Trojan-Clicker.Win32.VB.nx手动清除方法

<BR>&nbsp; &nbsp;
<P>　　病毒描述：</P>
<P>　　该病毒属木马类。病毒运行后为伪装自己，在运行后连接两个网址，以达到掩人耳目的目的。当用户没有安装腾讯QQ时，或没有登陆QQ时，病毒除了打开两个网站窗口外，不做任何操作。当用户登陆QQ后，会向QQ好友发送一段文字，诱骗用户点击一个名为h**p:\\www.h**.cn的网址，该网站含有病毒，病毒会延时运行，运行后，添加注册表启动项，以达到随系统启动的目的。该病毒对用户有一定危害。</P>
<P>　　行为分析：</P>
<P>　　1、该病毒运行后在系统目录释放文件与病毒副本</P>
<P>　　%\system32\%N0TEPAD.EXE　　　Trojan-Clicker.Win32.VB.nx</P>
<P>　　%\system32\% macromed</P>
<P>　　%\system\% cyjmnhfre.exe　　 Trojan-Clicker.Win32.VB.nx</P>
<P>　　%\system\%N0TEPAD.EXE 　　　 Trojan-Clicker.Win32.VB.nx</P>
<P>　　%\system\%win.dll</P>
<P>　　%\system\%windll.dll</P>
<P>　　%\Windir\%N0TEPAD.EXE　　　　Trojan-Clicker.Win32.VB.nx</P>
<P>　　2、新建注册表项：</P>
<P>　　HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run</P>
<P>　　cyjmnhfre.exeMicrosoft Corporationc:\winnt\system\cyjmnhfre.exe</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DownloadManager\</P>
<P>　　3、病毒会尝试连接下列网址：</P>
<P>　　H**p://www.1***i.com/</P>
<P>　　h**p://www.****-down.com/19.htm</P>
<P>　　4、病毒运行后会向当前用户发送实时性消息，如今天是7月31日，会发送如下内容：</P>
<P>　　“7月31是今年的七夕情人节，“当前用户网名”，在这个特别的日子里，祝你天天开心。今天送一朵电子玫瑰给特别的你，一定要记得我哦！</P>
<P>　　在浏览器中输入下面地址就可下载这朵玫瑰</P>
<P>　　h　b h　h　h.c n(去掉中间的空格)</P>
<P>　　注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。</P>
<P>　　清除方案：</P>
<P>　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。</P>
<P>　　(1) 使用安天木马防线“进程管理”关闭病毒进程</P>
<P>　　与病毒名称同名进程.</P>
<P>　　(2) 删除病毒文件</P>
<P>　　%\system32\%N0TEPAD.EXETrojan-Clicker.Win32.VB.nx</P>
<P>　　%\system32\% macromed</P>
<P>　　%\system\% cyjmnhfre.exeTrojan-Clicker.Win32.VB.nx</P>
<P>　　%\system\%N0TEPAD.EXETrojan-Clicker.Win32.VB.nx</P>
<P>%\system\%win.dll</P>
<P>　　%\system\%windll.dll</P>
<P>　　%\Windir\%N0TEPAD.EXETrojan-Clicker.Win32.VB.nx</P>
<P>　　(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项</P>
<P>　　HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run</P>
<P>　　cyjmnhfre.exeMicrosoft Corporation%\winnt\system\%cyjmnhfre.exe</P> <BR>

һ¥