本文目录一览：
安卓智能手机感染上了不死木马，怎么清除不掉，有什么危害吗
您好，如果您的手机中了木马病毒，可以使用腾讯手机管家进行查杀。操作方式如下：
1) 进入管家，在安全防护中找到病毒查杀一栏：
2) 进入病毒查杀功能后，点击下方按钮，即可对手机进行病毒扫描及查杀：
并且，扫描到危险软件时，管家也会立即报警，并提示您“卸载”：
3) 在病毒查杀的“设置”选项中还可手动进行“病毒扫描模式”设置，和“更新病毒库”：
4) 管家还提供了“顽固木马专杀”功能，在遇到顽固木马时，您可以安装查杀。
进入设置后点击“顽固木马专杀”进行安装。
安装完成，进入木马专杀工具，点击下方的“扫描”即可开始查杀顽固木马。
手机彻底安全后，管家会给出安全提示：
这时，即可确保手机安全无忧了。
管家除了提供病毒查杀和防御外，骚扰拦截、软件权限管理、隐私保护、手机防盗等也是管家提供的基础安全防护功能，另外还能主动满足用户流量监控、空间清理、体检加速、软件搬家等个性化的手机管理需求。是众多用户推荐、并使用的手机杀毒管理软件。腾讯手机管家诚邀您进行体验。
病毒杀不死
logo1_.exe病毒免疫方法
最近看到好多关于logo1_.exe病毒的求助帖。所以觉得有必要发此帖。
最近疯狂的LOGO1_EXE病毒不知道毒害了多少网吧,此病毒特征是，所有的EXE文件变色，进程中多了一个logo1_.exe，此病毒主要是盗取游戏帐号，至于如何查杀，我试了几种杀毒软件都很不理想，也看了网上流传的一些免疫方法,但是都是过于麻烦,而且在已感染机器之上无效，经研究发现一种比较简单的方法.不过要求系统盘为NTFS, 在C盘WINDOWS或WINNT目录下建立一个名叫logo1_.exe的文件,把文件的读写权限全部设成拒绝便可以了,此时你发现,你无法删除此文件了,也无法改写它,到这里我们已经可以免疫了,但是为了以防万一,我们在组策略中,再指定拒绝运行logo1_.exe这个文件,至此,就算机器感染此病毒,也无法发作了,
假如你的机器已经不幸感染了,那就在进程中关闭logo1_.exe这个进程,再到C盘下的WINDOWS或WINNT下把这个文件删除，再建立一个拒绝访问的logo1_.exe文件，这样，就可以完全的防止这个病毒的再次发作了
还有，最好是删除默认共享
此方法的原理就是，不让病毒发作时生成主文件．通过组策略不让文件运行，通过删除默认共享来防止病毒通过网络传染
附其它病毒信息及防预方法：
详细技术信息：
病毒运行后，在%Windir%生成 Logo1_.exe 同时会在windws根目录生成一个名为"virDll.dll"的文件。
%WinDir%\virDll.dll
该蠕虫会在系统注册表中生成如下键值：
[HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW]
"auto" = "1"
盗取密码
病毒试图登陆并盗取被感染计算机中网络游戏传奇2的密码，将游戏密码发送到该木马病毒的植入者手中。
阻止以下杀毒软件的运行
病毒试图终止包含下列进程的运行，这些多为杀毒软件的进程。 包括卡八斯基，金山公司的毒霸。瑞星等。98%的杀毒软件运行。
国产软件在中毒后都被病毒杀死，是病毒杀掉-杀毒软件。如金山，瑞星等。哪些软件可以认出病毒。但是认出后不久就阵亡了。
通过写入文本信息改变"%System%\drivers\etc\hosts" 文件。这就意味着，当受感染的计算机浏览许多站点时（包括众多反病毒站点），浏览器就会重定向到66.197.186.149。
病毒感染运行windows操作系统的计算机，并且通过开放的网络资源传播。一旦安装，蠕虫将会感染受感染计算机中的.exe文件。
该蠕虫是一个大小为82K的Windows PE可执行文件。
通过本地网络传播
该蠕虫会将自己复制到下面网络资源：
ADMIN$
IPC$
症状
蠕虫会感染所有.exe的文件。但是，它不会感染路径中包含下列字符串的文件：
\Program Files
Common Files
ComPlus Applications
Documents and Settings
NetMeeting
Outlook Express
Recycled
system
System Volume Information
system32
windows
Windows Media Player
Windows NT
WindowsUpdate
winnt
蠕虫会从内存中删除下面列出的进程：
EGHOST.EXE
IPARMOR.EXE
KAVPFW.EXE
KWatchUI.EXE
MAILMON.EXE
Ravmon.exe
ZoneAlarm
网吧遭此病毒破坏造成大面积的卡机，瘫痪。危害程度可以和世界排名前十的爱情后门变种相比。该病毒可以通过网络传播，传播周期为3分钟。如果是新做的系统处于中了毒的网络环境内，只要那个机器一上网，3分钟内必定中招。中招后你安装 rising SkyNet Symantec McAfee Gate Rfw.exe RavMon.exe kill NAV 等杀毒软件 都无法补救你的系统，病毒文件 Logo1_.exe 为主体病毒，他自动生成病毒发作所需要的的 SWS32.DLL SWS.DLLL KILL.EXE 等文件。这些文件一但衍生。他将迅速感染系统内EXPLORE 等系统核心进程 及所以.exe 的可执行文件，外观典型表现症状为 传奇 ，泡泡堂，等游戏图标变色。 此时系统资源可用率极低，你每重新启动一次，病毒就会发作一次。
该病毒对于防范意识较弱，还原软件未能及时装到位的网吧十分致命，其网络传播速度十分快捷有效。旧版的杀毒软件无法检测，新版的无法彻底根杀。一但网吧内某台机器中了此病毒，那么该网吧所有未中毒的机器都处于危险状态。由于病毒发作贮留于内存。且通过EXPLORE.exe 进行传播。因此即使是装了还原精灵，还原卡的机器也同样会被感染。你重新启动后系统可以还原。但是你一但开机还是会被感染。
病毒发作会生成另外病毒 PWSteal.Lemir.Gen 和 trojan.psw.lineage 等等。都是些非常厉害的后门程序。和外挂病毒相似，但是其威力是外挂病毒的50倍以上。在WIN98平台下，改病毒威害比较小。在WIN2000 /XP/2003 平台对于网吧系统是致命的
运行系统极度卡机。你重新启动后你会发现你所有游戏的.EXE 程序全部都感染了
最新杀毒软件杀完后。除了系统可以勉强运行。其他的你也别想运行了。
病毒清理办法
如果在病毒没有发作情况下杀毒是可以完全搞定的。如果发作了也不要杀毒了。直接克盘恢复吧。
一、找到注册表中[HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW]
"auto" = "1"
删除DownloadWWW主键
二、找到
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\system.ini\boot]
winlogo 项
把WINLOGO 项 后面的C:\WINNT\SWS32.DLL 删掉
接下来把HKEY_LOCAL_MACHINE]SOFTWARE/Microsoft/Windows/CurrentVersion/Run 键中 /RunOnce/RunOnceEx 两个中其中有个是也是
C:\WINNT\SWS32.dll
把类似以上的全部删掉 注意不要删除默认的键值（删了的话后果自负）
如果没有以上键值，则直接跳过此步骤
三 结束进程
按“Ctrl+Alt+Del”键弹出任务管理器，找到logo1_.exe 等进程，结束进程，可以借助绿鹰的进程管理软件处理更方便。找到EXPL0RER.EXE进程（注意第5个字母是数字0不是字母O），找到它后选中它并点击“结束进程”以结束掉（如果EXPL0RER.EXE进程再次运行起来需要重做这一步）。
杀毒及重装系统后的防范
有些网友在处理病毒的时候可能有这样的感觉好不容易清除了，或者没办法重新装了系统，但是没多长时间有中了同样的病毒，所以说有免疫程序实最好的了。下面就将免疫程序公布如下，供网友们下载使用：
建议做系统的时候把默认共享关闭。关闭IPC$ ADMIN$ 关闭554 关闭ICMP路由。给ADMINISTRATOR 组所有成员设置密码。最好数字加英文
下载地址可以到的软件下载中?... ü�旅娴耐�废略兀?/a
文件说明下载解压后有3个文件
dellogo.bat放在winnt目录下，98的用户放到windows目录下
delshare.bat放到开始菜单--程序---启动项中，目的能让计算机启动后就删除默认共享，从而阻止病毒对外传播和再次感染的桥梁。
ljl.reg下载后直接运行这个文件，提示，信息导入注册表后，说明写入注册表成功，目的是让计算机重新启动后能立刻删除病毒主题文件
logo1_.exe文件。要注意的实这个注册表导入文件是针对win2000系统的，如果您是其他的操作系统，请参考修改一下就可以。
以上操作只是阻断传播，如果怕在使用中感染此病毒，您还需要按照如下操作，这样即使病毒感染，也不能运行主体病毒程序。
当然这里说的操作实针对win2000系统的，其他的系统可以参考操作：
运行 gpedit.msc 打开组策略
依次单击用户配置- 管理模块- 系统-指定不给windows运行的程序
点启用 然后 点显示 添加 logo1_exe 也就是病毒的源文件 。
杀不死的病毒，谁见过？
典型的DLL病毒
DLL木马的发现和查杀
经常看看启动项有没有多出莫名其妙的项目，这是Loader的所在，只要杀了狼，狈就不能再狂了。而DLL木马本体比较难发现，需要你有一定编程知识和分析能力，在Loader里查找DLL名称，或者从进程里看多挂接了什么陌生的DLL，可是对新手来说……总之就是比较难啊比较难，所以，最简单的方法：杀毒软件和防火墙（不是万能药，切忌长期服用）。
DLL木马检测与清除实例
守护者（NOIR—QUEEN）是一个典型的DLL木马程序，其服务端以DLL文件的形式插入到系统的Lsass.exe进程中。Lsass.exe进程是一个本地的安全授权服务，并且它会为使用Winlogon服务的授权用户生成一个进程，如果授权是成功的，Lsass就会产生用户的进入令牌。由于Lsass.exe是系统的关键进程，不能被终止，那么我们该如何清除这样的木马呢？
守护者木马入侵系统后，会在服务中添加一项名为“QoSserver”的服务，并将“QoSserver.dll”文件插入到Lsass进程中，使其可以隐藏进程并自动启动。我们利用“进程猎手”这样的工具查看Lsass进程所调用的DLL文件，并与木马入侵前的信息比较，可以发现Lsass进程中增加了“QoSserver.dll”文件。记录下该文件的具体位置，本例中为“C:\Windows\system32\QoSserver.dll”。
打开WindowsXP任务管理器，切换到“进程”选项卡中，结束“QoSserver.exe”进程，同时将系统目录下的“QoSserver.exe”文件删除。然后运行Regedit，在注册表编辑器中依次展开[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\QoSserver]，直接删除“QoSserver”项，重启计算机。重启之后，再将系统目录下的“QoSserver.dll”文件删除。需要注意的是，如果前面未删除“QoSserver.exe”文件，而只删除了QoSserver服务并重启之后，插入到Lsass进程当中的“QoSserver.dll”又会生成另外一个名为“AppCPI”的服务。这时再次打开注册表编辑器，展开[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AppCPI]，删除AppCPI项。如果QoSserver服务同时复活，则要将该服务的启动类型改为“禁用”。重新启动计算机后，再删除系统目录下的木马文件。
防范DLL木马
1．安装木马查杀工具。对于多数人而言，要想通过手工查杀DLL木马是不太现实的，因此安装一款可以查杀此类木马的反病毒软件，是非常有必要的。这里还要提醒读者的是，应及时升级病毒数据库，这样才能保证有效地查杀绝大部分木马病毒。当然，我们也可以在计算机中安装那些专门针对木马的查杀工具，例如木马克星。
2．查看是否有不明端口开放以及对端口通信进行监控。只要木马进行连接，接受／发送数据则必然会打开端口，DLL木马也不例外，我们可以通过“Netstat－ano”命令来查看TCP／UDP端口的连接，以及开放端口的进程标识符，也可以直接使用进程端口查看工具Fport.exe来查看与端口对应的进程，以发现是否有不明的连接和端口开放。另外，有些DLL木马通过端口劫持或者端口重用的方法来进行通信，所以仅是查看端口还是不够的，有必要的话，我们可使用嗅探器来了解打开的端口到底在传输些什么数据。
3．检查系统目录下是否有可疑的DLL文件。安装好系统和所有应用程序之后，可对系统目录下System32文件夹中的EXE和DLL文件作一记录：在命令提示符下执行“dir＊.exebak1.txt＆dir＊.dllbak2.txt”，将所有的EXE和DLL文件信息导出成TXT文件保存。当日后发现异常时，可以使用相同的命令再次备份，并使用FC命令比较两次的EXE文件和DLL文件。通过这种方法，我们可以发现可疑的EXE和DLL文件，同时通过文件的大小、创建时间来判断是否为DLL木马。
4．查看系统进程调用的DLL文件。当我们怀疑有DLL木马插入到系统进程，可以使用一些第三方进程工具来查看进程所调用的DLL文件，然后进一步确认是否中了DLL木马。此类查看工具有进程猎手、进程间谍等等。另外，我们也可以使用XP系统自带的命令行工具TaskList，来显示进程调用的DLL文件，并将这些信息导出成TXT文件保存，以便随时进行比较。
但我们就要利用这种木马 因为他比较难查杀 所以~~~~~~~~~~~~~
DLL注入木马如是说
DLL库链接文件，是Windows系统中许多驱动和程序运行时必需的文件。一般来说，这类文件无法单独运行，必须通过某个EXE文件调用该DLL文件，从而执行相应的功能。同时，当该EXE文件正在执行时，调用的DLL文件无法被删除。正因为由于DLL文件具有隐蔽性，并且很难删除，因此目前许多流行的木马程序都采用了DLL文件方式进行安装，将木马DLL文件加载到某个正常的系统进程中，从而达到隐藏木马进程和保护木马文件的目的——这就是所谓的DLL注入式木马。
木马是如何将DLL文件进行加载的呢？这里我们以一个黑客常用的DLL木马“上兴远程控制木马”为例进行讲解。
运行“上兴木马”后，点击界面中“配置服务端”按钮，打开服务端生成程序。在“DNS域名解析更新IP”中输入自己的IP地址或者动态DNS域名，在安装名称中输入生成的服务端DLL文件名。木马运行后，该DLL文件将被注入到下面“宿主进程名”中指定的系统进程中，默认为“explorer.exe”。最后点击生成按钮，即可生成木马文件“rejoice_06.exe”。
将生成的木马文件传播，当其他用户运行后，就可以通过上兴木马远控客户端进行控制了。
警报，病毒无法清除
如果系统中被植入了DLL木马，将会出现什么情况呢？
首先，系统被黑客远程控制，出现数据丢失等情况；其次，杀毒软件会报警系统中有病毒，但是却无法进行清除。例如，在电脑中运行了上面制作的上兴远控木马后，笔者电脑上安装的杀毒软件提示发现病毒，但是在删除DLL病毒文件时却失败了。即使我们手工删除病毒文件，也会因为DLL文件正在使用中，所以也无法彻底删除。即使进入安全模式，得到的也是同样的结果。
另外，由于DLL木马是插入到系统进程中的，因此通过任务管理器等进程工具，也无法发现任何木马进程，这给木马的清除带来了很大的困难！
无法删除病毒文件，无法查找到木马进程，那么到底该如何清除DLL注入式木马呢？
无所遁形，揪出木马藏身之所
虽然木马没有自己的进程，但是有一个宿主进程，只要结束宿主进程，停止DLL文件的调用，就可以删除DLL文件，进而清除木马。因此，清除DLL木马的第一步，就是找到木马注入的宿主进程。那么，如何才能找到木马注入的宿主进程呢？且让我们细细看来。
以清除“上兴远控木马”为例，从杀毒软件的报警提示中已经知道木马DLL文件名为“rejoice.dll”。因此，就可以通过一些查看进程调用DLL文件的进程管理工具，找到该文件的宿主进程，此类工具很多，比如大名鼎鼎的ICESword。
运行IceSword后，点击左侧边栏“查看→进程”，就可以在其右侧窗口中看到所有进程列表。右键点击某进程，在弹出菜单中选择“模块信息”命令，即可看到该进程调用的所有DLL文件。
提示：DLL注入式木马通常是将DLL文件，加载到explorer.exe、svchost.exe、winlogon.exe、iexplore.exe等系统进程中的。因此在查找DLL宿主文件时，可以关闭其它无关的程序，然后依次检查这几个进程中的DLL文件。
不过一个一个的检查系统进程，确实有些麻烦，如何才能快速的定位木马的宿主进程呢？可以使用一款名为“procexp”的进程管理工具。运行procexp后，在程序界面中间显示的是树状进程关系列表，下方是每个进程的详细信息。点击菜单“Find→Find DLL”命令，打开DLL文件查找对话框，在“DLL Substring”中输入要查找的关键词，这里输入刚才杀毒软件扫描出的DLL文件名“rejoice.dll”。然后点击“Search”按钮，在下方的列表中就可以看到该DLL文件是被哪个进程调用的了。
牛刀小试，清除普通进程DLL注入木马
对于大部分DLL注入木马，其注入到“iexplore.exe”和“explorer.exe”这两个进程。对于这类普通进程的DLL木马，清除将是非常方便的。
如果DLL文件是注入到“iexplore.exe”进程中，由于此进程就是IE浏览器进程，因此就需要先关掉所有IE窗口和相关程序，然后直接找到DLL文件进行删除就可以了。
如果DLL文件是注入到“explorer.exe”进程中，那么就略显麻烦一些。由于此进程用于显示桌面和资源管理器，因此，当通过任务管理器结束掉“explorer.exe”进程时，桌面无法看到，桌面上所有图标消失掉，"我的电脑"、"网上邻居"等所有图标都不见了，同时，也无法打开资源管理器找到木马文件进行删除。怎么办呢？
实际上，解决的方法也很简单。在任务管理器中点击菜单“文件→新任务运行”，打开“创建新任务”对话框，点击“浏览”按钮，通过浏览对话框就可以打开DLL文件所在的路径（如图4）。然后选择“文件类型”为“所有文件”，即可显示并删除DLL文件了。
在浏览对话框中删除DLL文件
除恶务尽，清除特殊DLL注入木马
除了以上所说的注入普通进程的DLL木马之外，还有许多木马注入到系统里关键进程中，比如svchost.exe、smss.exe、winlogon.exe进程。这些进程使用普通方式无法结束，使用特殊工具结束掉进程后，却又很可能造成系统崩溃无法正常运行的情况。对于这些木马，我们可以通过以下两种方法进行清除。
1.使用IceSword卸载DLL文件
IceSword的功能十分强大，我们曾在以前作过介绍，在这里，就可以利用它卸载掉已经插入到正在运行的系统进程中的DLL文件。在IceSword的进程列表显示窗口中，右键点击DLL木马宿主进程，选择弹出命令“模块信息”。在进程模块信息对话框中找到DLL木马文件，选择文件后点击“强制解除”命令，即可将系统进程中的DLL木马文件卸载掉了
卸载系统进程中的DLL木马
2.SSM终结所有DLL木马
使用IceSword可以卸载大部分的DLL木马文件，但还有某些特殊木马在卸载时，却会造成系统崩溃重启。例如一款著名的木马PCShare采用了注入“winlogon.exe”进程的方式运行，由于该进程是掌握Windows登录的，因此在使用IceSword卸载时，系统将会立即异常重启，根本来不及清除掉DLL文件，在重启后DLL木马又被再次加载。对于这类DLL木马，必须在进程运行之前阻止DLL文件的加载。接下来，我们又要用到一款用于阻止DLL文件加载的安全工具——“System Safety Monitor”（简称SSM）。
提示：SSM是一款俄罗斯出品的系统监控软件，通过监视系统特定的文件（如注册表等）及应用程序，达到保护系统安全的目的。这款软件功能非常强大，可以辅助防火墙和杀毒软件更好的保护系统安全。
运行SSM，在程序界面中选择“规则”选项卡，右键点击中间规则列表空白处，选择“新增”命令，弹出文件浏览窗口，选择浏览文件类型为“DLL files”，在其中选择指定文件路径“C:\Windows\system32\rejoice.dll”。点击“确定”按钮后，即可把“rejoice.dll”文件添加到规则列表中，然后在界面下方的“规则”下拉列表中选择“阻止（F2）”。完成添加规则设置后，点击“应用设置”按钮，后重启系统。
阻止DLL文件加载到进程
提示：在重启系统前请检查SSM的设置，确保SSM随系统启动而加载运行。
当系统重启时，SSM就会自动阻止相关进程调用“rejoice.dll”木马文件。这样，该木马文件便不会被任何程序使用，在硬盘中找到它，直接删除即可。
雁过无声，清除木马残留垃圾
DLL注入型木马并不会感染其它文件，只要结束木马进程并删除掉病毒文件木马，木马就没有任何危害性了。剩下的工作就是清除掉木马在注册表和其它启动文件中留下的项目。方法很简单，点击“开始→运行”，输入“regedit”命令，就会打开“注册表编辑器”，利用搜索功能，便可以清除木马在注册表中留下的垃圾；输入“mscnofig”命令，就可以打开系统配置实用程序，清除木马在启动文件中的踪影。
编后：木马选择注入的系统进程也不尽相同。在碰到此类木马时，我们可以首先考虑用procexp之类的工具，查找出DLL文件的宿主进程。找到宿主进程后，如果是注入到普通可结束的进程中，可以直接将宿主进程终止后删除DLL木马文件即可。如果DLL文件是注入到系统关键进程中的话，可以考虑用IceSword卸载DLL文件；如若失败，那么直接用SSM建立规则，阻止DLL文件的加载就可以了。
不死木马病毒要用什么软件才能死毒
您好：
电脑中了不死木马病毒的话，建议您使用腾讯电脑管家对您的电脑进行一下全面的杀毒吧，打开腾讯电脑管家中的杀毒功能选择闪电查杀或者全盘查杀就可以的哦，腾讯电脑管家是采用“4+1”核“芯”杀毒引擎的专业杀毒软件，是完全可以帮助您查杀病毒而且保护您的电脑的哦。
您可以点击这里下载最新版的腾讯电脑管家：最新版腾讯电脑管家下载
腾讯电脑管家企业平台：