冰河木马下载？木马病毒下载安装2.0

大家好，今天来为大家分享冰河木马下载的一些知识点，和木马病毒下载安装2.0的问题解析，大家要是都明白，那么可以忽略，如果不太清楚的话可以看看本篇文章，相信很大概率可以解决您的问题，接下来我们就一起来看看吧！

冰河木马最新版哪里下载

若打开是一个网页或者下载软件，很可能是病毒链接，若怀疑某款软件存在病毒，请到手机管家官网的在线安全检查功能进行检测即可，下载手机软件请到软件官网或者各大应用商店下载，若怀疑手机中存在木马或者病毒，请尝试按照以下步骤进行清除：

请尝试安装一款安全软件（例如：手机管家等）。以手机管家为例，打开手机管家，点击主界面上的一键体检即可自动检测手机中存在的问题，并且给出处理建议，点击一键清除即可删除病毒程序。

都无法进行解决请尝试到手机品牌官网下载刷机包和工具对手机进行完整恢复，若无法自行处理请送到手机品牌官方售后进行维修。

怎样清除冰河木马!!

木马病毒专杀工具,有中招的请下载

各种木马专杀点击浏览该文件

QQ尾巴病毒专杀点击浏览该文件

专业木马专杀软件绿色版点击浏览该文件

木马杀客最新版绿色点击浏览该文件

1.冰河v1.1 v2.2

这是国产最好的木马

清除木马v1.1

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

查找以下的两个路径，并删除

" C:\windows\system\ kernel32.exe"

" C:\windows\system\ sysexplr.exe"

关闭Regedit

重新启动到MSDOS方式

删除C:\windows\system\ kernel32.exe和C:\windows\system\ sysexplr.exe木马程序

重新启动。OK

清除木马v2.2

服务器程序、路径用户是可以随意定义，写入注册表的键名也可以自己定义。

因此，不能明确说明。

你可以察看注册表，把可疑的文件路径删除。

重新启动到MSDOS方式

删除于注册表相对应的木马程序

重新启动Windows。OK

2. Acid Battery v1.0

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的Explorer="C:\WINDOWS\expiorer.exe"

关闭Regedit

重新启动到MSDOS方式

删除c:\windows\expiorer.exe木马程序

注意：不要删除正确的ExpLorer.exe程序，它们之间只有i与L的差别。

重新启动。OK

3. Acid Shiver v1.0+ 1.0Mod+ lmacid

清除木马的步骤：

重新启动到MSDOS方式

删除C:\windows\MSGSVR16.EXE

然后回到Windows系统

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的Explorer="C:\WINDOWS\MSGSVR16.EXE"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

删除右边的Explorer="C:\WINDOWS\MSGSVR16.EXE"

关闭Regedit

重新启动。OK

重新启动到MSDOS方式

删除C:\windows\wintour.exe然后回到Windows系统

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的Wintour="C:\WINDOWS\WINTOUR.EXE"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

删除右边的Wintour="C:\WINDOWS\WINTOUR.EXE"

关闭Regedit

重新启动。OK

4. Ambush

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的zka

="zcn32.exe"

关闭Regedit

重新启动到MSDOS方式

删除C:\Windows\ zcn32.exe

重新启动。OK

5. AOL Trojan

清除木马的步骤：

启动到MSDOS方式

删除C:\ command.exe（删除前取消文件的隐含属性）

注意：不要删除真的command.com文件。

删除C:\ americ~1.0\buddyl~1.exe（删除前取消文件的隐含属性）

删除C:\ windows\system\norton~1\regist~1.exe（删除前取消文件的隐含属性）

打开WIN.INI文件

在[WINDOWS]下面“run=”和“load=”都加载者特洛伊木马程序的路径，必须清除它们

：

run=

load=

保存WIN.INI

还要改正注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的WinProfile= c:\command.exe

关闭Regedit，重新启动Windows。OK

6. Asylum v0.1, 0.1.1, 0.1.2, 0.1.3+ Mini 1.0, 1.1

清除木马的步骤：

注意：木马程序默认文件名是wincmp32.exe，然而程序可以随意改变文件名。

我们可以根据木马修改的system.ini和win.ini两个文件来清除木马。

打开system.ini文件

在[BOOT]下面有个”shell=文件名”。正确的文件名是explorer.exe

如果不是”explorer.exe”，那么那个文件就是木马程序，把它查找出来，删除。

保存退出system.ini

打开win.ini文件

在[WINDOWS]下面有个run=

如果你看到=后面有路径文件名，必须把它删除。

正确的应该是run=后面什么也没有。

=后面的路径文件名就是木马，把它查找出来，删除。

保存退出win.ini。

OK

7. AttackFTP

清除木马的步骤：

打开win.ini文件

在[WINDOWS]下面有load=wscan.exe

删除wscan.exe，正确是load=

保存退出win.ini。

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的Reminder="wscan.exe/s"

关闭Regedit，重新启动到MSDOS系统中

删除C:\windows\system\ wscan.exe

OK

8. Back Construction 1.0- 2.5

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的"C:\WINDOWS\Cmctl32.exe"

关闭Regedit，重新启动到MSDOS系统中

删除C:\WINDOWS\Cmctl32.exe

OK

9. BackDoor v2.00- v2.03

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的c:\windows\notpa.exe/o=yes

关闭Regedit，重新启动到MSDOS系统中

删除c:\windows\notpa.exe

注意：不要删除真正的notepad.exe笔记本程序

OK

10. BF Evolution v5.3.12

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的(Default)=""

关闭Regedit，再次重新启动计算机。

将C:\windows\system\.exe（空格exe文件）

11. BioNet v0.84- 0.92+ 2.21

0.8X版本是运行在Win95/98

0.9X以上版本有运行在Win95/98和WinNT上两个软件

客户－服务器协议是一样的，因而NT客户能黑95/98被感染的机器，和Win95/98客户能黑

NT被感染的系统完全一样。

清除木马的步骤：

首先准备一张98的启动盘，用它启动后，进入c:\windows目录下，用attrib

libupd~1.exe-h

命令让木马程序可见，然后删除它。

抽出软盘后重新启动，进入98下，在注册表里找到：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run的子键WinLibU

pdate="c:\windows\libupdate.exe-hide"

将此子键删除。

12. Bla v1.0- 5.03

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的Systemdoor="C:\WINDOWS\System\mprdll.exe"

关闭Regedit，重新启动计算机。

查找到C:\WINDOWS\System\mprdll.exe和

C:\WINDOWS\system\rundll.exe

注意：不要删除C:\WINDOWS\RUNDLL.EXE正确文件。

并删除两个文件。

OK

13. BladeRunner

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

可以找到System-Tray="c:\something\something.exe"

右边的路径可能是任何东西，这时你不需要删除它，因为木马会立即自动加上，你需要

的是记下木马的名字与目录，然后退回到MS-DOS下，找到此木马文件并删除掉。

重新启动计算机，然后重复第一步，在注册表中找到木马文件并删除此键。

14. Bobo v1.0- 2.0

清除木马v1.0

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

删除右边的DirrectLibrarySupport="C:\WINDOWS\SYSTEM\Dllclient.exe"

关闭Regedit，重新启动计算机。

DEL C:\Windows\System\Dllclient.exe

OK

清除木马v2.0

打开注册表Regedit

点击目录至：

HKEY_USER/.Default/Software/Mirabilis/ICQ/Agent/Apps/ICQ Accel/

ICQ Accel是一个“假象“的主键，选中ICQ Accel主键并把它删除。

重新启动计算机。OK

15. BrainSpy vBeta

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

右边有???="C:\WINDOWS\system\BRAINSPY.exe"

???标签选是随意改变的。

关闭Regedit，重新启动计算机

查找删除C:\WINDOWS\system\BRAINSPY.exe

OK

16. Cain and Abel v1.50- 1.51

这是一个口令木马

进入MS-DOS方式

查找到C:\windows\msabel32.exe

并删除它。OK

17. Canasson

清除木马的步骤：

打开WIN.INI文件

查找c:\msie5.exe，删除全部主键

保存win.ini

重新启动计算机

删除c:\msie5.exe木马文件

OK

18. Chupachbra

清除木马的步骤：

打开WIN.INI文件

[Windows]的下面有两个行

run=winprot.exe

load=winprot.exe

删除winprot.exe

run=

load=

保存Win.ini，再打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run

删除右边的System Protect= winprot.exe

重新启动Windows

查找到C:\windows\system\ winprot.exe，并删除。

OK

19. Coma v1.09

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run

删除右边的RunTime= C:\windows\msgsrv36.exe

重新启动Windows

查找到C:\windows\ msgsrv36.exe，并删除。

OK

20. Control

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run

删除右边的Load MSchv Drv= C:\windows\system\MSchv.exe

保存Regedit，重新启动Windows

查找到C:\windows\system\MSchv.exe，并删除。

21. Dark Shadow

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\RunServices

删除右边的winfunctions="winfunctions.exe"

保存Regedit，重新启动Windows

查找到C:\windows\system\ winfunctions.exe，并删除。

OK

22. DeepThroat v1.0- 3.1+ Mod(Foreplay)

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run

版本1.0

删除右边的项目System32=c:\windows\system32.exe

版本2.0-3.1

删除右边的项目SystemTray= Systray.exe

保存Regedit，重新启动Windows

版本1.0删除c:\windows\system32.exe

版本2.0-3.1

删除c:\windows\system\systray.exe

OK

23. Delta Source v0.5- 0.7

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run

删除右边的项目：DS admin tool= C:\TEMPSERVER.exe

保存Regedit，重新启动Windows

查找到C:\TEMPSERVER.exe，并删除它。

OK

24. Der Spaeher v3

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run

删除右边的项目：explore="c:\windows\system\dkbdll.exe"

保存Regedit，重新启动Windows

删除c:\windows\system\dkbdll.exe木马文件。

OK

25. Doly v1.1- v1.7(SE)

清除木马V1.1-V1.5版本：

这几个木马版本的木马程序放在三处，增加二个注册项目，还增加到Win.ini项目。

首先，进入MS-DOS方式，删除三个木马程序，但V1.35版本多一个木马文件mdm.exe。

把下列各项全部删除：

C:\WINDOWS\SYSTEM\tesk.sys

C:\WINDOWS\Start Menu\Programs\Startup\mstesk.exe

c:\Program Files\MStesk.exe

c:\Program Files\Mdm.exe

重新启动Windows。

接着，打开win.ini文件

找到[WINDOWS]下面load=c:\windows\system\tesk.exe项目，删除路径，改变为load=

保存win.ini文件。

最后，修改注册表Regedit

找到以下两个项目并删除它们

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Ms tesk="C:\Program Files\MStesk.exe"

和

HKEY_USER\.Default\Software\Microsoft\Windows\CurrentVersion\Run

Ms tesk="C:\Program Files\MStesk.exe"

再寻找到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ss

这个组是木马的全部参数选择和设置的服务器，删除这个ss组的全部项目。

关闭保存Regedit。

还有打开C:\AUTOEXEC.BAT文件，删除

@echo off copy c:\sys.lon c:\windows\StartMenu\Startup Itemsdel c:\win.reg

关闭保存autoexec.bat。

OK

清除木马V1.6版本：

该木马运行时，将不能通过98的正常操作关闭，只能RESET键。彻底清除步骤如下：

1．打开控制面板——添加删除程序——删除memory manager 3.0，这就是木马程序，但

是它并不会把木马的EXE文件删除掉。

2．用98或DOS启动盘启动（用RESET键）后，转入C:\，编辑AUTOEXEC。BAT，把如下内容

删除：

@echo off copy c:\sys.lon c:\windows\startm~1\programs\startup\mdm.exe

del c:\win.reg

保存AUTOEXEC。BAT文件并返回DOS后，在C：\根目录下删除木马文件：

del sys.lon

del windows\startm~1\programs\startup\mdm.exe

del progra~1\mdm.exe

3．抽出软盘重新启动，进入98后，把c:\program files\目录下的memory manager目录

删除。

清除木马V1.7版本：

首先，打开C:\AUTOEXEC.BAT文件，删除

@echo off copy c:\sys.lon c:\windows\startm~1\programs\startup\mdm.exe

del c:\win.reg

关闭保存autoexec.bat

然后打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run

找到c:\windows\system\mdm.exe路径并删除这个项目

点击目录至：

HKEY_USER/.Default/Software/Marabilis/ICQ/Agent/Apps/

找到"C:\windows\system\kernal32.exe"路径并删除这个项目

关闭保存Regedit。重新启动Windows。

最后，删除以下木马程序：

c:\sys.lon

c:\iecookie.exe

c:\windows\start menu\programs\startup\mdm.exe

c:\program files\mdm.exe

c:\windows\system\mdm.exe

c:\windows\system\kernal32.exe

注意：kernal32是A

OK

26. Donald Dick v1.52- 1.55

清除木马V1.52-1.53版本：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\system\CurrentControlSet\Services\VxD\VMLDIR删除右边的项目

：StaticVxD="vmldir.vxd"

关闭保存Regedit，重新启动Windows

删除C:\WINDOWS\System\vmldir.vxd

OK

清除木马V1.54-1.55版本：

这两个版本跟上面的版本只是默认文件名不同，其它都一样，

把vmldir.vxd改为intld.vdx即可。

27. Drat v1.0- 3.0b

清除木马的步骤：

打开注册表Regedit

点击目录至：hkey_classes_root\exefile\shell\open\command

找到@=SHELL32\"%1\"%*把它更改为@="%1"%*

关闭保存Regedit，重新启动Windows。

查找c:\windows\下shell32．＊文件，并删除它。

OK

28. Eclipse 2000

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：bybt="c:\windows\system\eclipse2000.exe"

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunServices删除

右边的项目：cksys="c:\windows\system\ could be anything.exe"

关闭保存Regedit，重新启动Windows

查找到eclipse2000.exe木马文件，并删除。

OK

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：Rnaapp="C:\WINDOWS\SYSTEM\rmaapp.exe"

关闭保存Regedit，重新启动Windows

删除C:\WINDOWS\SYSTEM\rmaapp.exe

注意：不要删除Rnaapp.exe

OK

30. Executer v1

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run在右边的项目

查找到"C:\windows\sexec.exe"，并删除。

关闭保存Regedit，重新启动Windows

相应删除木马程序文件。

31. FakeFTP beta

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：Rundll32= rundll3.tww/h

关闭保存Regedit，重新启动Windows

找到C:\windows\文件夹下的三个文件并删除它们

rundll3.bat- 9x.reg- nt.reg

OK

32. Forced Entry

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：MicrosoftRegistration32="C:\somepath\trojanhrs.exe"

关闭保存Regedit，重新启动Windows

由于路径容易改变，只要查找到trojanhrs.exe，并删除它。

33. GateCrasher v1.0- 1.2

清除木马v1.0：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：Explore=c:\windows\explore.exe

关闭保存Regedit，重新启动Windows

然后，删除相应的木马程序。

OK

清除木马v1.1：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：Inet=EXPLORE.EXE

关闭保存Regedit，重新启动Windows

然后，找到相应的木马程序，并删除。

OK

清除木马v1.2：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：Command= c:\windows\system.exe

关闭保存Regedit，重新启动Windows

然后，找到相应的木马程序，并删除。

OK

34. Girlfriend v1.3x(Including Patch 1 and 2)

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：Windll.exe="C:\windows\windll.exe"

Regedit里也保存着服务器的数据

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\General

删除General项目标题

关闭保存Regedit，重新启动Windows

然后，找到相应的木马程序，并删除。

35. Golden Retreiver v1.1b

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：Task Manager="c:\mstask.exe"

关闭保存Regedit，重新启动Windows

然后，找到相应的木马程序，并删除。

OK

36. Hack`a`Tack 1.0– 2000

清除木马v1.0-1.2：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：Explorer32="C:\windows\Expl32.exe"

关闭保存Regedit，重新启动Windows

然后，找到相应的木马程序，并删除。

OK

清除木马v2000：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：Configuration Wizard= c:\windows\cfgwiz32.exe

关闭保存Regedit，重新启动Windows

删除c:\windows\cfgwiz32.exe

OK

37. Hack99 KeyLogger

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：HKeyLog="C:\Windows\System\HKeyLog.exe"

关闭保存Regedit，重新启动Windows

删除C:\Windows\System\HKeyLog.exe

OK

38. HostControl v1.0

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：RegClean="c:\windows\inf\regcle32.exe"

关闭保存Regedit，重新启动Windows

删除c:\windows\inf\regcle32.exe

OK

39. Hvl Rat v5.30

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：Explorer="C:\WINDOWS\system\MSGSVR16.EXE"

关闭保存Regedit，重新启动Windows

删除C:\WINDOWS\system\MSGSVR16.EXE

OK

40. ik97 v1.2

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：ik= c:\progra~1\ik\ik.exe

关闭保存Regedit，重新启动Windows

删除C:\Program Files\ik\ik.exe

41. InCommand v1.0- 1.5

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run找到右边的项

目：AdvancedSettings=*

注意：*表示就是木马的存放路径与文件名，记下后删除此键。

关闭保存Regedit，重新启动Windows

按照刚才记下的木马路径与文件名删除木马程序。

42. IndocTrination v0.1- v0.11

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MA

CHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesHKEY_LOCAL_MACHINE

\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceHKEY_LOCAL_MACHINE\SOFTWARE

\Microsoft\Windows\CurrentVersion\RunServicesOnce每项标题都包括Msgsrv16

="Msgsrv16"项目

删除每个项目

关闭保存Regedit，重新启动Windows

删除C:\windows\system\msgserv16.exe

OK

43. inet v2.0- 2.0n

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：Explorer="C:\WINDOWS\system\inet.exe"

关闭保存Regedit，重新启动Windows

删除"C:\WINDOWS\system\inet.exe"

删除"C:\WINDOWS\system\inet.dll"

OK

44. Infector v1.0- 1.42

清除木马的步骤：

打开system.ini文件

找到shell=explorer.exe c:\path\to\trojan.exe项目

改为：shell=explorer.exe

保存关闭system.ini文件，重新启动Windows

删除c:\path\to\trojan.exe

OK

45. iniKiller v1.2- 3.2 Pro

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：Explore="C:\windows\bad.exe"

关闭保存Regedit，重新启动Windows

删除C:\windows\bad.exe

OK

46. Intruder

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：PPModule1= ppmod1.sys

关闭保存Regedit，重新启动Windows

删除C:\windows\system\ ppmod1.sys

删除C:\windows\system\ ppmod2.sys

OK

47. IRC3

清除木马的步骤：

打开win.ini文件

找到load=closew项目，更改为：load=

保存关闭win.ini，重新启动Windows

查找这两个文件rundlls.exe、closew.bat

并删除它们。

OK

48. Kaos v1.1- 1.3

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：Sys="c:\windows\shell32.exe"

关闭保存Regedit，重新启动Windows

删除c:\windows\shell32.exe

OK

49. Khe Sanh v2.0

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：TBoot0001="c:\windows\system\trjp.exe"

关闭保存Regedit，重新启动Windows

删除c:\windows\system\trjp.exe

OK

50. Kuang logger

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：K2logas.task="C:\WINDOWS\SYSTEM\K2logas.exe"

关闭保存Regedit，重新启动Windows

删除C:\WINDOWS\SYSTEM\K2logas.exe

51. Kuang Original- 0.34

清除木马v Original版本：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：Temp$1.task="c:\windows\system\temp$1.exe"

清除木马v 0.20-0.21版本：

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：K2PS.task="c:\windows\system\k2ps.exe"

清除木马v 0.30-0.34版本：

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删除右边的项

目：K2PS_full.task="c:\windows\system\k2ps_full.exe"

关闭保存Regedit，重新启动Windows

查找相对应的木马程序，并删除。

OK

52. Logger

清除木马的步骤：

打开注册表Regedit

点击目录至：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run删

冰河木马的隐蔽启动

你当然不会指望用户每次启动后点击木马图标来运行服务端，木马要做到的第二重要的事就是如何在每次用户启动时自动装载服务端（第一重要的是如何让对方中木马，嘿嘿，这部分的内容将在后面提到）

Windows支持多种在系统启动时自动加载应用程序的方法(简直就像是为木马特别定做的)启动组、win.ini、system.ini、注册表等等都是木马藏身的好地方。冰河采用了多种方法确保你不能摆脱它。首先,冰河会在注册表的HKEY_LOCAL_MACHINE\Software\ Microsoft\Windows\CurrentVersion\Run和RUNSERVICE键值中加上了\kernl32.exe(是系统目录),其次如果你删除了这个键值,自以为得意地喝著茶的时候,冰河又阴魂不散地出现了...怎么回事?原来冰河的服务端会在c:\windows(这个会随你windows的安装目录变化而变化）下生成一个叫sysexplr.exe文件（太象超级解霸了，好毒呀，冰河！）,这个文件是与文本文件相关联的,只要你打开文本(哪天不打开几次文本?),sysexplr.exe文件就会重新生成krnel32.exe,然后你还是被冰河控制著。（冰河就是这样长期霸占著穷苦劳动人民宝贵的系统资源的，555555）更新、更隐蔽的方法已经出现，那就是-驱动程序及动态链接库技术（冰河3.0会采用这种方法吗?）。

驱动程序及动态链接库技术和一般的木马不同，它基本上摆脱了原有的木马模式-监听端口，而采用替代系统功能的方法（改写驱动程序或动态链接库）。这样做的结果是：系统中没有增加新的文件（所以不能用扫描的方法查杀）、不需要打开新的端口（所以不能用端口监视的方法查杀）、没有新的进程（所以使用进程查看的方法发现不了它，也不能用kill进程的方法终止它的运行）。在正常运行时木马几乎没有任何的症状,而一旦木马的控制端向被控端发出特定的信息后,隐藏的程序就立即开始运作......

事实上，我已经看到过几个这样类型的木马，其中就有通过改写vxd文件建立隐藏共享的木马...(江湖上又将掀起新的波浪)冰河陷阱。

冰河陷阱有两种作用：

1、自动清除所有版本“冰河”

2、伪装成“冰河”被控端对入侵者进行欺骗，并记录入侵者的所有操作端口扫描是检查远程机器有无木马的最好办法,端口扫描的原理非常简单,扫描程序尝试连接某个端口,如果成功,则说明端口开放,如果失败或超过某个特定的时间(超时),则说明端口关闭。（关于端口扫描，Oliver有一篇关于“半连接扫描”的文章，很精彩，那种扫描的原理不太一样，不过不在本文讨论的范围之中）

但是值得说明的是,对于驱动程序/动态链接木马,扫描端口是不起作用的。查找木马特定的文件也是一个常用的方法（这个我知道,冰河的特征文件是G_Server.exe吧?笨蛋!哪会这么简单,冰河是狡猾狡猾的......）冰河的一个特征文件是kernl32.exe(靠,伪装成Windows的内核呀),另一个更隐蔽,是sysexlpr.exe(什么什么,不是超级解霸吗?)对！冰河之所以给这两个文件取这样的名字就是为了更好的伪装自己,只要删除了这两个文件,冰河就已经不起作用了。其他的木马也是一样（废话，Server端程序都没了，还能干嘛？）

如果你只是删除了sysexlpr.exe而没有做扫尾工作的话,可能会遇到一些麻烦-就是你的文本文件打不开了,因为前面说了,sysexplr.exe是和文本文件关联的,你还必须把文本文件跟notepad关联上,方法有三种:

a.更改注册表(我就不说了,有能力自己改的想来也不要我说,否则还是不要乱动的好)

b.在<我的电脑>-查看-文件夹选项-文件类型中编辑

c.按住SHIFT键的同时鼠标右击任何一个TXT文件,选择打开方式,选中<始终用该程序打开......>,然后找到notepad,点一下就OK了。（这个最简单，推荐使用）

提醒一下，对于木马这种狡猾的东西，一定要小心又小心，冰河是和txt文件关联的，txt打不开没什么大不了，如果木马是和exe文件关联而你贸然地删了它......你苦了！连regedit都不能运行了！之所以把杀病毒软件放在最后是因为它实在没有太大的用,包括一些号称专杀木马的软件也同样是如此,不过对于过时的木马以及菜鸟安装的木马(没有配置服务端)还是有点用处的,可以监视所有调用Winsock的程序，并可以动态杀除进程，是一个个人防御的好工具（虽然我对传说中“该软件可以查杀未来十年木马”的说法表示怀疑，嘿嘿，两年后的事都说不清，谁知道十年后木马会“进化”到什么程度？甚至十年后的操作系统是什么样的我都想象不出来）

另外，对于驱动程序/动态链接库木马，有一种方法可以试试，使用Windows的系统文件检查器，通过开始菜单-程序-附件-系统工具-系统信息-工具可以运行系统文件检查器(这么详细,不会找不到吧?什么,你找不到!吐血!找一张98安装盘补装一下吧),用“系统文件检查器”可检测操作系统文件的完整性，如果这些文件损坏，检查器可以将其还原，检查器还可以从安装盘中解压缩已压缩的文件（如驱动程序）。如果你的驱动程序或动态链接库在你没有升级它们的情况下被改动了,就有可能是木马(或者损坏了),提取改动过的文件可以保证你的系统安全和稳定。(注意,这个操作需要熟悉系统的操作者完成,由于安装某些程序可能会自动升级驱动程序或动态链接库,在这种情况下恢复损坏的文件可能会导致系统崩溃或程序不可用！)

狡诈篇（只要你的一点点疏忽......)

只要你有一点点的疏忽，就有可能被人安装了木马，知道一些给人种植木马的常见伎俩对于保证自己的安全不无裨益。网上“帮”人种植木马的伎俩主要有以下的几条

a.软哄硬骗法

这个方法很多啦,而且跟技术无关的,有的是装成大虾,有的是装成PLMM,有的态度谦恭,有的......反正目的都一样,就是让你去运行一个木马的服务端。

b.组装合成法

就是所谓的221(Two To One二合一)把一个合法的程序和一个木马绑定,合法程序的功能不受影响,但当你运行合法程序时,木马就自动加载了,同时,由于绑定后程序的代码发生了变化,根据特征码扫描的杀毒软件很难查找出来。

c.改名换姓法

这个方法出现的比较晚，很容易上当。具体方法是把可执行文件伪装成图片或文本----在程序中把图标改成Windows的默认图片图标,再把文件名改为*.jpg*.exe,由于Win98默认设置是不显示已知的文件后缀名,文件将会显示为*.jpg,不注意的人一点这个图标就中木马了(如果你在程序中嵌一张图片就更完美了)

d.愿者上钩法

木马的主人在网页上放置恶意代码，引诱用户点击，用户点击的结果不言而喻：开门揖盗;奉劝：不要随便点击网页上的链接，除非你了解它，信任它，为它死了也愿意...

几点注意（一些陈词滥调）

a．不要随便从网站上下载软件,要下也要到比较有名、比较有信誉的站点，这些站点一般都有专人杀马杀毒；

b．不要过于相信别人，不能随便运行别人给的软件；

（特别是认识的，不要以为认识了就安全了，就是认识的人才会给你装木马,哈哈,挑拨离间......）

c．经常检查自己的系统文件、注册表、端口什么的，经常去安全站点查看最新的木马公告；

d.改掉windows关于隐藏文件后缀名的默认设置(我是只有看见文件的后缀名才会放心地点它的)不用我说了,大家都知道冰河2.2最新版吧!它的强大的功能大家也一定十分的了解吧!他的操作界面清晰简洁,控制类功能强大，一些功能如果应用与远程控制管理，那么它将是非常理想的软件,可要是被他人用于黑客木马，那么它的危害比起BO2000,NETSPY真是有过之而无不及.事实上，把它定位于黑客木马并不过分，因为它的服务器端程序具有隐藏,自我复制保护,盗取密码帐号等功能,这不是一个正常的软件所应具备的.他甚至还可以在客户端将木马设置成任意文件名,服务器端程序在上网后，还会自动将该机当前的IP通过E-MAIL方式发送到客户端.拷贝,删除文件,关闭进程,强制关机，跟踪键盘锁定鼠标等更不在话。

所以我在此给大家介绍解除冰河服务端的方法,从此就不必再担心自己的机子会被人控制了！

那么如何防范与消除冰河呢？

首先，不要执行来路不明的软件程序,这是千古不变的真理.任何黑客程序再高明，功能再强大,都需要利用系统漏洞才能达到入侵的目的.假如没有服务器端的木马程序运行，就可以使掌握着客户端程序的这类黑客不能得逞.其次，应养成良好的电脑使用习惯,如不把拨号上网的密码保存等等！

了解冰河黑客软件的攻击机制,就没有什么可惧怕的了。一旦感染了冰河,可以使用以下的方法,将其歼灭在你的电脑里：

1.检查注册表启动组,具体为:开始-->运行-->regedit,值:HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run和HKEY_LOCAL_MACHINE\Sogtware\Microsoft\Windows\CurrentVersion\RunServer,查找KERNEL32.EXE的执行项目,如有则将两个键值删除.值得注意的是,因为冰河可以随意配置服务器程序的参数,如服务器文件名，端口号,密码等,因此服务器端的程序可以是随意名称，即不局限是KERNEL32.EXE,所以在这里需要具备一定的Windows知识,准确的找出可疑的启动文件,如哪不定主意的话可以与另一台电脑进行对照.

2.删除硬盘上与“冰河”有关的文件.可以按上述文件名将可疑文件找出后删除.KERNEL32.EXE和sysexplr.exe(或更改为新名称)默认在\Windows\sytem目录下,但同样因配置的不同可以寄存与\Windows或\Temp目录下.

3.“冰河”的自我保护措施是很强的,它可以利用注册表的文件关联项目,在你毫不知觉的情况下复制自己重新安装.在做完上述工作后,虽然表面上“冰河”不复存在了，但当你点击打开有关文件时(如*.TXT,*EXE),“冰河”又复活了！因此为斩草除根,在上述1.2步的基础上,还应以可疑文件名为线索,全面扫描查找一遍注册表,可以发现可疑键值一一删除.

4.上述的操作因需要在系统的心脏--注册表上做手术，有一定的危险性.其实最简便有效的办法就是格式化你的硬盘,重装Windows系统，当然,你要为此付出一定的时间了！

以下是补充上述方法的新文章:

一.按照上述方法杀掉冰河后，还应该对注册表中HKEY_CLASS_ROOT\txtfile\shell\open\command下的键值C:\WINDOWS\NOTEPAD.EXE%1进行修正,改为:C:\WINDOWS\SYSTEM\EXE%1,否则大家会发现打不开文本文件,当打开文本文件时,大家会看到'未找到程序'的提示.

二.是上述介绍杀掉木马的方法是,只是针对客户端配置的确省模式,当客户端在配置服务器程序是更换了文件名,广大网友可能就找不到了.具体的判断解决方法是首先还是查看注册表中HKEY_CLASS_TOOT\txtfile\shell\poen\command的键值是什么,如C:\WINDOWS\SYSTEM\CY.EXE%1(这里也可能是其它文件名和路径),记下来CY.EXE;查注册表中HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Run和 HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\RunServer的键值,如也有CY.EXE,则基本上判断他就是冰河木马,最好还要再核对文件的字节数(2.0版本冰河木马字节熟为495,733字节),将以上的两个键值删除C:\WINDOWS\SYSTEM\CY.EXE即可(在WIN98下是删不掉的).需要注意的是在修正注册表之前,要做好备份;要对与CY.EXE字节熟相同的文件引其高度注意,以防客户端在此前给你配置了几套冰河木马。