒，因此尝试自己杀死病毒（简单病毒，木马）.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-289717-1.html