文件关联型木马的特殊化查杀(2)

    因为木马程序被作为所有EXE文件的调用程序，使得它可以长期驻留内存，每次都能恢复自身文件，所以在一般用户看来，这个木马就做到了“永生不死”或认为是又“死灰复燃”了，其实用户了解这些木马的原理后，就知道它既不能“长命百岁”，也没有“死而复生”的能力。

　　三、后果严重

　　然而，用户一旦将木马程序删除，Windows系统就会找不到相应的调用程序，于是正常程序就无法执行了，这就是所谓的“所有程序都无法运行”的情况来源。并不是木马更改了系统核心，当然用户也就没必要因此重装整个操作系统啦。

    四、根除方法
 
　　根除这种木马的最简单方法只需要查看EXE文件的打开方式被指向了什么程序，立即停止这个程序的进程，如果它还产生了其他木马文件的话，也一起停止。紧随其后，在保持注册表编辑器开启着的情况下（否则你的所有程序都会打不开了）删除掉所有木马文件（前提是用户知道哪些是目木马文件，所以还不熟悉系统的用户抓紧时间恶补吧），把exefile的“打开方式”项（HKEY_CLASSES_ROOT\exefile\shell\open\command）改回原来的“”%1” %*”即可。 
 
　　如果删除木马前忘记把并联方式改回来，就会发现程序打不开了，这时候千万不要乱了方寸。如果你是Win9x用户，请使用“外壳替换大法”：重启系统后，按F8进入启动菜单选择MS-DOS模式，把Explorer.exe随便改个名字，再把REGEDIT.EXE改名为Explorer.exe，再次重启后会发现进入Windows只剩下一个注册表编辑器了，赶快把并联方式改回来吧！再次重启的时候，别忘记恢复以前的Explorer.exe程序名。
 
　　对于Win200用户而言，这个操作就更简单了，只要在开机时按F8进入启动菜单，选择“命令提示符的安全模式”进行启动，系统就会自动调用命令提示符界面作为外壳，直接在里面输入REGEDIT即可打开注册表编辑器！
 
　　而XP用户甚至不需要重启系统，就可以直接在“打开方式”里输入“CMD”后回车，就能打开“命令提示符”界面，然后运行注册表编辑器REGEDIT.EXE就OK了。接下来需要做的就是把程序的打开方式改成“”%1” %*”即可。
 
　　结束语：很多刚接触计算机的用户都会遇到一些问题，此时需要静下心来仔细分析自己遇到的现象，多向“高手”请教，不断提高自己的“功力”才是最根本的解决之道！