可以检测并杀死各种顽固的木马. Windows系统工具真的那么强大吗？ -文件夹病毒专用工具

Windows系统集成了无数工具，每个工具都可以履行其职责，以满足用户的不同应用程序需求. 实际上，这些工具“用途广泛”，还可以帮助我们杀死病毒. 如果您不知道，请仔细阅读.

1. 任务经理，负责病毒的医生

Windows任务管理器是您进行过程管理的主要工具. 您可以在其“过程”选项卡中查看当前系统过程信息. 在默认设置下，通常只能看到一些项，例如映像名称，用户名，CPU使用率和内存使用率，但是隐藏了更多信息，例如I / O读写，虚拟内存大小等. 不要小看隐藏的信息. 当系统莫名其妙地发生故障时，这些事情可以为您提供帮助！

1. 检查并杀死将自动消失的双进程木马

不久前，计算机中有一个木马被击中，并且通过任务管理器发现该木马程序为“ system.exe”. 终止并刷新后，它将恢复.

这种木马程序有一个监护程序，将定期对其进行扫描. 一旦发现受保护的进程被杀死，它将被复活. 现在，许多双进程木马相互监视并相互复活. 因此，杀死该病毒的关键是找到两个“相互依赖”的木马文件. 借助任务管理器的PID识别可以找到木马程序.

调用Windows任务管理器，首先在“视图→选择列”中检查“ PID（进程标识符）”，以便在返回到任务管理器窗口后可以看到每个进程的PID标识. 这样，当我们终止一个进程时，在它重新生成之后，可以通过PID标识找到重新生成它的父进程. 启动命令提示符窗口，然后执行“ taskkill / im system.exe / f”命令. 刷新计算机后重新输入上述命令，可以看到终止的system.exe进程的PID为1536，该进程属于PID 676的进程. 换句话说，已创建PID为1536的system.exe进程. 通过使用PID 676进行处理. 返回任务管理器，通过查询进程PID来确定它是“ internet.exe”进程.

很容易找到罪魁祸首. 现在，重新启动系统并进入安全模式，使用搜索功能找到木马文件c: windowsinternet.exe，然后将其删除. 以前无法删除system.exe，主要是因为未找到internet.exe（并且未删除其启动密钥值），这导致internet.exe在重新进入系统后重新启动了木马.

2. P2P程序疯狂写硬盘

打开计算机并上网后，我发现硬盘驱动器指示灯不断闪烁，并且硬盘旋转异常. 显然，这台机器上有一些程序正在读取数据，但是经过反复防病毒后，没有发现恶意程序，例如病毒和木马.

打开计算机并联机，按Ctrl + Alt + Del启动任务管理器，切换到“处理”选项卡，单击菜单命令“视图→选择列”，然后检查“ I / O写入”. “和“ I / O写字节”. 确认后，我返回任务管理器，发现一个陌生的进程hidel.exe. 尽管它占用少量的CPU和内存，但I / O写入量却惊人地大. 看来这是在做一个把戏，快点右键单击它，然后选择“结束进程”以终止，硬盘读写恢复正常.

二，系统备份工具，的病毒杀手

我遇到了无法删除的病毒“ C: Program FilesCommon FilesPCSuiterasdf.exe”，并且我无法同时复制此文件. 如何删除它. 我通过系统备份工具清除了病毒，操作过程如下:

第一步: 单击“开始→所有程序→附件→系统工具→备份”以打开备份或还原向导窗口，为备份项目选择“让我选择要备份的内容”，然后导航到“ C” #FormatImgID_0#rogram FilesCommon FilesPCSuite“.

步骤2: 继续执行备份向导操作，将备份文件另存为“ g: virus.bkf”，选中“使用卷影复制”作为备份选项，然后根据默认设置完成备份. 剩余的操作.

步骤3: 双击“ g: virus.bak”以打开备份或还原向导，并将备份还原到“ g: virus”. 然后打开“ g: virus”，使用记事本打开病毒文件“ rasdf.exe”，然后删除几行代码并保存，以使该病毒被我们的记事本破坏（无法再运行）.

步骤4: 操作与上面相同，并以“ k: virus1.bkf”作为“ k: virus”的新备份. 然后启动还原向导，选择“ C: Program FilesCommon FilesPCSuite”作为还原位置，然后选择“替换现有文件”作为还原选项. 这样，尽管当前病毒正在运行，但备份组件仍可以用错误的病毒文件替换当前病毒. 恢复完成后，系统提示重新启动，并且重新启动后病毒不会启动（因为它已被记事本损坏）.

3. 记事本，病毒的执行者

1. 检查和杀死双进程木马

如今，越来越多的木马采用双进程守护程序技术来保护自己. 但是，这种类型的木马也具有“软肋”. 它仅使用进程列表进程名称来确定守护进程是否存在. 这样，只要用记事本程序替换木马程序，就可以达到“欺骗”守护进程的目的.

以下以杀死木马程序为例. 招募木马后，木马的“ internet.exe”和“ systemtray.exe”进程将相互监视. 当然，当我们被招募时，我们大多数人都不知道木马的具体监护程序. 但是，从进程名称可以知道“ systemtray.exe”是异常进程，因为在系统的正常进程中没有这样的进程. 以下替换方法用于检测和杀死木马.

第一步: 单击“开始→运行”，输入“ Msinfo32”以打开系统信息窗口，展开“系统摘要→软件环境→运行任务”，在这里您可以看到“ C”中的“ systemtray.exe”路径: WindowsSystem32“.

步骤2: 打开“ C: WindowsSystem32”，将记事本程序“ notepad.exe”复制到“ D: ”，然后将其重命名为“ systemtray.exe”.

第3步: 打开记事本程序，输入以下代码，将其另存为“ shadu.bat”，然后将其放置在桌面上（括号内为注释，无需输入）:

@回声关闭

Taskkill / f / im systemtray.exe（使用taskkill命令强制终止“ systemtray.exe”进程）

删除C: WindowsSystem32systemtray.exe（删除病毒文件）

复制d: systemtray.exe C: WindowsSystem32（替换病毒文件）

步骤4: 现在，只要在桌面上运行“ shadu.bat”，系统就会终止并删除“ systemtray.exe”进程，并将重命名的记事本程序复制到系统目录中. 这样，守护程序进程将“错误地认为”该守护程序进程仍然存在，并且它将立即启动记事本程序.

步骤5: 接下来，我们只需要找出监视过程并将其删除即可. 在命令提示符下输入:

“ taskkill / f / im systemtray.exe”，终止守护进程的“ systemtray.exe”再生，可以看到“ systemtray.exe”进程是由“ PID 3288进程”创建的，打开任务管理器您可以看到“ PID 3288的过程”是“ internet.exe”，这是再生过程的“罪魁祸首”.

步骤6: 根据第一步，打开系统信息窗口，您可以看到“ internet.exe”也位于系统目录中. 终止“ internet.exe”进程，然后进入系统目录以删除上述两个文件.

2. 使病毒无效并删除

众所周知，文件由代码组成. 理论上，记事本程序可以打开任何文件（除了某些文件将显示为乱码）. 我们可以将病毒打开方法与记事本相关联，以便在启动后由记事本将其打开，并且会失去做恶功能.

第一步: 启动命令提示符，输入“ ftype exefile = notepad.exe％1”，并将所有EXE程序打开方法关联到记事本程序. 重新启动系统后，我们会发现桌面会自动启动一些程序，这里包括系统的正常程序，例如输入法，音量调节程序等，当然也包括恶意启动的恶意程序，但现在它们已经全部由记事本打开.

步骤2: 根据记事本窗口的标题找到病毒程序，例如上例中的systemtray.exe程序. 找到此记事本窗口后，单击“文件→另存为”，我们可以在“ C: WindowsSystem32”下看到病毒的特定路径. 现在，关闭记事本窗口，并根据提示输入系统目录以删除病毒.

步骤3: 删除病毒后，可以删除病毒启动密钥，然后重新启动计算机，按住F8键，然后在安全模式菜单中选择“带命令提示符的安全模式”，命令提示符将输入系统符号后自动打开. 输入“ ftype exefile =“％1”％*“以恢复exe文件的打开方法.

当我们受到病毒和木马的折磨时，如果防病毒软件无能为力或感到“用大锤杀死小鸡”，我们不妨使用系统工具来检查并杀死病毒和木马. 效果.

四: 重新安装系统，使病毒无处可藏！

①首先，我们首先打开System Home的一键重新安装系统官方网站，并在进入官方网站后单击“立即下载”按钮进入下载界面.

②下载Systemhome的一键重新安装工具后，运行软件，然后选择系统. Systemhome的一键式重新安装工具具有云匹配系统，并将为您推荐最合适的系统. 当然，您也可以选择所需的系统.

④接下来，System Home的一键式重新安装工具将开始下载win7系统. 下载时间根据您的互联网速度确定下载速度. 稍等片刻.

⑤最后，下载系统后，将提示是否立即重新启动. 如果要等待并重新启动，请单击“稍后”.

杀死木马很简单，它还可以改善系统操作，计算机死机，为什么不这样做呢？更频繁地更改密码，设置更复杂的密码，以使黑客无处可寻.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-308919-1.html