清除病毒down1.exe down2.exe

Question

瑞星升级到最新，每次开机连接网络后就会报告发现病毒Trojan.PSW.Lineage.msb，位于C：\WINDOWS\Debug\UserMode\0DE49.dll
然后可以删除，但下次开机启动后还是出现。
同样在C:\Documents and Settings\Administrator\Local Settings\Temp下有down1.exe down2.exe两个文件，也可以删除，但再次开机删除完那个病毒后还是有。

补充一点，如果是手动扫描杀毒的话，其查杀结果是Trojan.PSW.Lineage.mug，当然还是
C：\WINDOWS\Debug\UserMode\0DE49.dll。

我尝试着把注册表中Debug\UserMode那项值删掉，还是无济于事。请高手说一下清除方法。谢谢。

Answer 1

在Systen.ini标签内你可以看到第一行的内容:
shell=explorer.exe c:\windows\system\whboy.exe

病毒会生成以下文件：

在%windir%目录下生成
bak.exe文件大小：75KB(75,994字节)
在%windir%system目录下生成down3.exe文件大小：1,287KB(1,317,888字节)该文件为一个RAR自解压包，其中有一段脚本代码用于自动执行压缩包中的程序。此自解压包内的文件为破解还原精灵的文件

down2.exe文件大小：10KB(9,840字节)

down1.exe文件大小：75KB(76,004字节)
whboy.exe文件大小：75KB(76,004字节)
msapi.exe文件大小：75KB(76,004字节)
whboy.dll文件大小：121KB (123,904字节)

清除： windows9x用户请先下载Process Explorer 下载地址：

http://www.sysinternals.com/ntw2k/freeware/procexp.shtml

使用该程序中止explorer进程，然后从file菜单中选择run，键入explorer回车重新加载explorer，然后删除windows目录下的bak.exe，%windir%system目录下的

down1.exe,down2.exe,down3.exe,whboy.exe,msapi.exe以及whboy.dll

最后打开windows目录下的system.ini文件，删除shell=Explorer.exe后的C:windowssystemwhboy.exe保存后退出。

windows 2000/xp用户使用系统的进程管理器中止explorer进程，然后从文件菜单中选择新建任务，键入explorer确定。然后删除%windir%目录下的sent.exe、 bak.exe，%windir%system32目录下的down1.exe,down2.exe,down3.exe,whboy.exe,msapi.exe以及whboy.dll

重启机器，再检查一下以上文件还有没有，如果没有那祝贺你，清除成功了

参考资料：http://it.7728.cn/Html/fault/12043168.html

Answer 2

在安全模式下删除：
%System%\down1.exe
%System%\down2.exe
%System%\huangjiaju.exe（0字节）
%System%\migpwda.exe
%System%\migpwdb.exe
%System%\migpwdc.exe（关联TXT）

删除病毒的启动项：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce
windows update = %System%\migpwda.exe

病毒把TXT文件关联修改为“ %System%\migpwdc.exe %1”，你可以从注册表中修改或者使用工具（如REGFIX）进行修复。

编辑SYSTEM.INI文件中Shell = Explorer.exe %System%\migpwdb.exe为Shell = Explorer.exe（Windows 9x）；

在注册表编辑器中定位到“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”，编辑右边“Shell”的内容，将“Explorer.exe %System%\migpwdb.exe”修改为“Explorer.exe”（Windows NT/2000/XP/2003）。

Answer 3

呵呵 想办法在临时文件夹里面建立一个跟病毒一样的文件 修改成只读模式
这样开机的时候 几个文件就不会出现了
嘎嘎 这只是菜鸟的用法 不一定有效果 哈哈
你可以采用高手的方法~~~~本回答被提问者采纳

Answer 4

建议你打开Windows 安全组策略
再好好用杀毒软件检查检查，并及时更新病毒库！
实在不用最好重装一次系统，在重装系统前记住备份重要文件就可以了！这样一来干净又利落，无后患之忧！

Answer 5

:\Documents and Settings\Administrator\Local Settings\Temp

TEMP就是临时文件夹，放的是垃圾文件

进安全模式手动删除即可