.Re: 请教：病毒gwboy怎么老是杀不完全？？ - 荔园在线 | 深圳大学学生论坛,荔园晨风BBS,深大在线网站

荔园之美，在春之萌芽，在夏之绽放，在秋之收获，在冬之沉淀

发信人: pl (报应,依家轮到我比返人"合"!), 信区: Virus
标  题: Re: 请教：病毒gwboy怎么老是杀不完全？？
发信站: 荔园晨风BBS站 (Wed May 14 18:30:13 2003), 站内信件

http://www.zgc.org.cn/bbs/showdoc.asp?bid=12&id=34344&pageNo=1

清除方法如下：[下面键值只是根据我机器上测试配置而提供的清除
方法，但清除思路是一样的]
1：[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\][删除此项
目]{5EAE4AC0-146E-11D2-A96E-000000000009}\InprocServer32]
@="gwboydll.dll"
"ThreadingModel"="Apartment"  [木马复活的项目]
2：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersio
n\Run\[删除]gwboy.exe
String: "gwboy.exe"
3：根据RUN项目下的gwboy.exe删除系统目录system32下相应的
gwboy.exe[根据配置可能文件名不同，大小约为116K]
4：在注册表下寻找所有gwboydll.dll的键值，将其删除。
5：记住1中的DLL文件名，测试时为gwboydll.dll。[寻找该文件仍
然可以根据大小来在system32下寻找，大小大约为116K]
6：进入纯DOS下，执行del winnt\system32\gwboydll.dll即删除该
dll文件。
   至此删除完毕[建议大家不要在WIN下删除gwboydll.dll，因为该
木马采用“线程插入”技术，一旦系统启动并且随机启动有exe程序
有一段    时间或者注册表尚有复活启动没有删除，便可以复活木
马。复活能力相当强并且很隐蔽]
   大家不要拘于上述的方法，因为键值是随机的，大家可以根据文
件大小来进行判断，可以通过注册表中的启动项目或者进程中的可
疑DLL来     判断。

【在 rainhai (☆你是我的幸福☆) 的大作中提到: 】
: 金山毒霸查到在WINNT目录下查到gwboy.exe gwboydll.dll
: 把这些文件都删除了，但是重起后一段时间又会查到这些病毒！
: 请高手指教！thx～～～

--
      あれからぼくたちは
      何かを信じてこれたかなぁ…
      夜空のむこうには
      明日がもう待ってい*cる        － Smap

※ 来源:·荔园晨风BBS站 bbs.szu.edu.cn·[FROM: 192.168.1.176]

荔园在线首页友情链接：深圳大学深大招生荔园晨风BBS S-Term软件网络书店