網(wǎng)絡(luò)中肆無忌憚泛濫的木馬盜取網(wǎng)絡(luò)交易賬號、獲取用戶私密信息以謀取利益，普通用戶往往由于對木馬不夠了解和對安全防范麻痹大意，造成嚴(yán)重的后果。許多人都有中木馬的經(jīng)歷，那么中了木馬怎么清除，平時(shí)怎么防護(hù)，請看下面的文章。
怎么判斷中了木馬
病人：木馬危害實(shí)在太大了，那我怎么知道自己的電腦中了木馬呢？
醫(yī)生：電腦中了木馬后，有時(shí)候會有一些非常典型的癥狀，比如殺毒軟件自動關(guān)閉、電腦運(yùn)行速度變慢、經(jīng)常有一些陌生網(wǎng)頁窗口彈出、系統(tǒng)中某些程序無法運(yùn)行等；也有時(shí)候癥狀并不明顯，不過我們可以通過一些蛛絲馬跡來初步分析電腦是否中了木馬，比如查看“任務(wù)管理器”是否有不熟悉的進(jìn)程（一旦發(fā)現(xiàn)則到網(wǎng)上進(jìn)行搜索看是否是病毒程序），從系統(tǒng)文件夾、注冊表、啟動程序等查看是否有可疑的文件或項(xiàng)目。
下面我們以感染了近期比較活躍的SoundMan木馬的電腦為例來了解一下木馬的一些常見行為。
小知識：SoundMan木馬
SoundMan木馬是利用Realtek聲卡相關(guān)程序以及圖標(biāo)迷惑用戶的一款“網(wǎng)游木馬下載器”，它除了具備普通木馬能夠屏蔽顯示隱藏文件的功能外，還可以用替換服務(wù)等方式啟動自身，并具有結(jié)束殺毒軟件和在后臺下載大量網(wǎng)游木馬的功能。
1.隱藏文件已經(jīng)無法顯示
打開一個(gè)文件夾，在上方菜單中選擇“工具/文件夾選項(xiàng)”，在“查看”中勾選“顯示所有文件和文件夾”，并去掉“隱藏已知文件類型的擴(kuò)展名”前面的勾。經(jīng)過這樣的操作后，隱藏文件還是無法顯示。
提示：一旦發(fā)現(xiàn)設(shè)置了“顯示所有文件和文件夾”，而系統(tǒng)仍無法顯示隱藏文件的話，一定要引起足夠的重視，極有可能有木馬入侵。
2.查看System32文件夾
進(jìn)入System32文件夾中（假設(shè)Windows XP安裝在C盤），可以發(fā)現(xiàn)木馬創(chuàng)建了ineters.exe、SoundMan.exe、tthh3.ini這三個(gè)文件（編注：之前我們已經(jīng)對顯示隱藏文件做了處理）。
提示：木馬一般會在系統(tǒng)文件夾System32中釋放病毒文件以及相關(guān)的ini文件，如果懷疑中了木馬，注意檢查此文件夾中那些在出現(xiàn)中毒癥狀前后所創(chuàng)建的文件。
3.查看用戶賬戶
單擊“開始/設(shè)置/控制面板”，雙擊“用戶賬戶”，如果發(fā)現(xiàn)電腦中的Guest賬戶無故被激活，或是多出其它的陌生賬號，例如名為Microsoft的賬戶，也要提高警惕，這也是感染木馬的一個(gè)典型特征。
4.查看auto文件
當(dāng)系統(tǒng)中了SoundMan.exe木馬后，只要有新的可移動存儲接入，此木馬便會寫入auto.exe和autorun.inf 文件，所以我們在鼠標(biāo)右鍵菜單中發(fā)現(xiàn)有auto、autorun任何一個(gè)選項(xiàng)，或是在移動硬盤或閃存根目錄下查看發(fā)現(xiàn)auto.exe和autorun.inf 這兩個(gè)文件，則證明中毒。
提示：現(xiàn)在的木馬一般都會利用移動存儲設(shè)置的自動播放功能進(jìn)行病毒的寫入和傳播，所以如果在硬盤分區(qū)以及移動存儲設(shè)備根目錄下發(fā)現(xiàn)auto.exe和autorun.inf 這兩個(gè)文件，則電腦與移動硬盤都已經(jīng)中毒。
除了檢查上面那些地方外，我們還可以從以下幾個(gè)木馬喜歡喜歡藏身的地方來查找蛛絲馬跡。
一是從“Win.ini”文件判斷是否中毒。利用記事本打開“C:\Windows”目錄下的Win.ini文件。在文件的[windows]字段中查找啟動命令“l(fā)oad=”和“run=”后面是否跟有程序，在一般情況下“=”后面是空白的，如果在“＝”號后面跟著程序（圖2），那一般是中了木馬病毒。
二是從“System.ini”文件判斷是否中毒。利用記事本方式打開位于“C:\Windows”目錄下的“System.ini”文件，如果發(fā)現(xiàn)[boot]字段中“shell=Explorer.exe”后添加了程序，一般都是木馬服務(wù)端程序。另外，在System.ini中的[386Enh]字段，要注意檢查在此段內(nèi)的“driver=路徑\程序名”，這里也有可能被木馬所利用。在System.ini中的[mic]、[drivers]、[drivers32]這三個(gè)字段，它們起到加載驅(qū)動程序的作用，但也是添加木馬程序的好場所，所以也需要進(jìn)行檢查。
三是打開注冊表編輯器進(jìn)行查找。木馬一般會利用注冊表中的Run、RunServices、RunOnce等子項(xiàng)來加載，在“開始”/“運(yùn)行”中輸入“regedit”進(jìn)入注冊表編輯器，在以下幾個(gè)地方進(jìn)行查看。
（1）注冊表中的啟動項(xiàng)
查看“HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion”下的RunServices、RunServices Once、Run、RunOnce以及 “HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion”下的RunServices、Run、RunOnce下是否有可疑項(xiàng)目。
如果發(fā)現(xiàn)其中加載了一些陌生程序到系統(tǒng)文件夾中，那么則可能中了木馬病毒。
（2）文件關(guān)聯(lián)鍵
有些木馬還會通過修改注冊表中的某一類型文件的鍵值來加載程序。檢查“HKEY_CLASSES_ROOT\XXX（編注：這里的XXX可以是exefile、comfile、batfile、htafile、piffile）\shell\open\command”子鍵中“默認(rèn)”值：““%1” %*”；檢查“HKEY_LOCAL_MACHINE\Software\CLASSES\ XXX（編注：這里的XXX可以是exefile、comfile、batfile、htafile、piffile）\shell\open\command”子鍵中“默認(rèn)”值：““%1” %*”。
這些“%1 %*”可以被賦值，如果發(fā)現(xiàn)默認(rèn)值被修改，例如病毒木馬將其改為“muma.exe %1 %*”，則可能中毒。
橫掃網(wǎng)絡(luò)木馬
病人：我已經(jīng)中了木馬，應(yīng)當(dāng)怎么清除？
醫(yī)生：如果電腦系統(tǒng)分區(qū)中沒有重要數(shù)據(jù)，那么利用備份及一鍵恢復(fù)直接重新恢復(fù)系統(tǒng)是最簡單的方法。如果無法這樣做，可以用一些工具軟件來幫忙清理木馬。
目前很多木馬病毒，譬如本例中的SoundMan.exe能夠刪除安全軟件的啟動項(xiàng)目、劫持安全/殺毒軟件，并且連接網(wǎng)絡(luò)下載其它木馬及病毒。所以首先要做的就是刪除注冊表的啟動項(xiàng)、修復(fù)被劫持的殺毒軟件/安全軟件，然后利用殺毒軟件或?qū)⒐ぞ邅砬宄抉R。
下載SREng軟件并更改名稱運(yùn)行，首先對注冊表中的RUN鍵進(jìn)行修復(fù)，選擇“系統(tǒng)修復(fù)”選項(xiàng)中的“注冊表”選項(xiàng)卡，刪除未知的啟動項(xiàng)目，比如路徑為系統(tǒng)文件夾（C:\win dows\system32或C:\winnt\system32）中的Sound Man.exe木馬病毒程序啟動項(xiàng)（圖3）。
提示：除了“注冊表”啟動項(xiàng)外，我們最好進(jìn)入 “啟動項(xiàng)目”中的“Win.ini”、“System.ini”等選項(xiàng)中進(jìn)行查看并清除相關(guān)聯(lián)的病毒加載項(xiàng)，以免病毒死灰復(fù)燃。
然后再選擇“系統(tǒng)修復(fù)”中的“文件關(guān)聯(lián)”選項(xiàng)，勾選錯(cuò)誤的文件關(guān)聯(lián)，單擊“修復(fù)”按鈕，修復(fù)被木馬病毒劫持的程序，包括殺毒軟件和一些安全工具等。
為了防止激活木馬，在“系統(tǒng)修復(fù)”的“高級修復(fù)”選項(xiàng)中單擊下方“修復(fù)安全模式”對電腦安全模式進(jìn)行修復(fù)，最后進(jìn)入到安全模式下進(jìn)行殺毒軟件病毒庫的更新及病毒查殺，同時(shí)下載木馬病毒的專殺工具對木馬及病毒進(jìn)行掃描清除。
提示：除了利用SREng軟件進(jìn)行修復(fù) ，我們還可以利用小工具包來進(jìn)行系統(tǒng)修復(fù)，小工具包在電腦報(bào)網(wǎng)站http://www2.cpcw.com/bzsoft/進(jìn)行下載，打開工具包后，雙擊恢復(fù)顯示隱藏文件.REG導(dǎo)入注冊表，再打開Icesword軟件，清除系統(tǒng)文件夾中的病毒文件、使用IFEO映像劫持修復(fù)工具修復(fù)被劫持的殺毒軟件及安全軟件，最后就是用殺毒軟件進(jìn)行查殺。小工具下載下來后改名后再使用，以免被木馬病毒劫持。
如何預(yù)防木馬
病人：木馬雖然已經(jīng)清除了，但是我怎么避免以后電腦再被木馬侵襲呢？
醫(yī)生：為了更好的保護(hù)系統(tǒng)不受到破壞，打好我們的網(wǎng)游賬號保衛(wèi)戰(zhàn)，除了為一個(gè)完全干凈無毒系統(tǒng)做個(gè)備份，我們還可以通過以下的方法來進(jìn)行網(wǎng)游木馬的預(yù)防。
1.必須安裝殺毒軟件及防火墻，并對其進(jìn)行升級，相應(yīng)系統(tǒng)補(bǔ)丁也要隨時(shí)更新，還要定期進(jìn)行病毒木馬掃描。
2.安裝游戲賬號保護(hù)軟件
目前有很多專門針對網(wǎng)游賬號保護(hù)的安全工具，它們采取的原理不同，但對游戲賬號都有一定的保護(hù)作用，條件允許的情況下可安裝這樣的保護(hù)軟件。如何選擇，可參考本期F7版的評測。
3.通過注冊表設(shè)置，阻止病毒通過IFEO劫持殺毒軟件，具體操作方法：單擊“開始”→“運(yùn)行”，在命令行中輸入regedt32，找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options，右鍵單擊此選項(xiàng)，在彈出的菜單中選擇“權(quán)限”，然后把Administrors用戶組和Users用戶組的權(quán)限全部取消。
利用注冊表限制IFEO的讀寫權(quán)限
總結(jié)
養(yǎng)成安全的電腦操作習(xí)慣＋嚴(yán)密的安全設(shè)置＋定期檢查這三大強(qiáng)效藥劑，我們完全可以讓病毒木馬遠(yuǎn)離自己的電腦系統(tǒng)，玩網(wǎng)絡(luò)游戲時(shí)再也不用擔(dān)心和木馬親密接觸！但是由于殺毒軟件以及安全工具的設(shè)置及使用需要一定的電腦基礎(chǔ)，整個(gè)木馬產(chǎn)業(yè)鏈由于缺少相關(guān)法律有效的監(jiān)控而發(fā)展的越來越大，導(dǎo)致許多對電腦安全設(shè)置不熟悉的用戶遭遇木馬侵襲圍剿，用戶的私密信息一旦被不法分子掌握，將會給用戶造成嚴(yán)重的后果。我們呼吁除了電腦用戶加強(qiáng)自身的電腦安全意識和技能外，還需要國家法律以及網(wǎng)絡(luò)監(jiān)管部門一起攜手，共同打造一個(gè)安全的網(wǎng)絡(luò)環(huán)境！
怎么判斷中了木馬
病人：木馬危害實(shí)在太大了，那我怎么知道自己的電腦中了木馬呢？
醫(yī)生：電腦中了木馬后，有時(shí)候會有一些非常典型的癥狀，比如殺毒軟件自動關(guān)閉、電腦運(yùn)行速度變慢、經(jīng)常有一些陌生網(wǎng)頁窗口彈出、系統(tǒng)中某些程序無法運(yùn)行等；也有時(shí)候癥狀并不明顯，不過我們可以通過一些蛛絲馬跡來初步分析電腦是否中了木馬，比如查看“任務(wù)管理器”是否有不熟悉的進(jìn)程（一旦發(fā)現(xiàn)則到網(wǎng)上進(jìn)行搜索看是否是病毒程序），從系統(tǒng)文件夾、注冊表、啟動程序等查看是否有可疑的文件或項(xiàng)目。
下面我們以感染了近期比較活躍的SoundMan木馬的電腦為例來了解一下木馬的一些常見行為。
小知識：SoundMan木馬
SoundMan木馬是利用Realtek聲卡相關(guān)程序以及圖標(biāo)迷惑用戶的一款“網(wǎng)游木馬下載器”，它除了具備普通木馬能夠屏蔽顯示隱藏文件的功能外，還可以用替換服務(wù)等方式啟動自身，并具有結(jié)束殺毒軟件和在后臺下載大量網(wǎng)游木馬的功能。
1.隱藏文件已經(jīng)無法顯示
打開一個(gè)文件夾，在上方菜單中選擇“工具/文件夾選項(xiàng)”，在“查看”中勾選“顯示所有文件和文件夾”，并去掉“隱藏已知文件類型的擴(kuò)展名”前面的勾。經(jīng)過這樣的操作后，隱藏文件還是無法顯示。
提示：一旦發(fā)現(xiàn)設(shè)置了“顯示所有文件和文件夾”，而系統(tǒng)仍無法顯示隱藏文件的話，一定要引起足夠的重視，極有可能有木馬入侵。
2.查看System32文件夾
進(jìn)入System32文件夾中（假設(shè)Windows XP安裝在C盤），可以發(fā)現(xiàn)木馬創(chuàng)建了ineters.exe、SoundMan.exe、tthh3.ini這三個(gè)文件（編注：之前我們已經(jīng)對顯示隱藏文件做了處理）。
提示：木馬一般會在系統(tǒng)文件夾System32中釋放病毒文件以及相關(guān)的ini文件，如果懷疑中了木馬，注意檢查此文件夾中那些在出現(xiàn)中毒癥狀前后所創(chuàng)建的文件。
3.查看用戶賬戶
單擊“開始/設(shè)置/控制面板”，雙擊“用戶賬戶”，如果發(fā)現(xiàn)電腦中的Guest賬戶無故被激活，或是多出其它的陌生賬號，例如名為Microsoft的賬戶，也要提高警惕，這也是感染木馬的一個(gè)典型特征。
4.查看auto文件
當(dāng)系統(tǒng)中了SoundMan.exe木馬后，只要有新的可移動存儲接入，此木馬便會寫入auto.exe和autorun.inf 文件，所以我們在鼠標(biāo)右鍵菜單中發(fā)現(xiàn)有auto、autorun任何一個(gè)選項(xiàng)，或是在移動硬盤或閃存根目錄下查看發(fā)現(xiàn)auto.exe和autorun.inf 這兩個(gè)文件，則證明中毒。
提示：現(xiàn)在的木馬一般都會利用移動存儲設(shè)置的自動播放功能進(jìn)行病毒的寫入和傳播，所以如果在硬盤分區(qū)以及移動存儲設(shè)備根目錄下發(fā)現(xiàn)auto.exe和autorun.inf 這兩個(gè)文件，則電腦與移動硬盤都已經(jīng)中毒。
除了檢查上面那些地方外，我們還可以從以下幾個(gè)木馬喜歡喜歡藏身的地方來查找蛛絲馬跡。
一是從“Win.ini”文件判斷是否中毒。利用記事本打開“C:\Windows”目錄下的Win.ini文件。在文件的[windows]字段中查找啟動命令“l(fā)oad=”和“run=”后面是否跟有程序，在一般情況下“=”后面是空白的，如果在“＝”號后面跟著程序（圖2），那一般是中了木馬病毒。
二是從“System.ini”文件判斷是否中毒。利用記事本方式打開位于“C:\Windows”目錄下的“System.ini”文件，如果發(fā)現(xiàn)[boot]字段中“shell=Explorer.exe”后添加了程序，一般都是木馬服務(wù)端程序。另外，在System.ini中的[386Enh]字段，要注意檢查在此段內(nèi)的“driver=路徑\程序名”，這里也有可能被木馬所利用。在System.ini中的[mic]、[drivers]、[drivers32]這三個(gè)字段，它們起到加載驅(qū)動程序的作用，但也是添加木馬程序的好場所，所以也需要進(jìn)行檢查。
三是打開注冊表編輯器進(jìn)行查找。木馬一般會利用注冊表中的Run、RunServices、RunOnce等子項(xiàng)來加載，在“開始”/“運(yùn)行”中輸入“regedit”進(jìn)入注冊表編輯器，在以下幾個(gè)地方進(jìn)行查看。
（1）注冊表中的啟動項(xiàng)
查看“HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion”下的RunServices、RunServices Once、Run、RunOnce以及 “HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion”下的RunServices、Run、RunOnce下是否有可疑項(xiàng)目。
如果發(fā)現(xiàn)其中加載了一些陌生程序到系統(tǒng)文件夾中，那么則可能中了木馬病毒。
（2）文件關(guān)聯(lián)鍵
有些木馬還會通過修改注冊表中的某一類型文件的鍵值來加載程序。檢查“HKEY_CLASSES_ROOT\XXX（編注：這里的XXX可以是exefile、comfile、batfile、htafile、piffile）\shell\open\command”子鍵中“默認(rèn)”值：““%1” %*”；檢查“HKEY_LOCAL_MACHINE\Software\CLASSES\ XXX（編注：這里的XXX可以是exefile、comfile、batfile、htafile、piffile）\shell\open\command”子鍵中“默認(rèn)”值：““%1” %*”。
這些“%1 %*”可以被賦值，如果發(fā)現(xiàn)默認(rèn)值被修改，例如病毒木馬將其改為“muma.exe %1 %*”，則可能中毒。
橫掃網(wǎng)絡(luò)木馬
病人：我已經(jīng)中了木馬，應(yīng)當(dāng)怎么清除？
醫(yī)生：如果電腦系統(tǒng)分區(qū)中沒有重要數(shù)據(jù)，那么利用備份及一鍵恢復(fù)直接重新恢復(fù)系統(tǒng)是最簡單的方法。如果無法這樣做，可以用一些工具軟件來幫忙清理木馬。
目前很多木馬病毒，譬如本例中的SoundMan.exe能夠刪除安全軟件的啟動項(xiàng)目、劫持安全/殺毒軟件，并且連接網(wǎng)絡(luò)下載其它木馬及病毒。所以首先要做的就是刪除注冊表的啟動項(xiàng)、修復(fù)被劫持的殺毒軟件/安全軟件，然后利用殺毒軟件或?qū)⒐ぞ邅砬宄抉R。
下載SREng軟件并更改名稱運(yùn)行，首先對注冊表中的RUN鍵進(jìn)行修復(fù)，選擇“系統(tǒng)修復(fù)”選項(xiàng)中的“注冊表”選項(xiàng)卡，刪除未知的啟動項(xiàng)目，比如路徑為系統(tǒng)文件夾（C:\win dows\system32或C:\winnt\system32）中的Sound Man.exe木馬病毒程序啟動項(xiàng)（圖3）。
提示：除了“注冊表”啟動項(xiàng)外，我們最好進(jìn)入 “啟動項(xiàng)目”中的“Win.ini”、“System.ini”等選項(xiàng)中進(jìn)行查看并清除相關(guān)聯(lián)的病毒加載項(xiàng)，以免病毒死灰復(fù)燃。
然后再選擇“系統(tǒng)修復(fù)”中的“文件關(guān)聯(lián)”選項(xiàng)，勾選錯(cuò)誤的文件關(guān)聯(lián)，單擊“修復(fù)”按鈕，修復(fù)被木馬病毒劫持的程序，包括殺毒軟件和一些安全工具等。
為了防止激活木馬，在“系統(tǒng)修復(fù)”的“高級修復(fù)”選項(xiàng)中單擊下方“修復(fù)安全模式”對電腦安全模式進(jìn)行修復(fù)，最后進(jìn)入到安全模式下進(jìn)行殺毒軟件病毒庫的更新及病毒查殺，同時(shí)下載木馬病毒的專殺工具對木馬及病毒進(jìn)行掃描清除。
提示：除了利用SREng軟件進(jìn)行修復(fù) ，我們還可以利用小工具包來進(jìn)行系統(tǒng)修復(fù)，小工具包在電腦報(bào)網(wǎng)站http://www2.cpcw.com/bzsoft/進(jìn)行下載，打開工具包后，雙擊恢復(fù)顯示隱藏文件.REG導(dǎo)入注冊表，再打開Icesword軟件，清除系統(tǒng)文件夾中的病毒文件、使用IFEO映像劫持修復(fù)工具修復(fù)被劫持的殺毒軟件及安全軟件，最后就是用殺毒軟件進(jìn)行查殺。小工具下載下來后改名后再使用，以免被木馬病毒劫持。
如何預(yù)防木馬
病人：木馬雖然已經(jīng)清除了，但是我怎么避免以后電腦再被木馬侵襲呢？
醫(yī)生：為了更好的保護(hù)系統(tǒng)不受到破壞，打好我們的網(wǎng)游賬號保衛(wèi)戰(zhàn)，除了為一個(gè)完全干凈無毒系統(tǒng)做個(gè)備份，我們還可以通過以下的方法來進(jìn)行網(wǎng)游木馬的預(yù)防。
1.必須安裝殺毒軟件及防火墻，并對其進(jìn)行升級，相應(yīng)系統(tǒng)補(bǔ)丁也要隨時(shí)更新，還要定期進(jìn)行病毒木馬掃描。
2.安裝游戲賬號保護(hù)軟件
目前有很多專門針對網(wǎng)游賬號保護(hù)的安全工具，它們采取的原理不同，但對游戲賬號都有一定的保護(hù)作用，條件允許的情況下可安裝這樣的保護(hù)軟件。如何選擇，可參考本期F7版的評測。
3.通過注冊表設(shè)置，阻止病毒通過IFEO劫持殺毒軟件，具體操作方法：單擊“開始”→“運(yùn)行”，在命令行中輸入regedt32，找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options，右鍵單擊此選項(xiàng)，在彈出的菜單中選擇“權(quán)限”，然后把Administrors用戶組和Users用戶組的權(quán)限全部取消。
利用注冊表限制IFEO的讀寫權(quán)限
總結(jié)
養(yǎng)成安全的電腦操作習(xí)慣＋嚴(yán)密的安全設(shè)置＋定期檢查這三大強(qiáng)效藥劑，我們完全可以讓病毒木馬遠(yuǎn)離自己的電腦系統(tǒng)，玩網(wǎng)絡(luò)游戲時(shí)再也不用擔(dān)心和木馬親密接觸！但是由于殺毒軟件以及安全工具的設(shè)置及使用需要一定的電腦基礎(chǔ)，整個(gè)木馬產(chǎn)業(yè)鏈由于缺少相關(guān)法律有效的監(jiān)控而發(fā)展的越來越大，導(dǎo)致許多對電腦安全設(shè)置不熟悉的用戶遭遇木馬侵襲圍剿，用戶的私密信息一旦被不法分子掌握，將會給用戶造成嚴(yán)重的后果。我們呼吁除了電腦用戶加強(qiáng)自身的電腦安全意識和技能外，還需要國家法律以及網(wǎng)絡(luò)監(jiān)管部門一起攜手，共同打造一個(gè)安全的網(wǎng)絡(luò)環(huán)境！
