本文目录一览：
史上最NB的木马病毒？
NB的木马是特洛伊 这木马中奖率非常高
一般中毒都会有它的变种名字
世界上最凶的木马病毒,叫什么名?
您好：
现在没有所谓的最凶悍的木马病毒了，因为现在的电脑安全软件的杀毒防毒能力都很强大了，所以就不存在那些所谓凶悍的木马病毒了，然后建议您使用腾讯电脑管家保护您的电脑安全吧，腾讯电脑管家的杀毒防毒能力强，而且占用系统、内存资源少，还有垃圾清理、电脑加速、软件管理等辅助功能的哦，您可以点击这里下载最新版的腾讯电脑管家：腾讯电脑管家下载
腾讯电脑管家企业平台：
史上最厉害的电脑病毒是什么？
史上最强病毒感染千万电脑 传愚人节集中爆发 腾讯科技 文/乐天 腾讯科技讯 4月1日消息，近日，国内外多家安全机构发出“Conficker蠕虫将在愚人节发动攻击”的预警，引发了国内很多网民的担忧，甚至有网民表示将用“不上网”来应对今天可能的网络攻击。 据悉，从上周起，360安全中心、冠群金辰、趋势科技、以及赛门铁克等国内外安全厂商先后发布预警称，黑客将在愚人节发动一次“史上最强网络攻击”，包括雅虎、迪斯尼、Facebook、Youtube等国际知名网站以及百度、开心网等国内网站都可能受影响。这一事件立即引起了社会各界的关注。 Conficker蠕虫也被称为“史上最强病毒”，最早于去年11月20日被发现，迄今已出现了A、B、C三个版本，目前全球已有超过1500万台电脑受到感染。 Conficker主要利用Windows操作系统MS08-067漏洞来传播，同时也能借助任何有USB接口的硬件设备来感染。安全人员在Conficker.C变种的反汇编代码中，发现了攻击全球上百家大网站的设置，并认为黑客很可能会采用向这些网站发送数据包的DDOS攻击方式发动网络攻击。由于该蠕虫曾一度让法国海军飞机停飞，近日还深度感染了英国议会的网络系统，因而很快受到公众关注。 不过，由于Conficker在此前四个多月内一直“按兵不动”，从未对中招电脑实施任何破坏行为，因而显得非常神秘。所以，赛门铁克安全响应中心研究人员虽然同样证实了Conficker.C中威胁代码的存在，但并不确信4月1日究竟会发生什么。研究人员甚至猜测“这或许又是一次千年虫事件”。 冠群金辰公司预警称，从4月1日起，Conficker.C蠕虫病毒每天将试图访问上万个内置的URL，向全球的网络发起大规模攻击。美国电脑安全公司F-Secure也预测，Conficker将从本周三开始，每天入侵5万个网站，以更好地隐藏发源地。 而趋势科技（Trend Micro）向用户紧急发布的预警邮件称，该蠕虫将在愚人节当天自我修改程序，并一次产生五万个恶意软件网址，试图在同一时间内随机连接其中500个恶意网站下载木马病毒，以此改变通过“肉鸡”扩大其“僵尸”网络(Botnet )家族，以进行下一波的网络攻击。 国际网络安全研究机构MTC分析报告指出，Conficker蠕虫已渗透进全球各政府网站、军事网络、个人电脑、重要的基础架构、各种小网络以及大学中，中招电脑所占据的IP地址共计10512451个，其中包括1022062个局域网IP。Conficker蠕虫作者控制的“僵尸”电脑至少在1500万台以上——这个“僵尸”网络不仅可以作为网络诈骗和盗窃的长期获利平台，还可以作为信息战的超级武器，甚至能使整个民用互联网络瘫痪。也正因为如此，微软今年2月，悬赏25万美元来缉拿Conflicker幕后作者。 “我们之所以说这次蠕虫攻击可能是史上最强的黑客攻击，原因在于它目前控制的僵尸电脑数量非常庞大，达到上千万台。” 安全专家石晓虹博士表示，2002年曾有黑客使用百万级的蠕虫发动DDOS攻击位于美国的DNS根服务器，就造成了Google、IBM等网站瘫痪。“如果这次上千万台电脑一起被用来攻击，那基本上没有哪个网站能防得住。” 目前流传着Conficker出自乌克兰、俄罗斯、东欧、中国等各地黑客的不同说法，石晓虹认为，Conficker作者的身份仍存在很大争议，网络安全研究人员也只是通过样本反汇编代码片段进行猜测而已，即便黑客启动大规模网络攻击，由于其采用了P2P技术，外界也很难定位到真正的控制服务器。 据悉，Conficker主要利用Windows操作系统MS08-067漏洞来传播，同时也能借助任何有USB接口的硬件设备来感染。“因此，现在最重要的是，广大网民要及时修复自己电脑系统的漏洞，不要成为被黑客恶意利用的工具和帮凶，而各互联网站也要做好随时应对攻击挑战的准备。”石晓虹博士最后说。 附： 1、蠕虫病毒有哪些危害？ 答：一般说来，电脑感染了蠕虫病毒后，会慢得跟蠕虫那样，可能被作为僵尸电脑，向外发送大量垃圾邮件或对其它网络计算机发送攻击。还有些蠕虫会在入侵用户电脑后，下载一些盗号木马，来窃取用户的网游、网银和个人隐私信息。 2004年“震荡波”蠕虫爆发时，侵袭了世界各地的银行、邮政、交通等部门电脑系统，让中招电脑不断崩溃、重启，造成德尔塔航空公司约40个航班被迫取消或延误，澳大利亚成千上万的旅客滞留看台，无数工作人员重回纸质办公。 但Conficker非常奇怪，因为到目前为止，它除了让用户网速变得有些慢之外，还没有实施任何危害性操作。但这并不等于Conficker不会作恶，而这完全取决于Conficker幕后的控制者下一步如何动作。 2、普通网民和企业用户应该如何防范？ 答：普通用户应强化网络安全意识，及时用360安全卫士这样的专业安全工具为电脑打补丁，修复系统漏洞，就能避免受到Conficker蠕虫的入侵，从而不会成为他们攻击别人网络的帮凶。 企业用户的局域网更是Conficker容易传播的场所，往往一台电脑‘中招’就会导致整个局域网出现大面积感染，企业员工除了用360尽快为电脑修复漏洞补丁外，建议用户在使用U盘前应尽量开启具有U盘防火墙功能的安全软件。从数据来看，在2亿360用户中只有极少数用户感染了Conficker蠕虫，这说明及时给用户电脑打补丁的做法，有助于防治此类蠕虫病毒的大规模爆发。(文/乐天)
世界最强的十大电脑病毒是什么
一、ANI病毒 病毒名称：Exploit.ANIfile 病毒中文名：ANI病毒 病毒类型：蠕虫 危险级别：★★ 影响平台：Windows 2000/XP/2003/Vista 描述： 以Exploit.ANIfile.b为例，“ANI毒”变种b是一个利用微软Windows系统ANI文件处理漏洞(MS07-017)进行传播的网络蠕虫。“ANI毒”变种b运行后，自我复制到系统目录下。修改注册表，实现开机自启动。感染正常的可执行文件和本地网页文件，并下载大量木马程序。感染本地磁盘和网络共享目录下的多种类型的网页文件（包括*.HTML，*.ASPX，*.HTM，*.PHP，*.JSP，*.ASP），植入利用ANI文件处理漏洞的恶意代码。自我复制到各逻辑盘根目录下，并创建autorun.inf自动播放配置文件。双击盘符即可激活病毒，造成再次感染。修改hosts文件，屏蔽多个网址，这些网址大多是以前用来传播其它病毒的站点。另外，“ANI毒”变种b还可以利用自带的SMTP引擎通过电子邮件进行传播。 二、U盘寄生虫 病毒名称：Checker/Autorun 病毒中文名：U盘寄生虫 病毒类型：蠕虫 危险级别：★★ 影响平台：Win 9X/ME/NT/2000/XP/2003 描述：Checker/Autorun“U盘寄生虫”是一个利用U盘等移动设备进行传播的蠕虫。“U盘寄生虫”是针对autorun.inf这样的自动播放文件的蠕虫病毒。autorun.inf文件一般存在于U盘、MP3、移动硬盘和硬盘各个分区的根目录下，当用户双击U盘等设备的时候，该文件就会利用Windows系统的自动播放功能优先运行autorun.inf文件，而该文件就会立即执行所要加载的病毒程序，从而破坏用户计算机，使用户计算机遭受损失。 三、熊猫烧香 病毒名称：Worm/Viking 病毒中文名：熊猫烧香 病毒类型：蠕虫 危险级别：★★★ 影响平台：Win 9X/ME/NT/2000/XP/2003 描述：以Worm/Viking.qo.Html“威金”变种qo（熊猫烧香脚本病毒）为例，该病毒是由“熊猫烧香”蠕虫病毒感染之后的带毒网页，该网页会被“熊猫烧香”蠕虫病毒注入一个iframe框架，框架内包含恶意网址引用 ，这样，当用户打开该网页之后，如果IE浏览器没有打上补丁，IE就会自动下载并且执行恶意网址中的病毒体，此时用户电脑就会成为一个新的病毒传播源，进而感染局域网中的其他用户计算机。 四、“ARP”类病毒 病毒名称：“ARP”类病毒 病毒中文名：“ARP”类病毒 病毒类型：木马 危险级别：★★★ 影响平台：Win 9X/ME/NT/2000/XP/2003 描述：通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞或者实现“man in the middle” 进行ARP重定向和嗅探攻击。 用伪造源MAC地址发送ARP响应包，对ARP高速缓存机制的攻击。当局域网内某台主机运行ARP欺骗的木马程序时，会欺骗局域网内所有主机和路由器，让所有上网的流量必须经过病毒主机。其他用户原来直接通过路由器上网现在转由通过病毒主机上网，切换的时候用户会断一次线。切换到病毒主机上网后，如果用户已经登陆了传奇服务器，那么病毒主机就会经常伪造断线的假像，那么用户就得重新登录传奇服务器，这样病毒主机就可以盗号了。 五、代理木马 病毒名称：Trojan/Agent 病毒中文名：代理木马 病毒类型：广告程序 危险级别：★★ 影响平台：Win 9X/ME/NT/2000/XP/2003 描述：以“代理木马”变种crd为例， Trojan/Agent.crd是一个盗取用户机密信息的木马程序。“代理木马”变种crd运行后，自我复制到系统目录下，文件名随机生成。修改注册表，实现开机自启。从指定站点下载其它木马，侦听黑客指令，盗取用户机密信息。 六、网游大盗 病毒名称：Trojan/PSW.GamePass 病毒中文名：网游大盗 病毒类型：木马 危险级别：★ 影响平台：Win 9X/ME/NT/2000/XP/2003 描述：以Trojan/PSW.GamePass.hvs为例，“网游大盗”变种hvs是一个木马程序，专门盗取网络游戏玩家的帐号、密码、装备等。 七、鞋匠 病毒名称：Adware/Clicker 病毒中文名：鞋匠 病毒类型：广告程序 危险级别：★ 影响平台：Win 9X/ME/NT/2000/XP/2003 描述：以Adware/Clicker.je为例，“鞋匠”变种je是一个广告程序，可弹出大量广告信息，并在被感染计算机上下载其它病毒。“鞋匠”变种je运行后，在Windows目录下创建病毒文件。修改注册表，实现开机自启。自我注册为服务，服务的名称随机生成。侦听黑客指令，连接指定站点，弹出大量广告条幅，用户一旦点击带毒广告，立即在用户计算机上安装其它病毒。 八、广告泡泡 病毒名称：Adware/Boran 病毒中文名：广告泡泡 病毒类型：广告程序 危险级别：★★ 影响平台：Win 9X/ME/NT/2000/XP/2003 描述：以 Adware/Boran.e为例，“广告泡泡”变种e是一个广告程序，采用RootKit等底层技术编写，一旦安装，很难卸载彻底。该程序会在C:\Program Files\MMSAssist下释放出病毒文件。在后台定时弹出广告窗口，占用系统资源，干扰用户操作。 九、埃德罗 病毒名称：TrojanDownloader 病毒中文名：埃德罗 病毒类型：广告程序 危险级别：★ 影响平台：Win 2000/XP/2003 描述： Adware/Adload.ad“埃德罗”变种ad是一个广告程序，在被感染计算机上强制安装广告。 十、IstBar脚本 病毒名称：TrojanDownloader.JS.IstBar 病毒中文名：IstBar脚本 病毒类型：木马下载器 危险级别：★★ 影响平台：Win 9X/ME/NT/2000/XP/2003 描述：TrojanDownloader.JS.IstBar.t“IstBar脚本”变种t是一个用JavaScript语言编写的木马下载器。“IstBar脚本”变种t运行后，在用户的计算机中强行安装IstBar工具条，造成用户系统变慢，自动弹出广告，强行锁定用户的IE首页等等。 2007年上半年，江民反病毒中心共截获新病毒73972种，另据江民病毒预警中心监测的数据显示，1至6月全国共有14081895台计算机感染了病毒，其中感染木马病毒电脑9489649台，占病毒感染电脑总数的 67.38%，感染广告程序电脑1859165台，占病毒感染电脑总数的13.20%，感染后门程序电脑928294台，占病毒感染电脑总数的6.59%，蠕虫病毒782380台，占病毒感染电脑总数的5.55%，监测发现漏洞攻击代码感染359772台，占病毒感染电脑总数的2.55%，脚本病毒感42346台，占病毒感染电脑总数的0.30%。 二、病毒疫情区域特征明显 鲁、苏、粤居前三 据江民病毒预警中心提供的数据显示，2007年病毒疫情比较严重的地区排前十位的分别是：山东、江苏、广东、北京、四川、河南、湖南、辽宁、上海和浙江。 历来山东、江苏、广东都是病毒疫情比较严重的地区，在上半年的地区疫情排行榜中，这三个省市更是名列前三甲。其中，山东省以988354个染毒数量高居榜首。去年的冠军广东省退居第三位。 三、U盘成病毒传播主要途径 由于U盘本身不会防毒，病毒很容易就会感染U盘，而当U盘插入电脑时还会自动播放，病毒就会即刻被自动运行。加之U盘的广泛应用也为病毒的传播提供了温床，由于众多电脑用户通过接入U盘进行电脑数据互换时，没有先进行病毒扫描的习惯，病毒开始瞄准了这一空档藏身其中，“U盘寄生虫”病毒一出现就以高感染率常居病毒榜前三甲。 国内首例通过U盘传播的病毒出现在2003年。当年8月3日，江民科技反病毒中心宣布成功截获首例通过U盘传播的“不公平”(Worm/Unfair)病毒。“不公平”病毒是某大学学生为了抗议在学校实习报名过程中遭到的不公正待遇而编写，病毒运行后强行向A盘或U盘写入病毒体，与读写软盘发出声响不同，病毒写入U盘时悄无声息，悄悄潜伏，危害更大。U盘病毒的进一步传播从2006年上半年开始，由于其时U盘已经广泛应用，大部分电脑用户通过U盘进行数据互换，多数人在U盘插入电脑前没有进行病毒扫描，造成了U盘病毒的蔓延。进入2007年，“熊猫烧香”等重大病毒纷纷把U盘作为主要传播途径，越来越多的电脑用户因为不当使用U盘感染病毒，2007年U盘等移动存储设备已经成为计算机病毒传播的主要途径之一。 四、“ARP”类病毒未来发展新趋势 在局域网中， ARP协议对网络安全具有重要的意义，通过ARP协议来完成IP地址转换为MAC地址。这种病毒可通过伪造IP地址和MAC地址实现ARP欺骗，用伪造源MAC地址发送ARP响应包，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，就会造成网络中断或中间人攻击。 同时如果网页带毒，就会通过微软的MS06-14和MS07-17两个系统漏洞给电脑植入一个木马下载器，而该木马下载器会下载10多个恶性网游木马，可以盗取包括魔兽世界、传奇世界、征途、梦幻西游、边锋游戏等在内的多款网络游戏帐号及密码，给网络游戏玩家造成了极大的损失。 目前，“ARP”欺骗技术正在被越来越多的病毒所使用，成为局域网安全的新杀手。
历史上最厉害的木马病毒有哪些
一、网络公牛。 网络公牛又名Netbull，是国产木马，默认连接端口23444，最新版本V1.1。服务端程序newserver.exe运行后，会自动脱壳成checkdll.exe，位于C:\WINDOWS\SYSTEM下，下次开机checkdll.exe将自动运行，因此很隐蔽，危害很大。同时，服务端运行后会自动捆绑以下文件: win9x下：捆绑notepad.exe；write.exe，regedit.exe，winmine.exe，winhelp.exe。 winnt/2000下：（在2000下会出现文件改动报警，但也不能阻止以下文件的捆绑）notepad.exe，regedit.exe，reged32.exe，drwtsn32.exe；winmine.exe。 服务端运行后还会捆绑开机时自动运行的第三方软件（如：realplay.exe、QQ、ICQ等）。在注册表中网络公牛也悄悄地扎下了根，如下： [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] "CheckDll.exe"="C:\WINDOWS\SYSTEM\CheckDll.exe" [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices] "CheckDll.exe"="C:\WINDOWS\SYSTEM\CheckDll.exe" [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CheckDll.exe"="C:\WINDOWS\SYSTEM\CheckDll.exe" 在我看来，网络公牛是最讨厌的了。它没有采用文件关联功能，采用的是文件捆绑功能，和上面所列出的文件捆绑在一块，要清除非常困难！你可能要问：那么其它木马为什么不用这个功能？哈哈，其实采用捆绑方式的木马还有很多，并且这样做也有个缺点：容易暴露自己！只要是稍微有经验的用户，就会发现文件长度发生了变化，从而怀疑自己中了木马。 清除方法： 1、删除网络公牛的自启动程序C:\WINDOWS\SYSTEM\CheckDll.exe。 2、把网络公牛在注册表中所建立的键值全部删除（上面所列出的那些键值全部删除）。 3、检查上面列出的文件，如果发现文件长度发生变化（大约增加了40K左右，可以通过与其它机子上的正常文件比较而知），就删除它们！然后点击“开始－附件－系统工具－系统信息－工具－系统文件检查器”，在弹出的对话框中选中“从安装软盘提取一个文件(E)”，在框中填入要提取的文件(前面你删除的文件)，点“确定”按钮，然后按屏幕提示将这些文件恢复即可。如果是开机时自动运行的第三方软件如：realplay.exe、QQ、ICQ等被捆绑上了，那就得把这些文件删除，再重新安装。 二、网络神偷（Nethief） 网络神偷又名Nethief，是第一个反弹端口型木马！ 什么叫“反弹端口”型木马呢？作者经过分析防火墙的特性后发现：大多数的防火墙对于由外面连入本机的连接往往会进行非常严格的过滤，但是对于由本机连出的连接却疏于防范（当然也有的防火墙两方面都很严格）。于是，与一般的木马相反，反弹端口型木马的服务端（被控制端）使用主动端口，客户端（控制端）使用被动端口，当要建立连接时，由客户端通过FTP主页空间告诉服务端：“现在开始连接我吧！”，并进入监听状态，服务端收到通知后，就会开始连接客户端。为了隐蔽起见，客户端的监听端口一般开在80，这样，即使用户使用端口扫描软件检查自己的端口，发现的也是类似“TCP 服务端的IP地址：1026 客户端的IP地址：80 ESTABLISHED”的情况，稍微疏忽一点你就会以为是自己在浏览网页。防火墙也会如此认为，我想大概没有哪个防火墙会不给用户向外连接80端口吧， 嘿嘿。最新线报：目前国内木马高手正在大规模试验（使用）该木马，网络神偷已经开始流行！中木马者也日益增多，大家要小心哦！ 清除方法： 1、网络神偷会在注册表 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下建立键值“internet”，其值为"internet.exe /s"，将键值删除。 2、删除其自启动程序C:\WINDOWS\SYSTEM\INTERNET.EXE。 OK，神偷完蛋了！ 三、WAY2.4（火凤凰、无赖小子） WAY2.4又称火凤凰、无赖小子，是国产木马程序，默认连接端口是8011。众多木马高手在介绍这个木马时都对其强大的注册表操控功能赞不绝口，也正因为如此它对我们的威胁就更大了。从我的试验情况来看，WAY2.4的注册表操作的确有特色，对受控端注册表的读写，就和本地注册表读写一样方便！这一点可比大家熟悉的冰河强多了，冰河的注册表操作没有这么直观--每次我都得一个字符、一个字符的敲击出来，WAY2.4在注册表操控方面可以说是木马老大。 WAY2.4服务端被运行后在C:\windows\system下生成msgsvc.exe文件，图标是文本文件的图标，文件大小235,008字节，文件修改时间1998年5月30日，看来它想冒充系统文件msgsvc32.exe。同时，WAY2.4在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下建立串值Msgtask，其键值为C:\WINDOWS\SYSTEM\msgsvc.exe。此时如果用进程管理工具查看，你会发现进程C:\windows\system\msgsvc.exe赫然在列！ 清除方法： 要清除WAY，只要删除它在注册表中的键值，再删除C:\windows\system下的msgsvc.exe这个文件就可以了。要注意在Windows下直接删除msgsvc.exe是删不掉的，此时你可以用进程管理工具终止它的进程，然后再删除它。或者到Dos下删除msgsvc.exe也可。如果服务端已经和可执行文件捆绑在一起了，那就只有将那个可执行文件也删除了！ 注意：在删除前请做好备份。 四、冰河 冰河可以说是最有名的木马了，就连刚接触电脑的用户也听说过它。虽然许多杀毒软件可以查杀它，但国内仍有几十万中冰河的电脑存在！作为木马，冰河创造了最多人使用、最多人中弹的奇迹！现在网上又出现了许多的冰河变种程序，我们这里介绍的是其标准版，掌握了如何清除标准版，再来对付变种冰河就很容易了。 冰河的服务器端程序为G-server.exe，客户端程序为G-client.exe，默认连接端口为7626。一旦运行G-server，那么该程序就在C:\Windows\system目录下生成Kernel32.exe和sysexplr.exe，并删除自身。Kernel32.exe在系统启动时自动加载，sysexplr.exe和TXT文件关联。即使你删除Kernel32.exe，但只要你打开TXT文件，sysexplr.exe就会被激活，它将再次生成Kernel32.exe，于是冰河又回来了！这就是冰河屡删不止的原因。 清除方法： 1、删除C:\Windows\system下的Kernel32.exe和Sysexplr.exe文件。 2、冰河在注册表HKEY_LOCAL_MACHINE\software\microsoft\windows\ CurrentVersion\Run下扎根，键值为C:\windows\system\Kernel32.exe，删除它。 3、在注册表HKEY_LOCAL_MACHINE\software\microsoft\windows\CurrentVersion\Runservices下还有键值为C:\windows\system\Kernel32.exe的，也要删除。 4、最后，改注册表HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默认值，由中木马后的C:\windows\system\Sysexplr.exe %1改为正常情况下的C:\windows\notepad.exe %1，即可恢复TXT文件关联功能。 五、广外女生 广外女生是广东外语外贸大学“广外女生”网络小组的处女作，是一种新出现的远程监控工具，破坏性很大，远程上传、下载、删除文件、修改注册表等自然不在话下。其可怕之处在于广外女生服务端被执行后，会自动检查进程中是否含有“金山毒霸”、“防火墙”、“iparmor”、“tcmonitor”、“实时监控”、“lockdown”、“kill”、“天网”等字样，如果发现就将该进程终止，也就是说使防火墙完全失去作用！ 该木马程序运行后，将会在系统的SYSTEM目录下生成一份自己的拷贝，名称为DIAGCFG.EXE，并关联.EXE文件的打开方式，如果贸然删掉了该文件，将会导致系统所有.EXE文件无法打开的问题。 清除方法： 1、由于该木马程序运行时无法删除该文件，因此启动到纯DOS模式下，找到System目录下的DIAGFG.EXE，删除它。 2、由于DIAGCFG.EXE文件已经被删除了，因此在Windows环境下任何.exe文件都将无法运行。我们找到Windows目录中的注册表编辑器“Regedit.exe”，将它改名为“Regedit.com”。 3、回到Windows模式下，运行Windows目录下的Regedit.com程序（就是我们刚才改名的文件）。 4、找到HKEY_CLASSES_ROOT\exefile\shell\open\command，将其默认键值改成"%1" %*。 5、找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunServices，删除其中名称为“Diagnostic Configuration”的键值。 6、关掉注册表编辑器，回到Windows目录，将“Regedit.com”改回“Regedit.exe”。 7、完成。 六、聪明基因 聪明基因也是国产木马，默认连接端口7511。服务端文件genueserver.exe，用的是HTM文件图标，如果你的系统设置为不显示文件扩展名，那么你就会以为这是个HTM文件，很容易上当哦。客户端文件genueclient.exe 。如果不小心运行了服务端文件genueserver.exe，它会装模作样的启动IE，让你进一步以为这是一个HTM文件，并且还在运行之后生成GENUESERVER.htm文件，还是用来迷惑你的！怎么样，是不是无所不用其极？ 哈哈，木马就是如此，骗你没商量！聪明基因是文件关联木马，服务端运行后会生成三个文件，分别是：C:\WINDOWS\MBBManager.exe和Explore32.exe以及C:\WINDOWS\system\editor.exe，这三个文件用的都是HTM文件图标，如果不注意，还真会以为它们是HTM文件呢！ Explore32.exe用来和HLP文件关联，MBBManager.exe用来在启动时加载运行，editor.exe用来和TXT文件关联，如果你发现并删除了MBBManager.exe，并不会真正清除了它。一旦你打开HLP文件或文本文件，Explore32.exe和editor.exe就被激活！它再次生成守护进程MBBManager.exe！想清除我？没那么容易！ 聪明基因最可怕之处是其永久隐藏远程主机驱动器的功能，如果控制端选择了这个功能，那么受控端可就惨了，想找回驱动器？嘿嘿，没那么容易！ 清除方法： 1.删除文件。删除C:\WINDOWS下的MBBManager.exe和Explore32.exe，再删除C:\WINDOWS\system下的editor.exe文件。如果服务端已经运行，那么就得用进程管理软件终止MBBManager.exe这个进程，然后在windows下将它删除。也可到纯DOS下删除MBBManager.exe，editor.exe在windows下可直接删除。 2.删除自启动文件。展开注册表到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下，删除键值“MainBroad BackManager”，其值为C:\WINDOWS\MBBManager.exe，它每次在开机时就被加载运行，因此删之别手软！ 3.恢复TXT文件关联。聪明基因将注册表HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默认键值由C:\WINDOWS\NOTEPAD.EXE %1改为C:\WINDOWS\system\editor.exe %1，因此要恢复成原值。同理，到注册表的HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command下，将此时的默认键值由C:\WINDOWS\system\editor.exe %1改为C:\WINDOWS\NOTEPAD.EXE %1，这样就将TXT文件关联恢复过来了。 4.恢复HLP文件关联。聪明基因将注册表HKEY_CLASSES_ROOT\hlpfile\shell\open\command下的默认键值改为C:\WINDOWS\explore32.exe %1，因此要恢复成原值：C:\WINDOWS\WINHLP32.EXE %1。同理，到注册表的HKEY_LOCAL_MACHINE\Software\CLASSES\hlpfile\shell\open\command下，将此时的默认键值由C:\WINDOWS\explore32.exe %1改为C:\WINDOWS\WINHLP32.EXE %1，这样就将HLP文件关联恢复过来了。 好了，可以和聪明基因说“再见”了！ 七、黑洞2001 黑洞2001是国产木马程序，默认连接端口2001。黑洞的可怕之处在于它有强大的杀进程功能！也就是说控制端可以随意终止被控端的某个进程，如果这个进程是天网之类的防火墙，那么你的保护就全无了，黑客可以由此而长驱直入，在你的系统中肆意纵横。 黑洞2001服务端被执行后，会在C:\windows\system下生成两个文件，一个是S_Server.exe，S_Server.exe的是服务端的直接复制，用的是文件夹的图标，一定要小心哦，这是个可执行文件，可不是文件夹哦；另一个是windows.exe，文件大小为255,488字节，用的是未定义类型的图标。黑洞2001是典型的文件关联木马，windows.exe文件在机器开机时立刻运行，并打开默认端口2001，S_Server.exe文件用来和TXT文件打开方式连起来（即关联）！当中木马者发现自己中了木马而在DOS下把windows.exe文件删除后，服务端就暂时被关闭，即木马暂时删除，当任何文本文件被运行时，隐蔽的S_Server.exe木马文件就又被击活了，于是它再次生成windows.exe文件，即木马又被中入！ 清除方法： 1)将HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默认键值由S_SERVER.EXE %1改为C:\WINDOWS\NOTEPAD.EXE %1。 2)将HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command下的默认键值由S_SERVER.EXE %1改为C:\WINDOWS\NOTEPAD.EXE %1。 3)将HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ RunServices\下的串值windows删除。 4)将HKEY_CLASSES_ROOT和HKEY_LOCAL_MACHINE\Software\CLASSES下的Winvxd主键删除。 5)到C:\WINDOWS\SYSTEM下，删除windows.exe和S_Server.exe这两个木马文件。要注意的是如果已经中了黑洞2001，那么windows.exe这个文件在windows环境下是无法直接删除的，这时我们可以在DOS方式下将它删除，或者用进程管理软件终止windows.exe这个进程，然后再将它删除。 至此就安全的清除黑洞2001了。 八、Netspy（网络精灵） Netspy又名网络精灵，是国产木马，最新版本为3.0，默认连接端口为7306。在该版本中新添加了注册表编辑功能和浏览器监控功能，客户端现在可以不用NetMonitor，通过IE或Navigate就可以进行远程监控了！其强大之处丝毫不逊色于冰河和BO2000！服务端程序被执行后，会在C:\Windows\system目录下生成netspy.exe文件。同时在注册表HKEY_LOCAL_MACHINE\software\microsoft\windows\CurrentVersion\Run\下建立键值C:\windows\system\netspy.exe，用于在系统启动时自动加载运行。 清除方法： 1、重新启动机器并在出现Staring windows提示时，按F5键进入命令行状态。在C:\windows\system\目录下输入以下命令：del netspy.exe 回车！ 2、进入注册表HKEY_LOCAL_MACHINE\Software\microsoft\windows\CurrentVersion\ Run\，删除Netspy的键值即可安全清除Netspy。 九、SubSeven SubSeven的功能比起大名鼎鼎的BO2K可以说有过之而无不及。最新版为2.2（默认连接端口27374），服务端只有54.5k！很容易被捆绑到其它软件而不被发现！最新版的金山毒霸等杀毒软件查不到它。服务器端程序server.exe，客户端程序subseven.exe。SubSeven服务端被执行后，变化多端，每次启动的进程名都会发生变化，因此查之很难。 清除方法： 1、打开注册表Regedit，点击至：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和RunService下，如果有加载文件，就删除右边的项目：加载器="C:\windows\system\***"。注：加载器和文件名是随意改变的。 2、打开win.ini文件，检查“run=”后有没有加上某个可执行文件名，如有则删除之。 3、打开system.ini文件，检查“shell=explorer.exe”后有没有跟某个文件，如有将它删除。 4、重新启动Windows，删除相对应的木马程序，一般在C:\windows\system下，在我在本机上做实验时发现该文件名为vqpbk.exe。