干掉美女病毒！

u盘出现美女游戏MS-DOS和重要资料可执行文件，反病毒软件自动防护被中止，电脑日期被改为2004年1月22日!

清除方法归结为一句话：“夹缝中求生”
$`;}$gA6{.vU7C2e(f*s0IceSword.exe、SREng.exe均被禁，但只需将文件改名，照样可以运行
\ox K}3UW7oH4?+c0autoruns.exe则不在被禁的行列
^T%X)hv)rx$K0其他的被禁程序，一步步解禁 云南博客4bu%}{0WKA

sb3F?/_2r+s-tZ0具体过程： 云南博客 q9?9i5L;d~;ZV,p7P-L

]9SNC7f8`#_R0结束进程：
!}tM1Mrj0%systemroot%\system32\gfosdg.exe
4]h&xC4v0%systemroot%\system32\severe.exe
*E)\u9N^ h
K{.{1G6WK6n%t0%systemroot%\system32\drivers\conime.exe
:P5bK$m3S7lT0没有发现此病毒禁用任务管理器。也可以用其他工具如procexp等
qf I|%JLg0
(O6m9x$?8am0用autoruns删除以下项目（建议用autoruns，一是没被禁，二是一目了然，注意先选Options-Hide Microsoft Entries）：（实际上我自己用的是冰刃，改个扩展名就可以用，可以中止进程，阻止进程创建，也可以强行删掉文件，改动注册表，很不错）
;{sa]V*{0+ 360Safe.exe c:\windows\system32\drivers\mpnxyl.exe
0C R \-dh5_ v&w0+ adam.exe c:\windows\system32\drivers\mpnxyl.exe 云南博客8@R Rt"l
+ avp.com c:\windows\system32\drivers\mpnxyl.exe
:_"H1}:W N*m+|0+ avp.exe c:\windows\system32\drivers\mpnxyl.exe
6jbgn7{%R Mh`m0+ IceSword.exe c:\windows\system32\drivers\mpnxyl.exe 云南博客qCBA:_
+ iparmo.exe c:\windows\system32\drivers\mpnxyl.exe 云南博客Z6m!HNw\,Y X3y1YmQ
+ kabaload.exe c:\windows\system32\drivers\mpnxyl.exe
(?x6OI'T;h6Z0+ KRegEx.exe c:\windows\system32\drivers\mpnxyl.exe
@n2H"b(Y?N0S4B/q0+ KvDetect.exe c:\windows\system32\drivers\mpnxyl.exe
0R4\j5l&i E)l7Y A0+ KVMonXP.kxp c:\windows\system32\drivers\mpnxyl.exe 云南博客Gy-KQV9R!c0f5p!AX
+ KvXP.kxp c:\windows\system32\drivers\mpnxyl.exe 云南博客o(~+hg+UN9~0T&m9y
+ MagicSet.exe c:\windows\system32\drivers\mpnxyl.exe 云南博客D e UR(e!y-k
+ mmsk.exe c:\windows\system32\drivers\mpnxyl.exe 云南博客t]#tN,T7b&{
+ msconfig.com c:\windows\system32\drivers\mpnxyl.exe
9b-kW8}d!Q0R1S0+ msconfig.exe c:\windows\system32\drivers\mpnxyl.exe 云南博客C
g:uai*m
+ PFW.exe c:\windows\system32\drivers\mpnxyl.exe 云南博客*_2tAAt4I3a
+ PFWLiveUpdate.exe c:\windows\system32\drivers\mpnxyl.exe
~:V!VHAtq*`0+ QQDoctor.exe c:\windows\system32\drivers\mpnxyl.exe 云南博客cPGT s
+ Ras.exe c:\windows\system32\drivers\mpnxyl.exe
&M:k9[?D
{B`0+ Rav.exe c:\windows\system32\drivers\mpnxyl.exe
T*@;F.G"m0+ RavMon.exe c:\windows\system32\drivers\mpnxyl.exe 云南博客A2}q[ [zX\
+ regedit.com c:\windows\system32\drivers\mpnxyl.exe 云南博客 gd @-h y,^JX4V#u
+ regedit.exe c:\windows\system32\drivers\mpnxyl.exe
S$v;K%eSs0+ runiep.exe c:\windows\system32\drivers\mpnxyl.exe 云南博客@0L|p8}9_%G
+ SREng.EXE c:\windows\system32\drivers\mpnxyl.exe 云南博客 \VE8jH~c2w
+ TrojDie.kxp c:\windows\system32\drivers\mpnxyl.exe 云南博客#H({p,AYb^+N'T
+ WoptiClean.exe c:\windows\system32\drivers\mpnxyl.exe
N$h&qD*ms!q2K0云南博客T'ms Q!y*g+f
这样包括IceSword、SREng、注册表编辑器和系统配置实用程序在内的部分程序不再被禁止 云南博客3Q\2gSP]!bT

4v{#pMi^W)N0删除或修改启动项：
$[2^^*[OVm*q"G?2B0以用SREng为例 云南博客F'P
c2onxJu
在“启动项目”-“注册表”中删除： 云南博客 }t.E3N;Z%QwN"W6k0z5m
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"s1d:Rj'C F0<mpnxyl><C:\WINDOWS\system32\gfosdg.exe> [N/A]
5f&F0\j)~0<gfosdg><C:\WINDOWS\system32\severe.exe> [N/A] 云南博客h]4TM8PX

k0N0lV D?2y0双击以下项目，把“值”中Explorer.exe后面的内容删除 云南博客1k!mGF j"Zh U)UL
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 云南博客(_'Kk tf
<shell><Explorer.exe C:\WINDOWS\system32\drivers\conime.exe> [N/A] 云南博客V1hnTBJ$_
云南博客0XZ DJ]#| c#p
删除文件：
9DaO^*a0由于非系统盘即便右键打开也会有危险，应该采用其他方法，推荐用IceSword或WINRAR来做 云南博客6y2N2@r`6n'I,Hw
删除：
x9u9D\1u0%systemroot%\system32\gfosdg.exe 云南博客 i_;Wf _*|:[
%systemroot%\system32\gfosdg.dll 云南博客8Zb]&I|(XV;L4_
%systemroot%\system32\severe.exe 云南博客xR6d.p5OJ*~
%systemroot%\system32\drivers\mpnxyl.exe
0o\"eE)hCOJ D0%systemroot%\system32\drivers\conime.exe
R2Z$c+\-K.N DM0E0%systemroot%\system32\hx1.bat
*\#xtr qnNX0%systemroot%\system32\noruns.reg
qO0T%MR-W8C7_/F*S0X:\OSO.exe
%^7C@p8bAP A/~[0X:\autorun.inf 云南博客0~!oO#},S
云南博客-Z]{%j*F8?
系统修复与清理：
5J)S3cr$Tj?g2m,^0
g/|-V*_b&k5{*_0在注册表展开
@N'F"H$S@a0[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
;hu5PFQ7` ^~ N(Rb2U)E0建议将原CheckedValue键删除，再新建正常的键值：
X)m!i4]
p DS;ZE"a
e(Q0"CheckedValue"=dword:00000001 云南博客Jz?#?7ZR

4es^~u;?0[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 云南博客DWr ^5J%O+]
NoDriveTypeAutoRun键的值，是否要改，要改为什么，视乎各人所需，一般默认为91（十六进制的） 云南博客}q [_pF
此键的含义，请搜索网上资料，在此不再赘述 云南博客C8tCad|
云南博客SCd(Q*|}
HOSTS文件的清理 云南博客cXwKZR0c
可以用记事本打开%systemroot%\system32\drivers\etc\hosts，清除被病毒加入的内容
(N(Hlw.Z D0也可以用SREng在“系统修复”-“HOSTS文件”中点“重置”，然后点“保存” 云南博客H)u)I4GJb_N
Z'i!J

;q|$M+mGP0最后修复一下服务被破坏的杀毒软件。 云南博客5l4\X3^"afyKn

U*{:^(q9F{A0小结： 云南博客'o9Iw5Cq,LS^4|.}
从拿到样本到方法写完，历时整整五小时。之所以要说得如此详细，是因为这个病毒相当的典型，尤其是它对付安全软件的几种方法。右键菜单没变化，也是比较“隐蔽”而且给清除带来麻烦的一个特征。对付这个病毒，也要在“知己知彼”的基础上，灵活运用方法和工具。
)u/K/n)Cdw-]
pv0QQ软件园反病毒专家建议电脑用户采取以下措施预防病毒：下载金山毒霸（点击下载）进行全盘杀毒，同时注意更新自己电脑里的杀毒软件的病毒库，建立良好的安全习惯，不打开可疑邮件和可疑网站，很多病毒利用漏洞传播，一定要及时给系统打补丁！
1A,L0^
c/k5ji1{)J
i0
W:Q0LGO`BP0以上转贴，红字部分自己加的。而我自己杀的时候是先将冰刃改名（改成.com就可以运行了），然后在里面禁止创建进程，再删掉病毒进程和病毒文件，再改注册表就OK了。病毒发作时真的将系统时间改到了2004年，要改回来。另外还要全面对系统杀下毒看有没有被其它病毒附上。

在无毒的电脑下，插完，不要用双击。用右击打开，然后删除两个程序，再格式化下，完全解决。中这个确实不能格式化的，格完提示出错，然后进去后还是有病毒 云南博客B]5@$Zjfv&ws[

7S4hjx'e8k5F/n3W0电脑杀毒参考：http://zhidao.baidu.com/question/19421679.html

http://nick429.135.hezu1.com/update.htm 用这个工具可以搞定然后升级你的杀毒软件然后断开网络再全面杀一次也就OK。