今天给各位分享落雪木马专杀工具的知识，其中也会对落雪木马专杀工具进行解释，如果能碰巧解决你现在面临的问题，别忘了关注本站，现在开始吧！
落雪木马专杀工具的介绍就聊到这里吧，感谢你花时间阅读本站内容，更多关于落雪木马专杀工具、落雪木马专杀工具的信息别忘了在本站进行查找喔。
本文导读目录：
2、木马查杀软件排行
3、19.exe,pagefile.pif专杀 pagefile.pif病毒 auto.inf
4、TrojanKiller.exe（落雪木马专杀） 官方版
6、落雪木马专杀工具
WINLOGON.EXE病毒，j近来在网络很流行，许多朋友都中了，许多杀毒软件能查到，但是无论如何都无法清除。 不知道什么原因，这个病毒的中文译名叫做“落雪”，又叫“飘雪”，很美吧？ 我检查了一下，发现进程里多出一个大写的WINLOGON，是在winnt或windows目录下的，而正常情况下，这个进程应该是在winnt或windows/system32目录下的，此进程不言而知。注册表下的启动项，里面有个Torjan pragramme的启动项目，不能彻底删除。 以下是删除的方法 这个进程WINLOGON.EXE的用户名是用户自己，因此不可能是正常的系统进程，正常的winlogon系统进程，其用户名为“SYSTEM” 程序名为小写winlogon.exe。而伪装成该进程的木马程序其用户名为当前系统用户名，且程序名为大写的WINLOGON.exe。进程查看方式 ctrl+alt+del 然后选择进程。正常情况下有且只有一个winlogon.exe进程，其用户名为“SYSTEM”。如果出现了两个winlogon.exe，且其中一个为大写，用户名为当前系统用户的话，表明可能存在木马。 这个木马非常厉害，能破坏掉木马克星等许多著名的杀毒软件，使其不能正常运行，就算能正常运行，也会错误杀毒或查毒。目前使用其他杀毒软件未能杀死。但是很明显，人工也可以看出，那个WINDOWS下的WINLOGON.EXE确实是病毒，但是，她不过是这个病毒中的小角色而已，大家用鼠标右键【打开】，打开D盘看看是否有一个pagefile的DOS指向文件和一个autorun.inf文件了，这些当然都是隐藏的，删这几个没用的，因为她关联了很多东西，甚至在安全模式都不能删死，只要运行任何程序，或者双击打开D盘，她就会重新被安装了。而且这段时间很多人的帐号被盗就是因为这个破解的传家宝了。 我分析了一下这个木马的资料，连接是通向河南和天津的某一地区，看来是国内的。而且她很有趣，如果你机子上有传奇等游戏，必然惹来她的亲吻，那么说QQ之类的帐号密码会不会被泄漏，这个不清楚，但起码我有些朋友已经被盗了。 解决“落雪”病毒的方法 症状：D盘双击打不开，而且里面有autorun.inf和pagefile.com文件 此病毒的制作者很了解系统的运作，因此此两个文件难以删除，在安全模式用Administrator一样解决不了！经过一个下午的奋战才算勉强解决。 我没用什么查杀木马的软件，全是手动一个一个把它揪出来把他删掉的。它所关联的文件如下，绝大多数文件都是显示为系统文件和隐藏的。 所以要在文件夹选项里打开显示隐藏文件。 D盘里就两个，搞得你无法双击打开D盘。C盘很多相关文件程序 D:autorun.inf D:pagefile.com C:Program FilesInternet Exploreriexplore.com C:Program FilesCommon Filesiexplore.com C:WINDOWS1.com C:WINDOWSiexplore.com C:WINDOWSfinder.com C:WINDOWSExeroud.exe（传奇的图标，很漂亮） C:WINDOWSDebug*** Programme.exe（也是上面那个图标，名字每台机子都不同，但是明显是非隐藏的） C:Windowssystem32command.com 这个不要轻易删，看看是不是和下面几个日期不一样而和其他文件日期一样，如果和其他文件大部分系统文件日期一样就不能删，当然系统文件肯定不是这段时间的。 C:Windowssystem32msconfig.com C:Windowssystem32 egedit.com C:Windowssystem32dxdiag.com C:Windowssystem32 undll32.com C:Windowssystem32finder.com C:Windowssystem32a.exe 值得注意的是：看看这些文件的日期，看看其他地方还有没有相同时间的文件还是.COM结尾的可疑文件，小心不要运行任何程序，要不就又启动了，包括双击磁盘，还有一个头号文件！WINLOGON.EXE！做了这么多工作目的就是要离开她的亲吻！ C:WindowsWINLOGON.EXE 这个在进程里明显可以看得到，有两个，一个是真的，一个是假的。 真的是小写winlogon.exe，（不知你们的是不是），用户名是SYSTEM， 而假的是大写的WINLOGON.EXE，用户名是你自己的用户名。 这个文件在进程里是中止不了的，说是关键进程无法中止，搞得跟真的一样！就连在安全模式下它都会 呆在你的进程里！ 我现在所知道的就这些，要是不放心，就最好看一下其中一个文件的修改日期，然后用“搜索”搜这天修改过的文件，相同时间的肯定会出来一大堆的， 连系统还原夹里都有！！ 这些文件会自己关联的，要是你删了一部分，不小心运行了一个，或在开始－运行里运行msocnfig，command，regedit这些命令，所有的这些文件全会自己补充回来！ 知道了这些文件，首先关闭可以关闭的所有程序，打开程序附件里头的WINDOWS资源管理器，并在上面的工具里头的文件夹选项里头的查看里设置显示所有文件和文件假，取消隐藏受保护操作系统文件，然后打开开始菜单的运行，输入命令 regedit，进注册表，到 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun 里面，有一个Torjan pragramme，这个明摆着“我是木马”，删！！ 然后注销！ 重新进入系统后，打开“任务管理器”，看看有没rundll32，有的话先中止了，不知这个是真还是假，小心为好。 到D盘（注意不要双击进入！否则又会激活这个病毒）右键，选【打开】，把autorun.inf和pagefile.com删掉， 然后再到C盘把上面所列出来的文件都删掉！中途注意不要双击到其中一个文件，否则所有步骤都要重新来过！ 然后再注销。 我在奋战过程中，把那些文件删掉后，所有的exe文件全都打不开了，运行cmd也不行。 打开我的电脑点工具==>文件夹选项==>文件类型==>新建exe扩展名，点高级选应用程序。 即可运行 但我在弄完这些之后，在开机的进入用户时会有些慢，并会跳出一个警告框，说文件"1"找不到。（应该是Windows下的1.com文件。）,最后用System Repair Engineer看情况修理一下系统的启动项、系统关联等。 最后说一下怎么解决开机提示找不到文件“1.com”的方法： 在运行程序中运行“regedit”，打开注册表，在[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon]中 把"Shell"="Explorer.exe 1"恢复为"Shell"="Explorer.exe" 当然这也是启动项罢了。 多特手游网【木马查杀软件排行】榜单为玩家们带来好玩的 木马查杀软件排行游戏 ，里面有木马杀客、木马群病毒专杀和修复工具、可牛杀毒顽固木马专杀工具、QQ木马病毒专杀大师、等木马查杀软件排行 游戏，喜欢的玩家赶紧来看看多特手游网小编带来的2021超好玩的 木马查杀软件排行 游戏推荐大全吧！总有一款适合你。 File: 19.exe Size: 33495 bytes File Version: 0.00.0204 Modified: 2007年12月29日, 21:23:18 MD5: 4B2BE9775B6CA847FB2547DD75025625 SHA1: 2660F88591AD4DA8849A3A56F357E7DFB9694D45 CRC32: 2A485241 编写语言：VB 1.病毒运行后，衍生如下副本及文件： Quote: %systemroot%DebugDebugProgram.exe %systemroot%system32command.pif %systemroot%system32dxdiag.com %systemroot%system32finder.com %systemroot%system32MSCONFIG.COM %systemroot%system32 egedit.com %systemroot%system32 undll32.com %systemroot%1.com %systemroot%ExERoute.exe %systemroot%explorer.com %systemroot%finder.com %systemroot%SERVICES.EXE D:autorun.inf D:pagefile.pif 2.提升自身权限，试图结束带有如下关键字的进程 Quote: 360tray* ravmon* ccenter* trojdie* kpop* ssistse* agentsvr* kv* kreg* iefind* iparmor* uphc* rulewize* fygt* rfwsrv* rfwma* trojan* svi.exe 3.篡改很多文件关联方式 使得打开这些文件后会启动病毒 Quote: HKLMSOFTWAREClasses.bfcShellNewCommand: "%SystemRoot%system32 undll32.com %SystemRoot%system32syncui.dll,Briefcase_Create %2!d! %1" HKLMSOFTWAREClassesCLSID{871C5380-42A0-1069-A2EA-08002B30309D}shellOpenHomePageCommand: ""C:Program FilesInternet Exploreriexplore.com"" HKLMSOFTWAREClassesDriveshellfindcommand: "%SystemRoot%explorer.com" HKLMSOFTWAREClassesdunfileshellopencommand: "%SystemRoot%system32 undll32.com NETSHELL.DLL,InvokeDunFile %1" HKLMSOFTWAREClasseshtmlfileshellprintcommand: "rundll32.com %SystemRoot%system32mshtml.dll,PrintHTML "%1"" HKLMSOFTWAREClassesinffileshellInstallcommand: "%SystemRoot%System32 undll32.com setupapi,InstallHinfSection DefaultInstall 132 %1" HKLMSOFTWAREClassesUnknownshellopenascommand: "%SystemRoot%system32finder.com %SystemRoot%system32shell32.dll,OpenAs_RunDLL %1"（打开未知程序都能启动病毒，汗...） HKLMSOFTWAREClientsStartMenuInternetiexplore.pifshellopencommand: ""C:Program Filescommon~1iexplore.pif"" （修改开始程序上的IE的指向文件） HKLMSOFTWAREClasses.lnkShellNewCommand: "rundll32.com appwiz.cpl,NewLinkHere %1" HKLMSOFTWAREClassesApplicationsiexplore.exeshellopencommand: ""C:Program FilesInternet Exploreriexplore.com" %1" HKLMSOFTWAREClassescplfileshellcplopencommand: "rundll32.com shell32.dll,Control_RunDLL "%1",%*" HKLMSOFTWAREClassesftpshellopencommand: ""C:Program FilesInternet Exploreriexplore.com" %1" HKLMSOFTWAREClasseshtmlfileshellopencommand: ""C:Program FilesInternet Exploreriexplore.com" -nohome" HKLMSOFTWAREClasseshtmlfileshellopennewcommand: ""C:Program Filescommon~1iexplore.pif" %1" HKLMSOFTWAREClassesHTTPshellopencommand: ""C:Program Filescommon~1iexplore.pif" -nohome" HKLMSOFTWAREClassesInternetShortcutshellopencommand: "finder.com shdocvw.dll,OpenURL %l" HKLMSOFTWAREClassesscrfileshellinstallcommand: "finder.com desk.cpl,InstallScreenSaver %l" HKLMSOFTWAREClassesscriptletfileShellGenerate Typelibcommand: ""C:WINDOWSsystem32finder.com" C:WINDOWSsystem32scrobj.dll,GenerateTypeLib "%1"" HKLMSOFTWAREClasses elnetshellopencommand: "finder.com url.dll,TelnetProtocolHandler %l" HKLMSOFTWAREClientsStartMenuInternet: "iexplore.pif" ... 增加winfiles的新的文件关联指向C:WINDOWSExERoute.exe 并篡改exe文件关联HKLMSOFTWAREClasses.exe: "winfiles" 4.修改 Quote: HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionWinlogon 的{shell}值为Explorer.exe 1 5.连接网络盗取传奇世界等游戏的帐号密码 清除方法： 1.解压缩Icesword 把Icesword.exe改名为Icesword.com运行 进程一栏 结束%systemroot%SERVICES.EXE 点击左下角的文件按钮删除如下文件 %systemroot%DebugDebugProgram.exe %systemroot%system32command.pif %systemroot%system32dxdiag.com %systemroot%system32finder.com %systemroot%system32MSCONFIG.COM %systemroot%system32 egedit.com %systemroot%system32 undll32.com %systemroot%1.com %systemroot%ExERoute.exe %systemroot%explorer.com %systemroot%finder.com %systemroot%SERVICES.EXE D:autorun.inf D:pagefile.pif 2.把sreng扩展名改为bat，运行 系统修复－文件关联 修复 3.修复系统 打开系统盘 直接运行%systemroot%system32 egedit.exe 把被病毒修改的注册表恢复回来 Quote: HKLMSOFTWAREClasses.lnkShellNewCommand: "rundll32.exe appwiz.cpl,NewLinkHere %1" HKLMSOFTWAREClassesApplicationsiexplore.exeshellopencommand: ""C:Program FilesInternet Exploreriexplore.exe" %1" HKLMSOFTWAREClassescplfileshellcplopencommand: "rundll32.exe shell32.dll,Control_RunDLL "%1",%*" HKLMSOFTWAREClassescplfileshellcplopencommand: "rundll32.exe shell32.dll,Control_RunDLL "%1",%*" HKLMSOFTWAREClasseshtmlfileshellopencommand: ""C:Program FilesInternet Exploreriexplore.exe" -nohome" HKLMSOFTWAREClasseshtmlfileshellopennewcommand: ""C:Program FilesInternet Exploreriexplore.exe" %1" HKLMSOFTWAREClassesHTTPshellopencommand: ""C:Program FilesInternet Exploreriexplore.exe" -nohome" HKLMSOFTWAREClassesInternetShortcutshellopencommand: "rundll32.exe shdocvw.dll,OpenURL %l" HKLMSOFTWAREClassesscrfileshellinstallcommand: "rundll32.exe desk.cpl,InstallScreenSaver %l" HKLMSOFTWAREClassesscrfileshellinstallcommand: "rundll32.exe desk.cpl,InstallScreenSaver %l" HKLMSOFTWAREClasses elnetshellopencommand: "rundll32.exe url.dll,TelnetProtocolHandler %l" HKLMSOFTWAREClasses elnetshellopencommand: "rundll32.exe url.dll,TelnetProtocolHandler %l" HKLMSOFTWAREClassesDriveshellfindcommand: "%SystemRoot%Explorer.exe" HKLMSOFTWAREClassesCLSID{871C5380-42A0-1069-A2EA-08002B30309D}shellOpenHomePageCommand: ""C:Program FilesInternet Exploreriexplore.exe"" HKLMSOFTWAREClassesDriveshellfindcommand: "%SystemRoot%Explorer.exe" HKLMSOFTWAREClassesdunfileshellopencommand: "%SystemRoot%system32RUNDLL32.EXE NETSHELL.DLL,InvokeDunFile %1" HKLMSOFTWAREClasseshtmlfileshellprintcommand: "rundll32.exe %SystemRoot%system32mshtml.dll,PrintHTML "%1"" HKLMSOFTWAREClassesinffileshellInstallcommand: "%SystemRoot%System32 undll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1" HKLMSOFTWAREClassesUnknownshellopenascommand: "%SystemRoot%system32 undll32.exe %SystemRoot%system32shell32.dll,OpenAs_RunDLL %1" 删除HKLMSOFTWAREClasseswinfiles整个子键 修改HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionWinlogon 的{shell}值为Explorer.exe “落雪”木马也叫“游戏大盗”（ Trojan/PSW.GamePass），由VB 程序语言编写，通过 nSPack 3.1 加壳处理（即通常所说的“北斗壳”North Star），该木马文件图标一般是红色的图案，伪装成网络游戏的登陆器。“落雪”木马可以盗取包括魔兽世界、传奇世界、征途、梦幻西游、边锋游戏在内的多款网络游戏的帐号和密码，对网络游戏玩家的游戏装备构成了极大的威胁。江民落雪专杀Trojankiller，是江民公司推出的专杀工具，具有很强的查杀木马功能。对于各种顽固木马，都可以轻松的解决，使用起来非常方便。Trojankiller可以查杀包括escro.exe病毒，rose病毒等在内的多种流行木马！ 落雪病毒专杀工具在喜欢玩游戏的用户里面出现的频率较多，改软件就是专门为了落雪木马而打造的快速精准的处理电脑中以及存在或隐性木马病毒，有需要的用户欢迎前来使用，极光下载站提供落雪病毒专杀下载。 GamePass落雪木马专杀工具是一款江民落雪专杀工具。“落雪”木马也叫“游戏大盗”（Trojan/PSW.GamePass），由VB程序语言编写，通过nSPack 3.1加壳处理即通常所说的“北斗壳”NorthStar，这木马文件图标一般是红色的图案，伪装成网络游戏的登陆器。 1.“落雪”木马病毒运行后，在C盘program file以及windows目录下生成winlogon.exe、regedit.com等14个病毒文件，病毒文件之多比较少见 2.事实上这14个不同文件名的病毒文件系同一种文件，“落雪”之名亦可能由此而来。病毒文件名被模拟成正常的系统工具名称，但是文件扩展名变成了.com。江民反病毒工程师分析，这是病毒利用了Windows操作系统执行.com文件的优先级比EXE文件高的特性，这样，当用户调用系统配置文件Msconfig.exe的时候，一般习惯上输入Msconfig，而这是执行的并不是微软的Msconfig.exe程序，而是病毒文件Msconfig.com，病毒作者的“良苦用心”由此可见 3.病毒另一狡诈之处还有，病毒还创建一名为winlogon.exe的进程，并把winlogon.exe的路径指向c:windowswinlogon.exe，而正常的系统进程路径是C:WINDOWSsystem32winlogon.exe，以此达到迷惑用户的目的。 针对“落雪”病毒，江民杀毒软件KV系列产品已及时升级，用户只需升级病毒库到最新状态、开启病毒实时监控即可有效防杀该病毒，亦可使用江民未知病毒检测功能处理该病毒。没有安装杀毒软件的用户，也可以下载使用江民“落雪”木马专杀工具进行杀毒，以免遭“落雪”病毒侵害。 1.有些网络游戏帐号莫名被盗，电脑中正在使用的杀毒软件也突然异常终止工作 2.据游戏玩家反映，多款品牌的杀毒软件都存在被异常终止的现象，而重新启动杀毒软件杀毒后，病毒仍然会出现，屡杀不绝 3.接到用户举报后，江民反病毒中心立即对用户上报的可疑文件样本进行分析，经分析，导致网络游戏玩家帐号被盗的原因是电脑感染了一名为“落雪”的木马病毒 4.“落雪”木马可以盗取包括魔兽世界、传奇世界、征途、梦幻西游、边锋游戏在内的多款网络游戏的帐号和密码，对网络游戏玩家的游戏装备构成了极大的威胁 前期准备：在极光下载站下载落雪专杀软件，并全部解压缩到桌面。把落雪专杀程序改名为“落雪专杀.COM” 并打开“我的电脑”点“工具”“文件夹选项”“查看”把“不显示系统文件和隐藏的”和&隐藏以知文件的扩展名&,把前面的对勾去掉，并把&隐藏受保护的系统文件前的勾取消&。请务必先操作这些步骤 我先重新启动机器，按F8到安全模式下，之后登陆Administrator，然后打开开始菜单的运行，输入命令regedit，进注册表，到HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun 里面，有一个Torjanpragramme，右击删除，之后再按WIN+E健打开文件夹管理器，在c:/windows/下有WINLOGON.exe文件，删除即可（我其实不能删除这个，显示磁盘保护，别急，我是用冰刃结束进程WINLOGON。EXE的，记住，在打开冰刃之前，全部用右击打开你要打开的文件夹。） 删除了WINLOGON。EXE后开始删除带病毒的文件。 有哪些呢：D:autorun.inf D:pagefile.com C:ProgramFilesInternetExploreriexplore.com C:ProgramFilesCommonFilesiexplore.com C:WINDOWS1.com C:WINDOWSiexplore.com C:WINDOWSfinder.com C:WINDOWSExerote.exe C:WINDOWSDebugDEProgramme.exe这个是红色的那个很大图标。 C:Windowssystem32msconfig.com C:Windowssystem32regedit.com C:Windowssystem32dxdiag.com C:Windowssystem32rundll32.com C:Windowssystem32finder.com 建议不要查找，直接到目录下删除。记住打开文件夹用右击打开，不要双击任何东西，特别是程序。 还要删除C:Windowssystem32command.PIF，也是隐藏文件，很明显的一个。 这些文件肯定有，一定要全部删除。建议用SHIFT+DELETE完全删除，不会留在垃圾箱里。 大功基本完成了。 全部删除后注销。 这时你进入自己用户名的，会出现：说文件&1&找不到。什么的，不要急。 还是右击我的电脑，到C:Windowssystem32里，把cmd.exe文件复制出来，比如到桌面，改名成cmd.com 右击打开，输入：assoc.exe=exefile回车 再输入：ftypeexefile=&%1&%*回车，请先记下这2个命令在纸上吧 这个是为了能打开程序，你之后“开始”“运行”REGEDIT“回车，如果显示不能打开的话，用事先在桌面上准备的”落雪专杀。COM“来吧 右击打开，点”修复“，唯一能打开的就是这个点，之后点“完全自动修复”这样就OK了。 解决”开机跳出找不到文件“1.com”的方法：在运行程序中运行“regedit”，打开注册表，在[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNTCurrentVersionWinlogon]中 把&Shell&=&Explorer.exe1&恢复为&Shell&=&Explorer.exe& 补充，可能你会不能打开IE，没关系，我把原有的IE图表删除，点”开始“在开始菜单里有IE图释，右击，发送到桌面快捷方式，就OK了。 OK，重新启动吧，病毒应该完全没有了。 把江民“落雪”病毒专杀下载下来后，立即运行了一下，果然问题解决了，确实很不错，如果哪位朋友双击本地磁盘打不开，可以试试这个方法。 本文标题：落雪病毒专杀官方版下载-落雪病毒专杀工具绿色版 - 国内 本文地址：www.0351net.com/news/guonei/227196.html 落雪专杀是一款专杀落雪木马的杀毒软件，相信玩过魔兽世界、梦幻西游等游戏的玩家都知道落雪木马，盗号防不胜防，有了落雪专杀，再也不怕落雪木马。欢迎来IT猫扑网下载 落雪木马可以盗取包括魔兽世界、传奇世界、征途、梦幻西游、边锋游戏在内的多款网络游戏的帐号和密码，对网络游戏玩家的游戏装备构成了极大的威胁。 “落雪”木马也叫“游戏大盗”（ Trojan/PSW.GamePass），由vb 程序语言编写，通过 nSPack 3.1 加壳处理（即通常所说的“北斗壳”North Star），该木马文件图标一般是红色的图案，伪装成网络游戏的登陆器。 首先下载上面链接中的专杀工具，文件名为TrojanKiller.exe。尝试运行，如果提示错误信息则很可能是由于防病毒软件杀了部分病毒但没有修复系统的缘故。如果不能运行专杀工具，则先将C:WindowsSystem32cmd.exe文件拷贝到桌面，并将其改名为cmd.com。点击运行cmd.com，在DOS命令提示符窗口中执行下面两行命令： assoc .exe=exefile ftype exefile="%1"%* 注意assoc和.exe之间有个空格。这样就应该可以运行TrojanKiller.exe专杀工具了。但运行完之后建议先不要重启，运行杀毒软件，更新病毒库。然后整个电脑杀一次毒（我用卡巴斯基还会查出十几个病毒，都是和“落雪”病毒有关），再重启就应该正常了。防病毒软件也可以在系统启动时启动，IE也可以正常启动了。落雪木马专杀工具的介绍就聊到这里吧，感谢你花时间阅读本站内容，更多关于落雪木马专杀工具、落雪木马专杀工具的信息别忘了在本站进行查找喔。
未经允许不得转载！ 作者:谁是谁的谁，转载或复制请以超链接形式并注明出处。
原文地址：http://www.baolinlight.com/post/24145.html发布于：2026-04-24
