开机CPU就是100%cmd.exe病毒进程清除方法

发布时间:2007-02-09 
中毒症状:      
  开机CPU就是100%,查进程,原来是cmd.exe 占用了绝大部分的CPU。关闭cmd.exe后,CPU实用率恢复正常。但是再次开机的时候,CPU又是100%,cmd.exe 依然占用了绝大部分的CPU。
  
  1.装了ewido 查杀木马,查出了几个感染目标,已删除。但是今
  天早上开机,CPU又是100%,cmd.exe 依然占用了绝大部分的CPU。
  
  2.再装“木马清除专家2006”,查杀,结果没有发现木马。
  
  3.查system 32 中的 CMD.EXE 大小,结果如下:
  CMD.EXE 大小:459 KB (470,016 字节) 
  占用空间:460 KB (471,040 字节) 
  
  应该没有异常。
字串3 
解决方法: 字串7 
如果出现这种情况,很不幸,你99%是中了木马了。不过不妨继续验证一下,假定你的windows安装盘位于C:\,并且需要你在文件查看选项中打开查看隐藏文件的选项和显示所有文件扩展名的选项,则 
查看你的c:\Program Files\Internet Explorer\PLUGINS\目录,应该会发现有new123.bak和new123.sys两个文件; 
查看你的C:\Documents and Settings\Administrator\Local Settings\Temp\目录,应该会发现有MicroSoft.bat这个文件;你可以用记事本打开MicroSoft.bat文件,发现其中提到一个exe文件(具体名称会有不同),你也会在该目录下发现这个exe文件; 
如果以上两步你并未发现相应文件,请将你的文件查看改为不隐藏已知文件后缀,并在系统盘内进行文件搜索,确认是否的确没有相关的文件。 
木马描述
该木马主要是因为用户安装了嵌入木马程序的安装程序所致,这些安装程序极有可能是你在一些不知名的下载网站上下载的一些应用程序(比如qq的一些版本等)。该木马利用安装程序在没有提醒用户的情况下在IE的插件中安装了实为木马的IE插件。使得一般的杀毒和杀马程序无法识别。并且当你运行一些需要调用IE的一些程序时自动调用该木马插件,所以才出现“症状描述”中所描述的情况。  字串3 
该木马的母体就是new123.sys,属于Trojan-PSW.Win32.Delf.mc,可能会偷取你的一些应用的帐号和密码。 
木马清除
该木马可以很方便的手工清除,过程如下: 
打开“任务管理器”,在“进程”中结束cmd.exe的运行,此时CPU占用率会明显下降; 
进入C:\Documents and Settings\Administrator\Local Settings\Temp\目录,删除MicroSoft.bat这个文件中所提到的exe文件和该bat文件;(这一步不做也没有问题,但最好清除掉) 
进入c:\Program Files\Internet Explorer\PLUGINS\目录,删除new123.bak文件,但此时你无法删除new123.sys文件,因为系统正在使用,你有两种方式处理new123.sys文件: 
重启机器并进入安全模式对new123.sys进行删除; 
当前状态虽无法删除该文件,但可更改new123.sys的文件名为new123.sysdel,并且重启机器(无需进入安全模式)后,再把new123.sysdel进行删除。 
处理完后,如果“症状描述”中的情况消失,则说明清除成功。 字串7 
XP系统里并没有cmd.exe的进程,cmd.exe是XP系统的命令提示符程序,可以执行一些在DOS下执行的应用程序,但是并不会随系统启动时运行,这有可能是个木马或者其他病毒程序,建议查杀 
1、如果安装文件就在硬盘上,而且系统是从硬盘的安装目录装的,那先将这个安装目录改个名字 
2、删除c:\winnt\system32\dllcache\cmd.exe, 
3、然后再删除system32\cmd.exe 
4、系统会提示说系统文件丢失要求插入光盘,忽略就行了

(0)

相关推荐

  • 开机CPU就是100%cmd.exe病毒进程清除方法

    发布时间:2007-02-09  中毒症状:      开机CPU就是100%,查进程,原来是cmd.exe 占用了绝大部分的CPU.关闭cmd.exe后,CPU实用率恢复正常.但是再次开机的时候,CPU又是100%,cmd.exe 依然占用了绝大部分的CPU. 1.装了ewido 查杀木马,查出了几个感染目标,已删除.但是今 天早上开机,CPU又是100%,cmd.exe 依然占用了绝大部分的CPU. 2.再装"木马清除专家2006",查杀,结果没有发现木马. 3.查system 3

  • conime.exe是什么附conime.exe病毒的清除方法

    非常郁闷的事情,最近conime.exe好像又红火起来了,早在2005年就有很多人问conime.exe是什么进程,是病毒吗? 1.conime.exe不一定是病毒,conime.exe是输入法编辑器,允许用户使用标准键盘就能输入复杂的字符与符号.但也不排除是bfghost1.0远程控制后门程序(伪装成conime.exe输入法进程).此程序允许攻击者访问你的计算机,窃取密码和个人数据.建议立即删除此进程. 2.这里我们介绍下正常conime.exe进程的进程信息: 出品者: 微软 属于: Mi

  • microsoft.exe病毒与清除方法

    最近用超级兔子检测出可疑程序microsoft.exe,位于C:\WINDOWS\system32下,在进程里关了 后又出现在进程里,在安全模式下删了后,重起又有了!~~请问这个是病毒吗?microsoft - microsoft.exe - 进程信息  进程文件: microsoft 或者 microsoft.exe  进程名称: GAOBOT Virus www.sstorm.cn我们的永久域名! 进程名称: microsoft.exe是高波GAOBOT病毒相关程序.该病毒利用Windows

  • 发现ravmsmon.exe病毒的清除方法

    具体问题具体分析,非本问题的提问者参照时请对比清除. 进入安全模式下操作(重启系统长按F8直到出现提示,然后选择进入安全模式): 解决思路参考: 1.删除以下文件 可借助powerRMV 或者 Xdelbox C:\Program Files\NetMeeting\ravmsmon.exe C:\Program Files\common Files\Microsoft Shared\MSINFO\System6.ins C:\Program Files\Internet Explorer\PLU

  • 最简单的rundll2000.exe病毒完美解决方法

    关于rundll2000.exe,也不知道是一个什么的病毒.在电脑里也没发现其他怪象,也没有不正常,就是心里看着有点不舒服.机子是我们的...可不想有不速之客来寄居  rundll2000.exe病毒手动清除 重启电脑,进入安全模式(电脑启动时按F8键) 删除以下文件: C:\Program Files\Internet Explorer\PLUGINS\SystemKb.sys C:\Program Files\Common Files\Microsoft Shared\MSINFO\NewI

  • autorun.inf和sbl.exe之U盘病毒的清除方法

    病毒生成如下文件: Code: C:\WINDOWS\system32\1.inf C:\WINDOWS\system32\chostbl.exe C:\WINDOWS\system32\lovesbl.dll 在每个分区下面创建autorun.inf和sbl.exe,并不断检测chostbl.exe的属性是否为隐藏 注册服务AnHao_VIP_CAHW 指向C:\WINDOWS\system32\chostbl.exe,达到开机启动的目的. 启动类型:自动 显示名称:A GooD DownLo

  • 发现SoundMan.exe病毒附删除方法

    此病毒利用了替换服务等方式启动自身,利用SoundMan.exe这样比较熟悉的程序迷惑人.并具有结束杀毒软件和下载病毒的功能. 病毒释放如下文件 %SystemRoot%\system32\ineters.exe %SystemRoot%\system32\SoundMan.exe(伪SoundMan.exe,且图标与真实的SoundMan.exe相同) %SystemRoot%\system32\tthh3.ini 所有文件的数字签名均为番茄花园 如果有新的可移动存储接入 则写入auto.ex

  • 关于木马群cmdbcs.exe,wsttrs.exe,msccrt.exe,winform.exe,upxdnd.exe等的清除方法第1/2页

    关于木马群cmdbcs.exe,wsttrs.exe,msccrt.exe,winform.exe,upxdnd.exe等的清除Trojan.PSW.OnlineGames.XX相关病毒 最近很多人中了木马群cmdbcs.exe,wsttrs.exe,msccrt.exe,winform.exe,upxdnd.exe等 这个应该是通过木马下载器下载所致 这些基本上都是些盗号木马 一般sreng日志表现如下: 启动项目里 (不一定全) <wsttrs><C:\windows\wsttrs.

  • Backdoor.Win32.IRCBot.afm(video.exe)病毒的处理方法

    文件名称:video.exe 文件大小:40960 bytes AV命名:Backdoor.Win32.IRCBot.afm (Kaspersky) 加壳方式:未知 编写语言:Microsoft Visual C++ 病毒类型:IRC后门 文件MD5:c06d070c232bc6ac6346cbd282ef73ae 行为分析: 1.释放病毒副本: %Srstemroot%system32\firewall.exe    40960 字节. (文件名应该是随机的,不一定是这个). 压缩副本病毒,保

  • PSW.Win32.Magania.ffw(F3C74E3FA248.exe)病毒的清除

    1.  释放病毒文件: C:\WINDOWS\Help F3C74E3FA248.dll  143872 字节 F3C74E3FA248.exe  74532 字节 2.  添加启动项: Registrykey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks Registry value: {1DBD6574-D6D0-4782-94C3-69619E719765} Type: REG_SZ 3

随机推荐