（1）检查c:DATAnormal.dot，直接删除该文件。
（2）如果 C:windowsstartmenuprograms
startup目录下有explorer.doc这个文件，删除它。
2、通过win.ini和system.ini来加载木马。在Windows系统中，win.ini和system.ini这两个系统配置文件都存放在C:windows目录下，你可以直接用记事本打开。可以通过修改win.ini文件中windows节
的“load=file.exe ，run=file.exe”语句来达到木马自动加载的目的。此外在system.ini中的boot节，正常的情况下是“Shell=Explorer.exe”（Windows系统的图形界面命令解释器）。如果此处修改成其他的可执行文件就可以实现木马的加载，例如“妖之吻”病毒，电脑每次启动后就自动运行程序yzw.exe，修改的方法是编辑
system.ini，将“shell=yzw.exe”还原为“shell=explorer.exe”就可以了。
前不久发生的TROJ_BADTRANS.A病毒，也是通过E-mail传递的，它能将木马种到用户的计算机中以窃取用户的资料，会更新win.ini以便在下一次重新开机时执行。执行清除的步骤如下：
（1）在DOS命令行中输入win.ini并运行。
（2）将win.ini文本文件中：RUN=“C:%WINDIR%INETD.EXE”这行删除，仅保留“run=”。
（3）启动病毒查杀软件，将查找出的带有TROJ_BADTRANS.A病毒的文件删除 。
3、通过在注册表中实现。木马只要被加载，尽管有可能会隐藏得比较好，但一般都会在注册表中留下痕迹。一般来说，木马在注册表中自动加载的实现是在HKEY_LOCAL_MACHINESoftware
MicrosoftWindowsCurrentVersion下的RunServices、RunServicesOnce、Run、RunOnce等子键，以及
HKEY_CURRENT_USERSoftware
MicrosoftWindowsCurrentVersion下的Run、RunOnce、RunServices等子键处。
此外在注册表中的HKEY_CLASSES_ROOT
exefileshellopencommand=““%1”
%*”处，如果其中的“%1”被修改为木马，那么每次启动一个该可执行文件时木马就会启动一次，例如著名的冰河木马就是将TXT文件的Notepad.exe改成了它自己的启动文件，每次打开记事本时就会自动启动冰河木马，做得非常隐蔽。
TROJ_NAVIDAD.A就是通过上述方式启动的，它以E-mail夹带附件“NAVIDAD.EXE”进行散播。如果执行该附件，电脑就会中毒，该病毒会将自己转发给电脑通讯录里所有的好友名单，并修改Windows的注册表。这种方式的木马如果手工清除，步骤如下：
（1）键入DOS命令以重新命名regedit.exe为 regedit.com(本步骤可选)。
|
