360查出Trojan.ACAD.E木马程序，威协对象\mtool\support\mtooldoc.lsp,要删除吗？
这个文件很陌生，而360安全卫士，对于木马的查杀还是比较准确有效的，所以这个应该是个木马，而现在的木马的危害还是很大的，例如窃取用户重要帐号，个人隐私等，建议你最好清除这个木马程序！
惠普笔记本系统崩溃恢复时发生致命错误C0190005怎么办？ 急 ！ 求解！
应用程序发生异常 未知的软件异常
1.病毒木马造成的，在当今互联网时代，病毒坐着为了获得更多的牟利，常用病毒绑架应用程序和系统文件，然后某些安全杀毒软件把被病毒木马感染的应用程序和系统文件当病毒杀了导致的。
2.应用程序组件丢失，应用程序完整的运行需要一些系统文件或者某些ll文件支持的，如果应用程序组件不完整也会导致的。
3.系统文件损坏或丢失，盗版系统或Ghost版本系统，很容易出现该问题。
4.操作系统自身的问题，操作系统本身也会有bug 。
5.硬件问题，例如内存条坏了或者存在质量问题，或者内存条的金手指的灰尘特别多。
应用程序发生异常怎么办
1.检查电脑是否存在病毒，请使用百度卫士进行木马查杀。
2.系统文件损坏或丢失，盗版系统或Ghost版本系统，很容易出现该问题。建议：使用完整版或正版系统。
3.安装的软件与系统或其它软件发生冲突，找到发生冲突的软件，卸载它。如果更新下载补丁不是该软件的错误补丁，也会引起软件异常，解决办法：卸载该软件，重新下载重新安装试试。顺便检查开机启动项，把没必要启动的启动项禁止开机启动。
4.如果检查上面的都没问题，可以试试下面的方法。
打开开始菜单→运行→输入cmd→回车，在命令提示符下输入下面命令 for %1 in (%windir%\system32\*.dll) do regsvr32.exe /s %1回车。
完成后，在输入下面
for %i in (%windir%\system32\*.ocx) do regsvr32.exe /s %i 回车。
如果怕输入错误，可以复制这两条指令，然后在命令提示符后击鼠标右键，打“粘贴”，回车，耐心等待，直到屏幕滚动停止为止。（重启电脑）。
求助：检测到木马病毒，可是无法删除
一、常规解决办法：
1．注消或重启电脑，然后再试着删除。
2．进入“安全模式删除”。
3．在纯DOS命令行下使用DEL，DELTREE和RD命令将其删除。
4．如果是文件夹中有比较多的子目录或文件而导致无法删除，可先删除该文件夹中的子目录和文件，再删除文件夹。
5．在任务管理器中结束Explorer.exe进程，然后在命令提示符窗口删除文件。
6．如果你有安装ACDSee，FlashFXP，Nero，Total这几个软件，可以尝试在这几个软件中删除文件夹。
二、高级解决方案：
1．磁盘错误
运行磁盘扫描，并扫描文件所在分区，扫描前确定已选上修复文件和坏扇区，全面扫描所有选项，扫描后再删除文件。
2．预读机制：
某些媒体播放中断或正在预览时会造成无法删除。在“运行”框中输入：REGSVR32 /U SHMEDIA.DLL，注销掉预读功能。或删除注册表中下面这个键值：[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{87D62D94-71B3-4b9a-9489-5FE6850DC73E}\InProcServer32]。
3．防火墙：
由于反病毒软件在查毒时会占用正在检查的文件，从而导致执行删除时提示文件正在使用，这时可试着暂时关闭它的即时监控程序，或许可以解决。
4．OFFice、WPS系列软件：
OFFice的非法关闭也会造成文件无法删除或改名。重新运行该程序，然后正常关闭，再删除文件。
5．借助WinRAR：
右击要删除的文件夹，选择“添加到压缩文件”。在弹出的对话框中选中“压缩后删除源文件，”随便写个压缩包名，点确定。
6．权限问题：
如果是2000和xp系统，请先确定是否有权限删除这个文件或文件夹。
7．可执行文件的删除：
如果可执行文件的映像或程序所调用的DLL动态链接库文件还在内存中未释放，删除时就会提示文件正在使用，解决方法是删除系统的页面文件，Win98中是Win386.SWP，Win2000/XP是pagefile.sys。注意要在DOS下删除。
8．文件粉碎法：
使用文件粉碎机，如File Pulverizer，可以彻底删除一些顽固文件。
三、制作一个无法删除的“文件保险箱”
文件夹无法删除，未必就是不好的事情，如果把一些重要的文件放在这个目录中，不就可以避免误删了吗？一个文件名只包含空格的文件夹在Windows中是不允许创建和删除的，但在DOS下却可以创建文件名包含\的文件夹。
在我们使用Windows的过程中，会遇到各种各样的问题。即使是最简单的删除文件也可能遇到麻烦，要么系统提示“文件正在被另一个人或程序使用”，要么就是报告“访问被拒绝”……如果你也遇到过这种情况，不妨看看本文。
原因一：文件正在使用中
在删除文件时，经常会遇到的一个问题是，文件正在使用，无法删除。如果试图删除以独占访问而不是以共享访问方式打开，并且正在使用中的文件时，系统就会出现错误提示：“无法删除xxx：文件正在被另一个人或程序使用”。而另一种情况则是，能够使用删除命令删除文件，但在打开文件的进程释放该文件之前，文件实际上并未删除。
要解决上述问题，需要确定拥有文件打开句柄的进程，然后关闭此进程。在以前的Windows中，我们可以使用资源工具包的Oh.exe。但在XP中，安装好的Support
Tools却不带Oh.exe。不过，XP提供了一个新的Openfiles.exe命令行工具，它能够报告进程打开的各个文件。与Oh.exe相似，Openfiles.exe也要求打开系统内核监视，这会消耗一些内存，并降低系统操作的性能。打开系统监视的命令是“Openfiles
/local
on”，它会启用系统全局标志“维护对象列表”，需重新启动系统才能生效。重新启动系统后，在命令提示符下执行不带参数的“Openfiles”，即可看到各个进程打开文件的清单。
原因二：文件系统损坏
磁盘上的坏区、其他硬件故障或者软件错误都可能会损坏文件系统，使文件出现问题而无法删除。典型操作失败的方式可能各不相同，当检测到文件系统损坏时，通常会收到一条提示运行Chkdsk的信息。
如果遇到这种情况，可以在磁盘卷上运行Chkdsk实用工具以纠正任何存在的错误。根据损坏的性质，Chkdsk也许能够恢复文件数据，也许无法恢复，但Chkdsk可以使文件系统返回到一种在内部一致的状态。有关Chkdsk实用工具的命令及参数，可以在命令提示符下执行“Chkdsk
/？”查阅。
原因三：文件使用了存取控制列表
如果某个文件使用了存取控制列表（Access Control
List，简称ACL），而操作者又没有相应的权限，那么删除文件时就可能出现“访问被拒绝”的提示。
通常情况下，管理员具有取得任何文件所有权的隐含能力，文件所有者也具有修改文件权限的隐含能力。不过，这些默认的权限是可以被修改的。
要解决因ACL导致文件无法删除的问题，就必须以具有相应权限的用户身份登录，或者是赋予自己删除文件的权限，然后才能删除文件。要注意的是，操作者必须拥有这些文件的所有权才能更改权限。如果是因为文件使用了不规范的ACL而不能使用某些安全工具显示或修改其权限时，可以尝试使用命令行工具Cacls.exe进行修改。
原因四：文件名使用了一个保留名称
众所周知，像AUX、LPT1这样的名称是为旧式DOS设备保留的。为了向后兼容，在Windows中不允许使用这些文件名，也不能使用典型的Win32文件调用来创建它们。反之，如果文件名是Win32命名空间中的一个保留名称，则同样可能无法删除此文件。
要解决此类问题，可以在Linux或其他非Windows的操作系统下重命名或删除该文件。另外，如果能够使用特定的语法指定到该文件的路径，也可以使用一些内置的命令绕过典型的Win32保留名称检查。例如，在Windows
XP中使用以下命令，可以删除名为“lpt1”的文件（Del命令后面加上“？”来避免Windows检查文件名的合法性）：
Del [URL=http://3800cc.com/news/w31/file://?c:]?c:[/URL]文件路径lpt1
原因五：无效的文件名称
如果文件名中包括一个无效名称，例如文件名有一个尾随空格，或一个尾随句点，或者文件名仅由一个空格组成，同样可能无法删除该文件。值得一提的是，如果使用典型的Win32语法打开名称中有尾随空格或尾随句点的文件，则尾随空格或句点在打开实际文件之前会被去掉。因此，如果在同一个文件夹中有两个分别名为“File.txt”和“File.txt
”的文件（注意第二个文件名后面的空格），当使用标准Win32调用打开第二个文件时，实际上会打开第一个文件。同样，如果文件的名称仅是“
”（一个空格字符），当尝试使用标准Win32调用打开它时，实际上会打开该文件的父文件夹。在此情况下，如果尝试更改这些文件上的安全设置，就有可能会意外更改其他文件上的设置。
与解决文件名使用保留名称的方法类似，可以使用一种适当的内部语法删除此文件。例如要删除包含尾随空格的文件，可以使用如下命令：
Del [URL=http://3800cc.com/news/w31/file://?]?[/URL] c:文件路径(尾随空格的文件名)
原因六：文件路径太深无法访问
文件位于比最大路径字符数（MAX_PATH）更深的路径中，可能导致文件无法访问，当然，这种情况较为少见。如果路径深的原因是文件夹名称太长，最简便的解决方案是使用自动生成的8.3名称访问该文件。如果8.3路径也太长，可以从根文件夹开始重命名文件夹，缩短它们的名称，以使目标文件的路径深度不超过MAX_PATH。若是文件的深度超过128个文件夹，可以通过创建一个网络共享，使其位于文件夹树中尽可能深的位置，然后通过访问此共享来访问文件。
一般情况下，如果遇到因文件路径太深无法访问的情况，可以通过使用创建文件的软件来管理这些文件。也就是说，如果有一个程序，它可以创建超过MAX_PATH的文件，则我们也可以使用该程序来管理这些文件。此外，对于通过网络共享创建的深层次结构的文件也可以通过使用同一共享来进行删除。
前面介绍了Windows系统中文件或文件夹无法删除的几种原因以及解决的方法。在某些情况下，可能还会遇到上述各种原因的不同组合，使得删除文件的过程更加复杂。这就需要读者能够举一反三，灵活应用微软提供的各种实用工具进行解决了。
Windows XP中删除AVI文件的问题
很多朋友可能会遇到Windows XP中无法删除AVI文件的问题，这主要是由于Windows
XP视频预览功能的Bug所导致的。你可以尝试用以下方法进行删除。
方法一 在运行命令框中输入“Regs-vr32/u
Shmedia.dll”并回车，卸去Windows
XP的视频文件预览功能。当以后想要恢复视频预览功能时，再使用“Regsvr32Shmedia.dll”命令重新注册即可。
方法二
先打开命令提示符窗口，然后在任务管理器中结束Explorer进程，再从命令提示符窗口中切换到保存视频文件的文件夹下，用Del命令删除文件。
方法三
如果安装了双系统，可以从另一个系统，如Win98下进行删除。
华硕系统自带文件SYSPRE64.cmd 及 SYSPRE.cmd被360报木马？
尊敬的华硕用户，您好！
建议您通过一个专业杀毒软件检测扫描一下，例如瑞星、诺顿或迈克菲等；有可能是病毒文件伪装为系统文件侵入系统的。
希望以上信息能够对您有所帮助，谢谢！
有个木马病毒杀不掉，出现的提示不明白，想向高手请教一下？
55种木马的手工清除
1. 冰河v1.1 v2.2
这是国产最好的木马 作者：黄鑫
清除木马v1.1
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
查找以下的两个路径，并删除
" C:\windows\system\ kernel32.exe"
" C:\windows\system\ sysexplr.exe"
关闭Regedit
重新启动到MSDOS方式
删除C:\windows\system\ kernel32.exe和C:\windows\system\ sysexplr.exe木马程序
重新启动。OK
清除木马v2.2
服务器程序、路径用户是可以随意定义，写入注册表的键名也可以自己定义。
因此，不能明确说明。
你可以察看注册表，把可疑的文件路径删除。
重新启动到MSDOS方式
删除于注册表相对应的木马程序
重新启动Windows。OK
2. Acid Battery v1.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Explorer ="C:\WINDOWS\expiorer.exe"
关闭Regedit
重新启动到MSDOS方式
删除c:\windows\expiorer.exe木马程序
注意：不要删除正确的ExpLorer.exe程序，它们之间只有i与L的差别。
重新启动。OK
3. Acid Shiver v1.0 + 1.0Mod + lmacid
清除木马的步骤：
重新启动到MSDOS方式
删除C:\windows\MSGSVR16.EXE
然后回到Windows系统
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除右边的Explorer = "C:\WINDOWS\MSGSVR16.EXE"
关闭Regedit
重新启动。OK
重新启动到MSDOS方式
删除C:\windows\wintour.exe然后回到Windows系统
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
删除右边的Wintour = "C:\WINDOWS\WINTOUR.EXE"
关闭Regedit
重新启动。OK
4. Ambush
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的zka = "zcn32.exe"
关闭Regedit
重新启动到MSDOS方式
删除C:\Windows\ zcn32.exe
重新启动。OK
5. AOL Trojan
清除木马的步骤：
启动到MSDOS方式
删除C:\ command.exe（删除前取消文件的隐含属性）
注意：不要删除真的command.com文件。
删除C:\ americ~1.0\buddyl~1.exe（删除前取消文件的隐含属性）
删除C:\ windows\system\norton~1\regist~1.exe（删除前取消文件的隐含属性）
打开WIN.INI文件
在[WINDOWS]下面"run="和"load="都加载者特洛伊木马程序的路径，必须清除它们：
run=
load=
保存WIN.INI
还要改正注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的WinProfile = c:\command.exe
关闭Regedit，重新启动Windows。OK
6. Asylum v0.1, 0.1.1, 0.1.2, 0.1.3 + Mini 1.0, 1.1
清除木马的步骤：
注意：木马程序默认文件名是wincmp32.exe，然而程序可以随意改变文件名。
我们可以根据木马修改的system.ini和win.ini两个文件来清除木马。
打开system.ini文件
在[BOOT]下面有个"shell=文件名"。正确的文件名是explorer.exe
如果不是"explorer.exe"，那么那个文件就是木马程序，把它查找出来，删除。
保存退出system.ini
打开win.ini文件
在[WINDOWS]下面有个run=
如果你看到=后面有路径文件名，必须把它删除。
正确的应该是run=后面什么也没有。
=后面的路径文件名就是木马，把它查找出来，删除。
保存退出win.ini。
OK
7. AttackFTP
清除木马的步骤：
打开win.ini文件
在[WINDOWS]下面有load=wscan.exe
删除wscan.exe ，正确是load=
保存退出win.ini。
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Reminder="wscan.exe /s"
关闭Regedit，重新启动到MSDOS系统中
删除C:\windows\system\ wscan.exe
OK
8. Back Construction 1.0 - 2.5
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的"C:\WINDOWS\Cmctl32.exe"
关闭Regedit，重新启动到MSDOS系统中
删除C:\WINDOWS\Cmctl32.exe
OK
9. BackDoor v2.00 - v2.03
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的'c:\windows\notpa.exe /o=yes'
关闭Regedit，重新启动到MSDOS系统中
删除c:\windows\notpa.exe
注意：不要删除真正的notepad.exe笔记本程序
OK
10. BF Evolution v5.3.12
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的(Default)=" "
关闭Regedit，再次重新启动计算机。
将C:\windows\system\ .exe（空格exe文件）
OK
11. BioNet v0.84 - 0.92 + 2.21
0.8X版本是运行在Win95/98
0.9X以上版本有运行在Win95/98 和WinNT上两个软件
客户－服务器协议是一样的，因而NT客户能黑95/98被感染的机器，和Win95/98客户能黑
NT被感染的系统完全一样。
清除木马的步骤：
首先准备一张98的启动盘，用它启动后，进入c:\windows目录下，用attrib libupd~1.
exe -h
命令让木马程序可见，然后删除它。
抽出软盘后重新启动，进入98下，在注册表里找到：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
的子键WinLibUpdate = "c:\windows\libupdate.exe -hide"
将此子键删除。
12. Bla v1.0 - 5.03
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的Systemdoor = "C:\WINDOWS\System\mprdll.exe"
关闭Regedit，重新启动计算机。
查找到C:\WINDOWS\System\mprdll.exe和
C:\WINDOWS\system\rundll.exe
注意：不要删除C:\WINDOWS\RUNDLL.EXE正确文件。
并删除两个文件。
OK
13. BladeRunner
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
可以找到System-Tray = "c:\something\something.exe"
右边的路径可能是任何东西，这时你不需要删除它，因为木马会立即自动加上，你需要
的是记下木马的名字与目录，然后退回到MS-DOS下，找到此木马文件并删除掉。
重新启动计算机，然后重复第一步，在注册表中找到木马文件并删除此键。
14. Bobo v1.0 - 2.0
清除木马v1.0
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除右边的DirrectLibrarySupport ="C:\WINDOWS\SYSTEM\Dllclient.exe"
关闭Regedit，重新启动计算机。
DEL C:\Windows\System\Dllclient.exe
OK
清除木马v2.0
打开注册表Regedit
点击目录至：
HKEY_USER/.Default/Software/Mirabilis/ICQ/Agent/Apps/ICQ Accel/
ICQ Accel是一个“假象“的主键，选中ICQ Accel主键并把它删除。
重新启动计算机。OK
15. BrainSpy vBeta
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
右边有 ??? = "C:\WINDOWS\system\BRAINSPY .exe"
???标签选是随意改变的。
关闭Regedit，重新启动计算机
查找删除C:\WINDOWS\system\BRAINSPY .exe
OK
16. Cain and Abel v1.50 - 1.51
这是一个口令木马
进入MS-DOS方式
查找到C:\windows\msabel32.exe
并删除它。OK
17. Canasson
清除木马的步骤：
打开WIN.INI文件
查找c:\msie5.exe，删除全部主键
保存win.ini
重新启动计算机
删除c:\msie5.exe木马文件
OK
18. Chupachbra
清除木马的步骤：
打开WIN.INI文件
[Windows]的下面有两个行
run=winprot.exe
load=winprot.exe
删除winprot.exe
run=
load=
保存Win.ini，再打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的'System Protect' = winprot.exe
重新启动Windows
查找到C:\windows\system\ winprot.exe，并删除。
OK
19. Coma v1.09
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的'RunTime' = C:\windows\msgsrv36.exe
重新启动Windows
查找到C:\windows\ msgsrv36.exe，并删除。
OK
20. Control
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的Load MSchv Drv = C:\windows\system\MSchv.exe
保存Regedit，重新启动Windows
查找到C:\windows\system\MSchv.exe，并删除。
OK
21. Dark Shadow
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\RunServices
删除右边的winfunctions="winfunctions.exe"
保存Regedit，重新启动Windows
查找到C:\windows\system\ winfunctions.exe，并删除。
OK
22. DeepThroat v1.0 - 3.1 + Mod (Foreplay)
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
版本1.0
删除右边的项目'System32'=c:\windows\system32.exe
版本2.0-3.1
删除右边的项目'SystemTray' = 'Systray.exe'
保存Regedit，重新启动Windows
版本1.0删除c:\windows\system32.exe
版本2.0-3.1
删除c:\windows\system\systray.exe
OK
23. Delta Source v0.5 - 0.7
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的项目：DS admin tool = C:\TEMPSERVER.exe
保存Regedit，重新启动Windows
查找到C:\TEMPSERVER.exe，并删除它。
OK
24. Der Spaeher v3
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
删除右边的项目：explore = "c:\windows\system\dkbdll.exe "
保存Regedit，重新启动Windows
删除c:\windows\system\dkbdll.exe木马文件。
OK
--
25. Doly v1.1 - v1.7 (SE)
清除木马V1.1-V1.5版本：
这几个木马版本的木马程序放在三处，增加二个注册项目，还增加到Win.ini项目。
首先，进入MS-DOS方式，删除三个木马程序，但V1.35版本多一个木马文件mdm.exe。
把下列各项全部删除：
C:\WINDOWS\SYSTEM\tesk.sys
C:\WINDOWS\Start Menu\Programs\Startup\mstesk.exe
c:\Program Files\MStesk.exe
c:\Program Files\Mdm.exe
重新启动Windows。
接着，打开win.ini文件
找到[WINDOWS]下面load=c:\windows\system\tesk.exe项目，删除路径，改变为load=
保存win.ini文件。
最后，修改注册表Regedit
找到以下两个项目并删除它们
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Ms tesk = "C:\Program Files\MStesk.exe"
和
HKEY_USER\.Default\Software\Microsoft\Windows\CurrentVersion\Run
Ms tesk = "C:\Program Files\MStesk.exe"
再寻找到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ss
这个组是木马的全部参数选择和设置的服务器，删除这个ss组的全部项目。
关闭保存Regedit。
还有打开C:\AUTOEXEC.BAT文件，删除
@echo off copy c:\sys.lon c:\windows\StartMenu\Startup Items\
del c:\win.reg
关闭保存autoexec.bat。
OK
清除木马V1.6版本：
该木马运行时，将不能通过98的正常操作关闭，只能RESET键。彻底清除步骤如下：
1．打开控制面板——添加删除程序——删除memory manager 3.0，这就是木马程序，但
是它并不会把木马的EXE文件删除掉。
2．用98或DOS启动盘启动（用RESET键）后，转入C:\，编辑AUTOEXEC。BAT，把如下内容
删除：
@echo off copy c:\sys.lon c:\windows\startm~1\programs\startup\mdm.exe
del c:\win.reg
保存AUTOEXEC。BAT文件并返回DOS后，在C：\根目录下删除木马文件：
del sys.lon
del windows\startm~1\programs\startup\mdm.exe
del progra~1\mdm.exe
3．抽出软盘重新启动，进入98后，把c:\program files\目录下的memory manager 目录
删除。
清除木马V1.7版本：
首先，打开C:\AUTOEXEC.BAT文件，删除
@echo off copy c:\sys.lon c:\windows\startm~1\programs\startup\mdm.exe
del c:\win.reg
关闭保存autoexec.bat
然后打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\MicroSoft\Windows\CurrentVersion\Run
找到c:\windows\system\mdm.exe路径并删除这个项目
点击目录至：
HKEY_USER/.Default/Software/Marabilis/ICQ/Agent/Apps/
找到"C:\windows\system\kernal32.exe"路径并删除这个项目
关闭保存Regedit。重新启动Windows。
最后，删除以下木马程序：
c:\sys.lon
c:\iecookie.exe
c:\windows\start menu\programs\startup\mdm.exe
c:\program files\mdm.exe
c:\windows\system\mdm.exe
c:\windows\system\kernal32.exe
注意：kernal32是A
OK
26. Revenger v1.0 - 1.5
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：AppName ="C:\...\server.exe"
关闭保存Regedit，重新启动Windows
在c:\windows查找相应的木马程序server.exe，并删除
OK
27. Ripper
清除木马的步骤：
打开system.ini文件
将shell=explorer.exe sysrunt.exe
改为shell= explorer.exe
关闭保存system.ini，重新启动Windows
在c:\windows查找相应的木马程序sysrunt.exe，并删除
OK
28. Satans Back Door v1.0
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\
删除右边的项目：sysprot protection ="C:\windows\sysprot.exe"
关闭保存Regedit，重新启动Windows
删除C:\windows\sysprot.exe
OK
29. Schwindler v1.82
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：User.exe = "C:\WINDOWS\User.exe"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\User.exe
OK
30. Setup Trojan (Sshare) +Mod Small Share
这个共享隐藏C盘的木马
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Network\LanMan\
选择右边有'C$'的项目，并全部删除
关闭保存Regedit，重新启动Windows
OK
31. ShadowPhyre v2.12.38 - 2.X
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：WinZipp = "C:\WINDOWS\SYSTEM\WinZipp.exe /nomsg"
或者WinZip = "C:\WINDOWS\SYSTEM\WinZip.exe /nomsg"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\ WinZipp.exe或者C:\WINDOWS\ WinZip.exe
OK
32. Share All
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Network\LanMan\
这里你将看到所有被木马共享出来的你的硬盘符号，把它们一个个删除掉。
33. ShitHeap
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\
删除右边的项目：recycle-bin = "c:\windows\system\recycle-bin.exe"
或者recycle-bin = "c:\windows\system.exe"
关闭保存Regedit，重新启动Windows
删除c:\windows\system\recycle-bin.exe或者c:\windows\system.exe
OK
34. Snid v1 - 2
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：System-tray = 'c:\windows\temp$01.exe'
关闭保存Regedit，重新启动Windows
删除c:\windows\temp$01.exe
OK
35. Softwarst
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：NetApp = C:\windows\system\winserv.exe
关闭保存Regedit，重新启动Windows
删除C:\windows\system\winserv.exe
OK
36. Spirit 2000 Beta - v1.2 (fixed)
清除木马v Beta版本:
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：internet = "c:\windows\netip.exe "
关闭保存Regedit
打开win.ini文件
查找到run=c:\windows\netip.exe
更改为：run=
关闭保存win.ini，重新启动Windows
删除c:\windows\netip.exe和c:\windows\netip.exe
OK
清除木马v 1.2版本:
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SystemTray = "c:\windows\windown.exe "
关闭保存Regedit，重新启动Windows
删除c:\windows\windown.exe
OK
清除木马v 1.2(fixed)版本:
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Server 1.2.exe = "c:\windows\server 1.2.exe"
关闭保存Regedit，重新启动Windows
删除c:\windows\server 1.2.exe
OK
37. Stealth v2.0 - 2.16
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：Winprotect System = "C:\WINDOWS\winprotecte.exe
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\winprotecte.exe
OK
38. SubSeven - Introduction
清除木马v1.0 - 1.1：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SystemTrayIcon = "C:\WINDOWS\SysTrayIcon.Exe"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\SysTrayIcon.Exe
OK
清除木马v1.3 - 1.4 - 1.5：
打开win.ini文件
查找到run=nodll
更改为run=
关闭保存win.ini，重新启动Windows
删除c:\windows\nodll.exe
OK
清除木马v1.6：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SystemTray = "SysTray.Exe"
关闭保存Regedit，重新启动Windows
删除C:\windows\systray.exe
OK
清除木马v1.7：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
\
查找到右边的项目：C:\windows\kernel16.dl，并删除
关闭保存Regedit，重新启动Windows
删除C:\windows\kernel16.dl
OK
清除木马v1.8：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
\
查找到右边的项目：c:\windows\system.ini.，并删除
关闭保存Regedit。
打开win.ini文件
查找到run= kernel16.dl
更改为run=
关闭保存win.ini。
打开system.ini文件
查找到shell=explorer.exe kernel32.dl
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除C:\windows\kernel16.dl
OK
清除木马v1.9 - 1.9b：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
\
删除右边的项目：RegistryScan = "rundll16.exe"
关闭保存Regedit，重新启动Windows
删除C:\windows\rundll16.exe
OK
清除木马v2.0：
打开system.ini文件
查找到shell=explorer.exe trojanname.exe
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除c:\windows\rundll16.exe
OK
清除木马v2.1 - 2.1 Gold + SubStealth- 2.1.3 Mod + 2.1.3 MUIE + 2.1 Bonus：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
\
删除右边的项目：WinLoader = MSREXE.EXE
hkey_classes_root\exefile\shell\open\command
将右边的项目更改为：@="\"%1\" %*"
关闭保存Regedit。
打开win.ini文件
查找到run=msrexe.exe和
load=msrexe.exe
更改为run=
load=
关闭保存win.ini。
打开system.ini文件
查找到shell=explore.exe msrexe.exe
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除C:\windows\ msrexe.exe
C:\windows\system\systray.dll
OK
清除木马v2.2b1：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和
删除右边的项目：加载器 = "c:\windows\system\***"
注：加载器和文件名是随意改变的
关闭保存Regedit。
打开win.ini文件
更改为run=
关闭保存win.ini。
打开system.ini文件
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除相对应的木马程序
OK
39. Telecommando 1.54
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：SystemApp＝"ODBC.EXE"
关闭保存Regedit，重新启动Windows
删除C:\windows\system\ ODBC.EXE
OK
--
40. The Unexplained
清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：InetB00st = "C:\WINDOWS\TEMPINETB00ST.EXE"
关闭保存Regedit，重新启动Windows
删除C:\WINDOWS\TEMPINETB00ST.EXE
OK
41. Thing v1.00 - 1.60
清除木马v1.00-1.12：
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
删除右边的项目：(Default) = "C:\some\path\here\thing.exe"
也有一些是在：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\SessionManager\Known16DL
Ls\
删除右边的项目：wsasrv.exe = "wsasrv.exe"
关闭保存Regedit，重新启动Windows
删除C:\some\path\here\thing.exe
OK
清除木马v 1.20版本:
进入MS_DOS方式：
del winspc13.exe
del ms097.exe
打开system.ini文件
查找到shell=explorer.exe ms097.exe
更改为：shell=explorer.exe
关闭保存system.ini，重新启动Windows
OK
清除木马v1.50版本:
点击目录至：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
这个项目的路径和文件名是随机改变的，察看有可疑的文件路径，将它删除。
关闭保存Regedit。
打开system.ini文件
查找到shell=explorer.exe后面是木马文件
更改为：shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除相应的木马文件
O
我用木马清道夫扫描出几个木马病毒（c.d.e盘都有）然后将他一一删除，下面该怎样在注册表中 正确
一 EXE后缀型病毒文件的手工杀毒的方法教程：
这类病毒一般是以进程的方式运行，这类病毒一般是比较好被发现的。下边先说下这类病毒，是在哪里启动的。
1/注册表 如果发现计算机有不名的进程和异常情况请在注册表内下列地方进行核实找住可以的程序进行删除
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE \Software \Microsoft \Windows \CurrentVersion \RunServicesOnce
HKEY_CURRENT_USER/Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER \Software \Microsoft\ Windows\ CurrentVersion\ Policies\ Explorer\Run
HKEY_CURRENT_USER\ Software\ Microsoft \Windows\ CurrentVersion
Explorer/ShellFolders Startup="C:/windows/start menu/programs/startup
2/系统WIN.INI文件内在win.ini文件中，“run=”和“load=”是可能加载“木马”程序的途径，必须仔细留心它们。一般情况下，它们的等号后面什么都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中上“木马”了。当然你也得看清楚，因为好多“木马”，如“AOL Trojan木马”，它把自身伪装成command.exe文件，如果不注意可能不会发现它不是真正的系统启动件。也许你会问了我是XP系统啊怎么没有这个呢？不必担心给你个正确的你参考下就知道有没有可疑程序了。下边就是正常的WIN.INI(XP)
; for 16-bit app support
[fonts]
[extensions]
[mci extensions]
[files]
[Mail]
MAPI=1
CMCDLLNAME32=mapi32.dll
CMCDLLNAME=mapi.dll
CMC=1
MAPIX=1
MAPIXVER=1.0.0.1
OLEMessaging=1
[MCI Extensions.BAK]
aif=MPEGVideo
aifc=MPEGVideo
aiff=MPEGVideo
asf=MPEGVideo2
asx=MPEGVideo2
au=MPEGVideo
m1v=MPEGVideo
m3u=MPEGVideo2
mp2=MPEGVideo
mp2v=MPEGVideo
mp3=MPEGVideo2
mpa=MPEGVideo
mpe=MPEGVideo
mpeg=MPEGVideo
mpg=MPEGVideo
mpv2=MPEGVideo
snd=MPEGVideo
wax=MPEGVideo2
wm=MPEGVideo2
wma=MPEGVideo2
wmv=MPEGVideo2
wmx=MPEGVideo2
wvx=MPEGVideo2
wpl=MPEGVideo
3/SYSTEM.INI文件中在system.ini文件中，在[BOOT]下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”，如果不是 “explorer.exe”，而是“shell= explorer.exe 程序名”，本文发表于pcpxp.com网站，那么后面跟着的那个程序就是“木马”程序，就是说你已经中“木马”了。 又会有人问了我是XP系统怎么又不一样呢？在给你个正常的XP系统的SYSTEM.INI请大家可以参考下 正常的SYSTEM.INI文件
; for 16-bit app support
[drivers]
wave=mmdrv.dll
timer=timer.drv
[mci]
[driver32]
[386enh]
woafont=app936.FON
EGA80WOA.FON=EGA80WOA.FON
EGA40WOA.FON=EGA40WOA.FON
CGA80WOA.FON=CGA80WOA.FON
CGA40WOA.FON=CGA40WOA.FON
4/在config.sys内 这类加载方式比较少见 ,但是并不是没有,如果上述方法都找不到的话,请来这里也许会有收获的。
5/在autuexec.bat内 这类加载方式也是比较少见,建议跟config.sys方法一样。
4 和5 的加载方式建议大家先必须确定计算机有病毒后在 并且上边的方法都找不到后，最后来这里进行查找。
总结：这类病毒是比较容易暴露的，建议手动删除时最好进入安全模式下，因为安全模式只运行WINDOWS必备的系统进程，EXE型病毒很容易暴露出来的，下边附上一张WINDOWS安全模式的 必须进程表
smss.exe Session Manager
csrss.exe 子系统服务器进程
winlogon.exe 管理用户登录
services.exe 包含很多系统服务
lsass.exe 管理 IP 安全策略以及启动 ISAKMP/Oakley (IKE) 和 IP 安全驱动程序。(系统服务) 产生会话密钥以及授予用于交互式客户/服务器验证的服务凭据(ticket)。(系统服务) -netlogon
svchost.exe 包含很多系统服务 !!!-eventsystem,(SPOOLSV.EXE 将文件加载到内存中以便迟后打印。)
explorer.exe 资源管理器 (internat.exe 托盘区的拼音图标)
system
System Idle Process 这个进程是不可以从任务管理器中关掉的。这个进程是作为单线程运行在每个处理器上，并在系统不处理其他线程的时候分派处理器时间
taskmagr.exe 就是任务管理器了
二、DLL型后缀病毒的手工杀毒的方法教程：
这类病毒大多是后门病毒，这类病毒一般不会把自己暴露在进程中的，所以说特别隐蔽，比较不好发现。启动DLL后门的载体EXE是不可缺少的，也是非常重要的，它被称为：Loader。如果没有Loader，那DLL后门如何启动呢？因此，一个好的DLL后门会尽力保护自己的Loader不被查杀。Loader的方式有很多，可以是为我们的DLL后门而专门编写的一个EXE文件；也可以是系统自带的Rundll32.exe和 Svchost.exe，即使停止了Rundll32.exe和Svchost.exeDLL后门的主体还是存在的。现在大家也许对DLL有了个初步的了解了，但是不是后缀是DLL就是病毒哦，也不要因为系统有过多的Rundll32.exe和Svchost.exe进程而担心，因为他们不一定就是病毒，所以说这个病毒比较隐蔽，下边来介绍几种判别办法：pcpxp.com供稿
1/Svchost.exe的键值是在“HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\ CurrentVersion\Svchost”每个键值表示一个独立的Svchost.exe组。微软还为我们提供了一种察看系统正在运行在 Svchost.exe列表中的服务的方法。以Windows XP为例：在“运行”中输入：cmd，然后在命令行模式中输入：tasklist /svc。如果使用的是Windows 2000系统则把前面的“tasklist /svc”命令替换为：“tlist -s”即可。如果你怀疑计算机有可能被病毒感染，Svchost.exe的服务出现异常的话通过搜索 Svchost.exe文件就可以发现异常情况。一般只会找到一个在：“C:\Windows\System32”目录下的Svchost.exe程序。如果你在其他目录下发现Svchost.exe程序的话，那很可能就是中毒了。
2/还有一种确认Svchost.exe是否中毒的方法是在任务管理器中察看进程的执行路径。但是由于在Windows系统自带的任务管理器不能察看进程路径，所以要使用第三方的进程察看工具。比如Windows优化大师中的Windows 进程管理 2.5。这样，可以发现进程到底饔昧耸裁碊LL文件.
3/普通后门连接需要打开特定的端口，DLL后门也不例外，不管它怎么隐藏，连接的时候都需要打开端口。我们可以用netstat –an来查看所有TCP/UDP端口的连接，以发现非法连接。大家平时要对自己打开的端口心中有数，并对netstat –an中的state属性有所了解。当然，也可以使用Fport来显示端口对应的进程，这样，系统有什么不明的连接和端口，都可以尽收眼底。
4/最关键的方法对比法。安装好系统和所有的应用程序之后，备份system32目录下的EXE和DLL文件：打开CMD，来到 WINNTsystem32目录下，执行：dir *.exeexe.txt dir *.dlldll.txt，这样，就会把所有的EXE和DLL文件备份到exe.txt和dll.txt文件中；日后，如发现异常，可以使用相同的命令再次备份EXE和DLL文件(这里我们假设是exe0.txt和dll0.txt)，并使用：fc exe.txt exe0.txtexedll.txt fc dll.txt dll0.txtexedll.txt，其意思为使用FC命令比较两次的EXE文件和DLL文件，并将比较结果保存到exedll.txt文件中。通过这种方法，我们就可以发现多出来的EXE和DLL文件，并通过文件大小，创建时间来判断是否是DLL后门。
DLL型病毒的清除方法
1/ 在确定DLL病毒的文件的话请尝试下边方法
移除方法：
1. 开始——运行——输入"Regedit"
2. 搜索"*.dll"
3. 删除搜索到的键值。
4. 重启
5. 转到C:\Windows\System32\
6. 删除*.dll
2/到注册表下列地方寻找DLL的踪迹
HKEY_LOCAL_MACHINE/ SOFTWARE/ Microsoft/ WindowsNT/ Currentversion/ Svchost
3/如果上边的地方都找不到的话建议使用优化大势进程显示工具 对 RUNDLL32.EXE和SVCHOST.EXE里边运行的DLL程序进行核实找到病毒文件对其进行结束 然后在对他进行删除 建议使用第1种方法是非常有效的
三、$NtUninstallQxxxxxxx$（x代表数字）型病毒的手工杀毒的方法教程：
这个属于恶意脚本文件病毒。C盘下生成文件夹：$NtUninstallQxxxxxxx$（x代表数字） 冒充微软更新补丁的卸载文件夹，并且在Win2000/XP下拥有系统文件级隐藏属性。下边说下清楚方法
注册表手动删除启动项，参考：
HKEY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\windows\CurrentVersion\Run
删除：regedit -s C:\$NtUninstallQxxxxxxx$\WINSYS.cer
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\Windows\ CurrentVersion\ RunOnce
HKEY_LOCAL_MACHINE\ SOFTWARE \Microsoft\ Windows\ CurrentVersion\RunOnce
删除：Sys32，值为：C:\$NtUninstallQxxxxxxx$\WINSYS.vbs
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft \Windows\ CurrentVersion \Run
删除：Sys32，值为：regedit -s C:\$NtUninstallQxxxxxxx$\WINSYS.cer
删除：internat.exe，值为：internat.exe
删除整个$NtUninstallQxxxxxxx$ 目录
pcpxp.com 补充说明：
系统文件夹（\WINNT或\Windows）下出现的如$NtUninstallQ823980$ 、$NtUninstallQ814033$ 这类文件夹是Windows Update 或安装微软补丁程序留下的卸载信息，用来卸载已安装的补丁，按补丁的编号如Q823980、Q814033 可以在微软的网站查到相应的说明。请注意与恶意代码建立的文件夹区分。
四、压缩文件杀毒工具对其不能删除的病毒的手工杀毒的方法教程：
这类病毒大多是在IE临时文件里的，请对临时文件进行清除即可清楚此类病毒，建议定时清理IE临时文件。
补充：
1.)检查注册表
看HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼Curren Version和HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion下，所有以 “Run”开头的键值名，其下有没有可疑的文件名。如果有，就需要删除相应的键值，再删除相应的应用程序。
2.)检查启动组
木马们如果隐藏在启动组虽然不是十分隐蔽，但这里的确是自动加载运行的好场所，因此还是有木马喜欢在这里驻留的。启动组对应的文件夹为：C:＼windows＼start menu＼programs＼startup，(查了下C没这个东西？希望大家来研究，看你们的有这个目录没？)在注册表中的位置： HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Explorer＼ Shell
Folders Startup="C:＼windows＼start menu＼programs＼startup"。要注意经常检查这两个地方哦！
3.)Win.ini以及System.ini也是木马们喜欢的隐蔽场所，要注意这些地方
比方说，Win.ini的[Windows]小节下的load和run后面在正常情况下是没有跟什么程序的，如果有了那就要小心了，看看是什么；在 System.ini的[boot]小节的Shell=Explorer.exe后面也是加载木马的好场所，因此也要注意这里了。当你看到变成这样： Shell=Explorer.exe wind0ws.exe，请注意那个wind0ws.exe很有可能就是木马服务端程序！赶快检查吧。
4.)对于下面所列文件也要勤加检查，木马们也很可能隐藏在那里
C:＼windows＼winstart.bat、C:＼windows＼wininit.ini、Autoexec.bat。
5.)如果是EXE文件启动，那么运行这个程序，看木马是否被装入内存，端口是否打开。如果是的话，则说明要么是该文件启动木马程序，要么是该文件捆绑了木马程序，只好再找一个这样的程序，重新安装一下了。
6.)万变不离其宗，木马启动都有一个方式，它只是在一个特定的情况下启动
所以，平时多注意一下你的端口，查看一下正在运行的程序，用此来监测大部分木马应该没问题的。
关于“Eset”下的病毒
windhcp.ocx,windhcp.dll和变态的iexpl0re.exe的清除2006年12月13日 星期三 10:40
本文的眼：iexpl0re.exe注册的启动项的名称很搞笑，是ravtask，猛一看是瑞星。文件的存放路径也很有迷惑性C:\Progra~1\Eset\，跟ESET（NOD32）也干上了？windhcp.dll由windhcp.ocx释放。
具体案例见 http://bbs.360safe.com/viewthread.php?tid=56049pid=194432page=1extra=page%3D1#pid194432
1 杀毒前关闭系统还原：右键 我的电脑 ，属性，系统还原，在所有驱动器上关闭系统还原 打勾即可。
清除IE的临时文件：打开IE 点工具--Internet选项 : Internet临时文件，点“删除文件”按钮 ，将 删除所有脱机内容 打勾，点确定删除。
重启计算机 然后再进入安全模式执行如下的操作
--------------------------------------------------------------
以下的操作都要求安全模式下进行。
[安全模式？重启电脑时按住F8 选择进入安全模式]
--------------------------------------------------------------
2 SREng 删除如下各项
方法http://hi.baidu.com/teyqiu/blog/item/f706213fc52346ec54e72351.html
启动项目 --注册表 的如下项
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
ravtaskC:\Progra~1\Eset\iexpl0re.exe [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
{1A404685-7563-4d02-B0F6-58B308A406A9}c:\docume~1\admini~1\locals~1\temp\vyvorqfe.dll []
启动项目 --服务--Win32服务应用程序下的
[Windows DHCP Service / WinDHCPsvc]
C:\WINDOWS\system32\rundll32.exe windhcp.ocx,startMicrosoft Corporation
手动删除如上涉及的病毒文件
C:\Progra~1\Eset\iexpl0re.exe
c:\docume~1\admini~1\locals~1\temp\vyvorqfe.dll
c:\windows\windhcp.ocx
215366M.BMP不仅是一个后门程序，专门启动木马的病毒，
而且还做程序劫持.
启动的木马病毒有：
一是 10.exe,9.exe,sxs.exe都是柯楠图标（通过autorun.inf加载注册表，并启动运行）是一个典型的移动硬盘病毒！同时其它硬盘也会感染具有一般U盘病毒特征。同时他是一个循环程序~~通过这个文件在其他电脑上启动215366M.BMP。这些U盘病毒的删除方法我也提过，但是这个比较好删，可以直接删除（每个硬盘里的！autorun.inf也一起删掉）
二是启动 QQHX.dat,xeklsk.exe,zts2.dll(是征途盗号木马病毒ztdll.dll的变种）等多种大型游戏木马病毒！（有dllwm.dll和xeklsk.dll做单一删除没用，但是为做准备还是要结束任务删掉）
三是 启动svhost32.exe,该病毒的启动同原来的一样，但是更具威胁性，删除方法以前说过了！！可在本博客里找到，我就不再说了，太多了。
四是 启动一些其他后门程序本人没有记录抱歉，因为其危害作用没有找到，所以没有记录但是在C:\Documents and Settings\ksx\Local Settings\Temp文件夹中都有文件名后缀为exe。结束运行任务然后一并删除以做准备！
五是 劫持所有window正常运行程序！
劫持程序有：services.exe lsass.exe
svhost.exe
spolsv.exe
guard.exe
nvsvc32.exe
alg.exe
explorer.exe
windowstime.exe
avp.exe
ctfmon.exe
wuaudt.exe
winlogon.exe等程序，暂且不理它。
~~~~~~~~~~~~`````````````````````````````````````````````````
现在准备工作做完就等他运行了！所以在这里我提一下，我用江民试过有出现“屡禁不止”的现象，瑞星没用过不太清楚。然后就是用卡巴把它清掉，215366M.BMP在正常和安全模式下都无法删除的！只能删除215366M.dll虽然没用，下次启动系统的时候还会有的，但是还是删掉吧看了烦人。没用装卡巴的朋友就装卡巴6.0个人版（kaspersky anti-virus 6.0个人版，我本人比较支持英文原版的）在这里我要说一下卡巴的设置在防护那拦中把“潜在的危险软件：远程访问工具，恶作剧程序，玩笑”打对号！在主动防护中“应用程序完成件控制”打对号。卡巴要更新才行。一切都准备好了后，重启电脑，就等它杀毒了呵呵。等这些病毒杀完后，最后在注册表中把刚才出现的
svhost32.exe
10.exe,9.exe,sxs.exe
215366M.BMP
QQHX.dat,xeklsk.exe,zts2.dll这些删掉（我刚才说有几个没有记录的东西，在查找svhost32.exe时可能会在一起）这样就可以搞定了.
该病毒由本人亲自服毒一步步完成解毒，请想转贴的朋友带上本人博客并且府上作者名字，谢谢！(在在这里特别提一下，制作这个病毒的人真TMD是个犊子，王八蛋！一个病毒呈现出所有病毒能出现的特征，不佩服都不行）
有什么不懂或删不掉的情况告诉本人（请尽量详细的说明情况）本人将尽量帮大家解决问题！避免重装系统这样麻烦的事！
c盘 esupport文件能删除吗?
不建议删除，
esupport文件夹里的文件是：驱动和预装的应用软件的备份，不建议删除，可以拷贝到其他盘。
华硕笔记本C盘 esupport删除了不会影响系统还原，这个是驱动文件。相当于一个驱动备份，如果不需要可以删除或移动到其他磁盘。系统有专门的备份隐藏分区。