目前大多数玩家ID被盗,除了玩家自己对自己ID保管不善以外,我想大多数都是因为中了木马. 其中 西游木马应该是最严重的.下面我总结了些东西,希望能给各位提个醒,减少不必要的损失 首先我先介绍一下西游木马 西游木马变种U（Trojan.PSW.XYOnline.u）”病毒：警惕程度★★★，木马病毒，通过网络传播，依赖系统：WIN9X/NT/2000/XP。 病毒运行后将自身复制到Windows目录中，修改注册表实现自启动。病毒会中止多种杀毒软件的运行,造成它们无法使用。病毒会记录用户的键盘和鼠标操作，窃取“梦幻西游Online”玩家的游戏账号和密码。 由此可以看出来,这是一款针对梦幻西游的后门程序,通过记录用户的键盘与鼠表操作,加以分析,然后通过MAIL方式传回给下木马的人. 怎么防止呢?首先要养成良好的上网习惯. 1.没有杀毒软件没有防火墙绝不上网 2.不接受不明软件,不进入不明连接,哪怕是最好的朋友介绍也要先查下毒先. 3.及时更新病毒库和杀毒引擎. 4.上游戏前养成查看系统有无不正常进程或者不正常程序的习惯 5.进入游戏的时候养成使用小键盘和软键盘的习惯.如果在网吧上网一定要注意周围有没有人对你的帐号特别注意. 这些只是防范措施,众所周知.现在下木马的手法越来越隐蔽,越来越高明. 如果真的不幸中招了也请不要慌张.请跟我做以下的步骤,应该可以帮您清楚掉您Pc中的"西游木马" 一，首先如何判定自己是否已中木马。
如果手头有现成的木马查杀工具，可用其进行快速扫描。然后查看报告。如果没有，可打开任务管理器查看进程。如在进程中发现异常进程，在《木马清除方法》一文中提到了LSASS.exe这个进程。但在清除过程中我发现有时是WINLOGON.exe。很多人误以为这是系统进程，但如果注意大小写和用户名的话不难发现，真正的系统进程为小写，即winlogon.exe。如果发现此情况，就大致可以断定机器已中木马。
二，查杀木马前的准备工作。
该木马这是一个游戏盗号木马，除了创建自启动项、关联EXE文件外，它还修改了很多其它关联信息
由于该进程无法用户直接结束，所以我们需要借助一些工具，我个人推荐冰刃和SREng这两款工具。
首先在开始—运行中输入regedit打开注册表编辑工具，然后修改两款工具的扩展名.exe为.com。因为该木马在任何扩展名为.exe的程序执行后自动创建，如果不按此操纵，刚结束它就又创建了，另外一种方法是在开始—运行中输入regedit打开注册表编辑工具，然后在冰刃的选项中禁止创建新的进程。
三，查杀木马。
运行SREng。恢复EXE文件关联，接下来删除和恢复木马的启动信息，删除掉那堆木马文件。
如下：
%Windows%/1.com
%Windows%/ExERoute.exe
%Windows%/explorer.com
%Windows%/finder.com
%Windows%/WINLOGON.EXE
%Windows%/Debug/DebugProgram.exe
%System%/command.pif
%System%/dxdiag.com
%System%/finder.com
%System%/MSCONFIG.COM
%System%/regedit.com
%System%/rundll32.com
%ProgramFiles%/Common Files/iexplore.pif
%ProgramFiles%/Internet Explorer/iexplore.com
以上操纵完成后我们切换到注册表编辑器，开始对以下项进行恢复。
查找：command.pif，把找到的“command.pif”改为“rundll32.exe”
查找：explorer.com，把找到的“explorer.com”改为“explorer.exe”
查找：iexplore.pif，把找到的“iexplore.pif”，连同路径一起改为对应的正确路径“%ProgramFiles%/Internet Explorer/iexplore.exe”，例如：C:/Program Files/Internet Explorer/iexplore.exe
查找：iexplore.com，把找到的“iexplore.com”改为“iexplore.exe”
查找：finder.com，把找到的“finder.com”改为“rundll32.exe”
查找：rundll32.com，把找到的“rundll32.com”改为“rundll32.exe”
创建的启动信息有：
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run]
"Torjan Program"="%Windows%/WINLOGON.EXE"
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Runservices]
"Torjan Program"="%Windows%/WINLOGON.EXE"
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon]
"Shell"="Explorer.exe 1"
原始值：
"Shell"="Explorer.exe"
再所有操纵之前，打开文件夹选项，在查看中，取消掉隐藏受保护的操纵系统文件。再选择显示所有文件和文件夹，然后是取消掉隐藏已知文件类型的扩展名
所有操纵完毕后重启机器，然后再次查看进程。确定一下木马是否成功查杀。 这些是我整理出来的对付西游木马的办法,也许您早就知道,但是还是希望您要小心再小心,注意再注意,保护好您的ID
|
