甘當神農 以身驗毒 QQ尾巴多變種手工清除之體會

現在網路流行的QQ尾巴病毒手工清除的教程，到我們電腦中了病毒，要進行手工清除的時候才發現，對不上好了！這時候咱們不要納悶，不是教程的錯，是QQ尾巴病毒發展變身的原因。
     這次偶剛好有個好朋友中了這毒上門求救，為了能體驗到這款病毒的破壞原理，偶就故意中招將這個病毒保留下來，先啟動電腦中的監控軟體，然後運行QQ尾巴病毒，查看病毒在我的磁碟寫入了哪些文件，篡改了註冊表的哪些內容。現將中毒后的情況和大家交流下，並綜合網路上的一些手工清除QQ尾巴病毒的教程，與大家共同學習手工清除QQ尾巴病毒的方法，如果哪位網友深受其害，談毒色變而無可奈何並且病毒特徵不在本貼中的請速與本人聯繫，感激不盡！！！
     第一種：這次本人體驗的QQ尾巴，點擊網上的誘惑鏈接後會下載個金山影霸RM圖標的可執行文件，點擊這個文件，病毒就無聲無息地駐入內存 在C盤WINDOWS和SYSTEM文件夾創建文件win.dll、windll.dll動態鏈接庫和cyehwqnqr.exe、N0tepad.exe（屬性為受保護的操作系統文件）可執行文件；在註冊表裡HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN修改<cyehwqnqr.exe>值為<C:\WINDOWS\system\cyehwqnqr.exe>
HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\INTERNET EXPLORER\MAIN
修改<Start Page>值為<about:blank>
HKEY_CLASSES_ROOT\TXTFILE\SHELL\OPEN\COMMAND
創建<>；然後打開http://www.18hi.com網站。
依據上述病毒運作原理，採用了下述對策：
     1.運行WIN搜索，在高級項選擇搜索系統文件夾，搜索隱藏的文件和文件夾，搜索子文件夾，搜索磁碟備份；指定「什麼時候修改」為中毒日期；搜索文件名用通配符*.dll\*.exe,搜索出所有的因病毒創建的文件，取消上述文件的進程，來個趕盡殺絕！通通刪除！
     2.去掉病毒的啟動項信息，還原註冊表。
     3.修復被病毒破壞的文件關聯。
     
以上介紹的是QQ尾巴病毒運行的特徵與手工清除的方式方法，下面我們綜合網上的一些求救帖子和其他的一些較少手工清除QQ尾巴的教程貼將QQ尾巴這一類的病毒特徵和清除辦法做個簡單的介紹：
第二種：打開http://dvd.qq92.com網站的QQ尾巴刪除方法

用任務管理器結束smss.exe（一個是系統進程無法結束，一個是病毒可以結束），結束可能存在的intrenat.exe winsym.exe winpass.exe。
然後刪除以下文件：
%WINDIR%\intrenat.exe
%WINDIR%\smss.exe
%System%\winsym.exe
%System%\winpass.exe
刪除註冊表中HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run: %WINDIR%\smss.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices: %WINDIR%\smss.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run: %WINDIR%\smss.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices: %WINDIR%\smss.exe

第三種：打開http://www.joyiex.com網站QQ尾巴刪除方法
先結束Explorer.exe進程，然後再把Explorer.exe運行起來。

在註冊表編輯器里修改HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\

Advanced\Folder\Hidden\SHOWALL下CheckedValue的值為1。

然後刪除以下文件：
%Windows%\bak.exe
%System%\huangjiaju.exe（0位元組）
%System%\cc1.exe
%System%\cc2.exe
%System%\cc3.exe
%System%\whboy.exe
%System%\whboy.txt
%System%\whboy***.txt（***為數字）

編輯SYSTEM.INI文件中Shell = Explorer.exe %System%\whboy.exe為Shell = Explorer.exe（Windows 9x）；
在註冊表編輯器中定位到「HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon」，編輯右邊「Shell」的內容，將「Explorer.exe %System%\whboy.exe」修改為「Explorer.exe」（Windows NT/2000/XP/2003）。
一直有變化的主要是%System%目錄下xx1.exe、xx2.exe和xx3.exe這三個文件，如遇變化與上述內容不同請誤死搬硬套，稍做變通可自行解決。

第四種：打開http://www.mydj2005.com網站的QQ尾巴刪除方法
在安全模式下刪除：
%System%\down1.exe
%System%\down2.exe
%System%\huangjiaju.exe（0位元組）
%System%\migpwda.exe
%System%\migpwdb.exe
%System%\migpwdc.exe（關聯TXT）

刪除病毒的啟動項：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce
windows update = %System%\migpwda.exe

病毒把TXT文件關聯修改為「%System%\migpwdc.exe %1」，你可以從註冊表中修改或者使用工具（如REGFIX）進行修復。

編輯SYSTEM.INI文件中Shell = Explorer.exe %System%\migpwdb.exe為Shell = Explorer.exe（Windows 9x）；
在註冊表編輯器中定位到「HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon」，編輯右邊「Shell」的內容，將「Explorer.exe %System%\migpwdb.exe」修改為「Explorer.exe」（Windows NT/2000/XP/2003）。


第五種：QQ速配
蠕蟲病毒，通過QQ傳播，依賴系統：WIN9X/NT/2000/XP.該病毒用Delphi語言編寫，運行后把自己複製到系統"system32"目錄下，病毒文件名為"Explorer.exe"，偽裝成系統文件，修改註冊表實現開機自啟動。病毒會修改ini和txt文件的關聯方式，用戶打開這兩種文件時會先運行病毒。

病毒運行後會駐留內存，查找並結束防火牆和任務管理器，防止病毒被結束。查找QQ聊天窗口，自動發送消息，"哈哈。來看看這個。用QQ昵稱為自己速配情侶，看看和你配的叫什麼http://***快看看"，用戶點擊該網址後會中毒。病毒還會從網上下載新的病毒文件，發送的QQ消息內容會隨之更改。

刪除方法
安全模式下刪除%windows%/smss.exe文件
搜索註冊表，所有smss相關的項一概刪除
再修改startpage（就是ie默認的首頁）

註：%System%文件夾默認為：
C:\Windows\System (Windows 95/98/Me),
C:\Winnt\System32 (Windows NT/2000),
或 C:\Windows\System32 (Windows XP).

第六種打開http://www.91tg.net/rm.asp?.rm網站的QQ尾巴刪除方法
刪除病毒對註冊表所作的更改：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run: member.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run: services.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices: member.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices: services.exe
HKEY_CLASSES_ROOT\CLSID\{9F352324-0FC5-41b4-99E2-E0757AFFFEF6}
然後重新啟動刪除以下文件：
%WINDIR%\services.exe
%system%\browscue.dll
%system%\member.exe
%System%\winsocks.dll
還有桌面上和系統盤根目錄下和%Documents and Settings%\「用戶名」下可能生成的a1.exe , a2.exe , a3.exe

第七種打開http://www.400.net的QQ尾巴刪除方法
先用任務管理器結束Explorer.exe進程，然後重新運行Explorer.exe，接著刪除以下文件：
%Windows%\bak.exe
%System%\whboy.exe
[%System%\whboy.txt 和 %System%\whboy***.txt（***為數字）]――這兩個文件如果有的話
編輯SYSTEM.INI文件中Shell = Explorer.exe %System%\whboy.exe為Shell = Explorer.exe（Windows 9x/Me）；
在註冊表編輯器中定位到「HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon」，編輯右邊「Shell」的內容，將「Explorer.exe %System%\whboy.exe」修改為「Explorer.exe」（Windows NT/2000/XP/2003）。――重點是那個txt文件，必須先結束Explorer.exe才能夠刪除它。

第八種打開http://www.joyiex.com的QQ尾巴刪除方法
先用任務管理器結束Explorer.exe進程，接著刪除以下文件（可以通過WinRAR的主程序刪除文件）：
%System%\msapi.exe
%System%\msapi.dll
此病毒已經禁用註冊表編輯器，大家可以在網上搜索解鎖辦法或者使用註冊表修復工具可以輕鬆解鎖。

其他的幾個是武漢男生2005：
安全模式下，先用任務管理器結束Explorer.exe進程，接著刪除以下文件：
%Windir%\bak.exe
%System%\whboy.exe
[%System%\whboy.txt 和 %System%\whboy***.txt（***為數字）]――這兩個文件如果有的話
編輯SYSTEM.INI文件中Shell = Explorer.exe %System%\whboy.exe為Shell = Explorer.exe（Windows 9x/Me）；
在註冊表編輯器中定位到「HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon」，編輯右邊「Shell」的內容，將「Explorer.exe %System%\whboy.exe」修改為「Explorer.exe」（Windows NT/2000/XP/2003）。

第九種：打開http://www.QQ.5qt.net網站的QQ病毒刪除方法
在安全模式下刪除：
%System%\logonuit.exe
%System%\mstinitt.exe（關聯TXT文件）
%System%\windows.exe
刪除病毒加在HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce下的啟動項：windows update = %System%\logonuit.exe
編輯SYSTEM.INI文件中Shell = Explorer.exe %System%\windows.exe為Shell = Explorer.exe（Windows 9x）；
在註冊表編輯器中定位到「HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon」，編輯右邊「Shell」的內容，將「Explorer.exe %System%\windows.exe」修改為「Explorer.exe」（Windows NT/2000/XP/2003）。
還要恢復TXT關聯。

第十種：打開http://photo.rm510.com/pic.asp?網站的QQ病毒刪除方法
到註冊表編輯器里刪除這些信息：
HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}

[HKEY_LOCAL_MACHINE\Software\CLASSES\LNTERAPI64.classname]

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\ShellExecuteHooks下的{081FE200-A103-11D7-A46D-C770E4459F2F}

HKEY_CLASSES_ROOT\CLSID\{9F352324-0FC5-41b4-99E2-E0757AFFFEF7}

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\SharedTaskScheduler下的{9F352324-0FC5-41b4-99E2-E0757AFFFEF7}

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
(默認) = "winmem"
"services" = "%Windows%\services.exe"

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
"services" = "%Windows%\services.exe"

重新啟動計算機后刪除以下文件：
%Windows%\services.exe
%Windows%\MlcrosoftSound.wav（MlcrosoftSound.wav的第二個字母是L）
%System%\bhjx.dll
%System%\lnterapi32.dll（lnterapi32.dll的第一個字母是L）
%System%\lnterapi64.dll（lnterapi32.dll的第一個字母是L）
%System%\SVCH0ST.EXE（SVCH0ST.EXE中的0是數字0，不是字母O）
%System%\winco.exe
%System%\winco1.exe
%System%\winco2.exe
%System%\winmem.exe
%System%\WinSocks.dll

第十一種：QQ自動發送一些誘惑性名稱的可執行文件（圖標是壓縮文檔的圖標）
打開任務管理器，結束掉RUNDLL32.EXE和TIMP1atform.exe（注意那是數字1）。
然後讓Windows顯示隱藏文件，找到以下文件並且將其刪除：
%System%\.exe
%System%\notepad.exe
%Windir%\System\RUNDLL32.EXE
QQ目錄中的TIMP1atform.exe（注意是數字1不是字母l，別刪錯了）
然後打開註冊表編輯器刪除：
HKEY_LOCAL_MACHINE\Software\Classes\MSipv和HKEY_CURRENT_USER\Software\Classes\MSipv下的MainSetup、MainUp、MainVer三項DWORD鍵值。
最後通過註冊表修復工具修復EXE和TXT文件關聯，重新啟動即可。

第十二種：武漢男生變種
癥狀:
通過發送以下信息誘惑用戶點擊
http://www.4OO.net 幫忙看看這個網站打不打的開。上次看了個網站不錯，去看看吧-- http://www.4OO.net
剛剛在這個網站下載了個免費的QQ秀 http://www.QQ.5qt.net,
你看好看嗎？我現在有好多Q幣了！！！你要不要？要的話趕快去
http://vip.6to23.com/sedvd/FreeQB.htm 免費申請！遲了就沒啦！！快~這個網站送QQ幣了，http://vip.6to23.com/sedvd/FreeQB.htm 一個QQ號可以申請28個QQ秀的衣服 好像這個網站的電影不錯~~ http://178dx.com/vod/
這個視頻聊天室人真多，http://r123.net/liao.htm 我們也去這個聊天室群體視頻聊天好不好這個網站送QQ幣了，http://vip.6to23.com/sedvd/FreeQB.htm 一個號碼最多可以申請28個QQ幣 http://4OO.net/lj/lj.exe/2EoX2S
清除:
刪除這個啟動項：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
QQServer = %WINDOWS%\QQ.exe

在安全模式下刪除以下文件：
%WINDOWS%\QQ.exe


第十三種：打開http://www.3721see.com/myfriend/index.htm：網站的QQ病毒刪除方法
在安全模式下刪除：
%System%\Service.exe
%System%\slime.exe
%System%\slserve.exe
%System%\SP00LSV.DLL
%System%\SP00LSV.EXE
%System%\system32.exe

並刪除它們的啟動項：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
slime = %System%\slime.exe
appService = %System%\Service.exe
system32 = %System%\system32.exe
slService = %System%\slserve.exe

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce]
ScanRegedit = %System%\SP00LSV.EXE

第十四種：打開http://www.4755.net網站的QQ病毒刪除方法

如果系統是Windows 9x，病毒將系統原來的Internat.exe和Rundll32.exe複製到C盤根目錄，把自己以Internat.exe和Rundll32.exe文件名複製到它們原來的位置，所以在刪除了病毒文件后要把C盤根目錄下病毒「好心」備份的原系統文件複製回去。

在安全模式下刪除：
%Windows%\Cqdll.dll
%Windows%\delttoul.exe
%Windows%\lsass.exe
%Windows%\MlcrosoftSound.wav（MlcrosoftSound.wav的第二個字母是L）
%Windows%\rundll32.exe
%Windows%\services.exe
%Windows%\smss.exe
%Windows%\ywin32.dll
%System%\cq0dll.dll
%System%\hiddukel.dll
%System%\huangjiaju.exe
%System%\lnterapi32.dll（lnterapi32.dll的第一個字母是L）
%System%\lnterapi64.dll（lnterapi32.dll的第一個字母是L）
%System%\slsorve.exe
%System%\SVCH0ST.EXE（SVCH0ST.EXE中的0是數字0，不是字母O）
%System%\winc1.exe
%System%\winc2.exe
%System%\winmem.exe
%System%\WinSocks.dll
%System%\yyd55dg.dll
%System%\yyd55dg.exe
%ProgramFiles%\explorer.exe

刪除病毒建立的啟動項信息：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
(默認) = winmem
loadMecq0 = %ProgramFiles%\explorer.exe
SysDll32_ = %Windows%\delttoul.exe
services = %Windows%\services.exe
smss = %Windows%\smss.exe
slSorvice = %System%\slsorve.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
ws_dd = %Windows%\lsass.exe
services = %Windows%\services.exe
smss = %Windows%\smss.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
26 = %System%\slsorve.exe

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
ws_dd = %Windows%\lsass.exe
smss = %Windows%\smss.exe

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices]
smss = %Windows%\smss.exe

還要刪除：
[HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}]
[HKEY_LOCAL_MACHINE\Software\CLASSES\LNTERAPI64.classname]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\ShellExecuteHooks]下的{081FE200-A103-11D7-A46D-C770E4459F2F}
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

編輯WIN.INI文件中run=%Windows%\smss.exe為run= （Windows 9x）；
在註冊表編輯器中定位到HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows，修改右邊「run」的內容，將「%Windows%\smss.exe」刪除，改為空（Windows NT/2000/XP/2003）。

編輯SYSTEM.INI文件中Shell = Explorer.exe %Windows%\lsass.exe為Shell = Explorer.exe（Windows 9x）；
在註冊表編輯器中定位到「HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon」，編輯右邊「Shell」的內容，將「Explorer.exe %Windows%\lsass.exe」修改為「Explorer.exe」（Windows NT/2000/XP/2003）。

恢復被修改的起始頁信息：
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page，建議設置為「about:blank」

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page，建議設置為「about:blank」

第十五種：打開http://mm5i.com網站的QQ病毒刪除方法

在安全模式下刪除以下文件：
%Windows%\csrss.exe（透明圖標）
%System%\001.exe
%System%\444.reg
%System%\chk.exe
%System%\chk20.exe
%System%\HMRes.dll
%System%\huanyuan.exe
%System%\pj.exe
%System%\pojie.exe
%System%\SimCom.dll
%System%\winpass.exe（透明圖標）
%System%\Ws2help32.dll
%System%\YZDLL32.DLL
%System%\huangjiaju.exe（0位元組）

刪除%Windows%\csrss.exe的四個啟動項，分別在：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]

恢復被修改的Start Page（yyue.net）設置：
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main
"Start Page" = "about:blank"

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
"Start Page" = "about:blank"

第十六種：http://***www.sou99.com 和 http://www.qq46.com/home?:
刪除註冊表中這幾個：
HKLM\software\microsoft\windows\currentVersion\run: csrss = "%windir%\csrss.exe"
HKCU\software\microsoft\windows\currentVersion\run: csrss = "%windir%\csrss.exe"
HKLM\software\microsoft\windows\CurrentVersion\Runservices: csrss = "%windir%\csrss.exe"
HKCU\software\Microsoft\Windows\CurrentVersion\Runservices: csrss = "%windir%\csrss.exe"
然後重新啟動計算機，刪除%windir%下的csrss.exe即可。

第十七種：http://www.vmqq.com：

在安全模式下刪除以下文件：
%System%\Service.exe
%System%\slime.exe
%System%\slserve.exe
%System%\SP00LSV.DLL（注意是數字0不是字母o）
%System%\SP00LSV.EXE（注意是數字0不是字母o）
%System%\system32.exe
刪除它們的啟動項及NTdhcp.exe的啟動項即可。

第十八種：QQ大盜
癥狀
「QQ大盜」病毒可以利用IE瀏覽器mht漏洞，通過利用該漏洞編寫的惡意網頁代碼，自動下載一個網上的chm文件， 「QQ大盜」病毒即內嵌其中並開始自動運行。
1、 該木馬程序運行后，將在系統文件夾生成：%SystemDir%\NTdhcp.exe，28400位元組。
並添加註冊表項：
[HKEY_LOCALMACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
「NTdhcp」 = %SystemDir%\NTdhcp.exe
這樣，在Windows啟動時，木馬得以自動運行。
2、 「QQ大盜」病毒（Trojan/PSW.QQpass.br）的盜取目標是用戶的QQ號、密碼和詳細的QQ資料信息。
清除:
首先運行任務管理器，查找並結束掉NTdhcp.exe進程
按照病毒文件所在位置System\NTdhcp.exe找到系統目錄下的病毒文件，手工刪除，。運行REGEDIT註冊表編輯器，定位到
[HKEY_LOCALMACHINE\Software\Microsoft\Windows\CurrentVersion\Run]，將RUN下面的鍵值「NTdhcp」 = %SystemDir%\NTdhcp.exe刪除。

第十九種：http://www.19ku.com：
在安全模式下刪除
%System32%\notepad
%System%\notepad
%System%\taskmgr.exe
%windows%\notepad

刪除%System%\taskmgr.exe時注意:打開任務管理器，結束進程里的兩個taskmgr.exe之中的上面的一個，再去刪除taskmgr.exe，OK！！！

不能把systern32文件夾里的taskmgr.exe刪除，那可是真的任務管理器程序。再，記住病毒發生的時間非常重要

本人這貼子為嘔心瀝血的努力結果，是否可以申請加精？ 閱貼的同志請發表下意見。

好帖  應該加精!!!  支持!