winlogon.exe病毒介绍以及清楚查杀方法（winlog.exe鐥呮瘨）

大家好,今天就和小月一起来看看这个问题吧 。winlog.exe鐥呮瘨，winlogon.exe病毒介绍以及清楚查杀方法很多人还不知道，现在让我们一起来看看吧！

文件：winlogon或winlogon.exe进程名称：Microsoft Windows登录进程

描述：

WinLogon.exe视窗NT登录管理器。它用于处理您的系统的登录和登录过程。这个过程在你的系统中的作用非常重要。

生产：微软公司所属：微软视窗操作系统

流程：是后台程序：是

使用网络：否

硬件相关：否

常见错误：未知不适用

内存使用情况：未知

安全级别(0-5): 0

间谍软件：否

广告软件：号

病毒：没有。

木马：没有。

Winlogon.exe病毒感染后的过程：

Winlogon.exe也可能是W32。Netsky.D@mm蠕虫。病毒通过邮件传播，当你打开病毒发送的附件时，你就会被感染。该病毒会在受害者的电脑上创建SMTP引擎，并发送大量电子邮件进行传播。该病毒允许攻击者访问您的计算机并窃取密码和个人数据。建议删除此流程的安全级别。

如果你发现你的系统程序里有一个大写的WINLOGON.EXE和一个小写的winlogon.exe，那么恭喜你，你感染了落雪病毒。大写的WINLOGON.EXE是病毒文件，落雪木马，也叫特洛伊/PSW。GamePass，是用VB编程语言写的。通过nSPack3.1外壳处理(俗称“北斗壳”北极星)，木马文件图标一般为红色图案，伪装成网游登陆者。

winlogon.exe病毒感染情况分析：

snow病毒运行后，会在c盘和windows目录下的programfile中生成C:windowswinlogon.exe。

C:WINDOWS.com

C:WINDOWSExERoute.exe

C:WINDOWSiexplore.com

C:WINDOWSfinder.com

c : windows系统系统32command.pif

C:Windowssystem32command.com

C:WINDOWSsystem32dxdiag.com

C:WINDOWSsystem32finder.com

c : windows系统32MSCONFIG。计算机输出缩微胶片

C:WINDOWSsystem32regedit.com

C:WINDOWSsystem32rundll32.com

C:WindowsWINLOGON。可执行程序的扩展名

C:WINDOWSservices.exe

C:WINDOWSDebugDebugProgramme.exe

如多个病毒文件，病毒文件数量相对较少。其实这14个文件名不同的病毒文件是同一个文件，“落雪”这个名字也可能来源于此。病毒文件名被模拟为正常的系统工具名，但文件扩展名被更改为。com。这种病毒利用了Windows操作系统执行。com文件的优先级高于EXE文件。这样，当用户调用系统配置文件Msconfig.exe时，一般习惯上是进入Msconfig，但这不是微软的Msconfig.exe程序，而是病毒文件Msconfig.com。由此可见，落雪病毒作者的“良苦用心”。该病毒的另一个伎俩是，它还创建了一个名为winlogon.exe的进程，并将winlogon.exe的路径指向c:windowsWINLOGON.EXE，而正常的系统进程路径是C:WINDOWSsystem32winlogon.exe，以此来迷惑用户。

该病毒除了在c盘下生成很多病毒文件外，还会修改注册表文件的关联，用户每点击一个html文件，病毒就会运行。此外，该病毒还会在其他磁盘下生成一个autorun.inf和一个pagefile.com文件来自动运行批处理文件，这样即使清除了c盘目录下的病毒文件，当用户打开D盘时，病毒仍然会被激活运行。这也是很多用户反映病毒不断查杀的原因。

Winlogon.exe病毒手动查杀方案：

最近，WINLOGON.EXE病毒在网络上非常流行，许多朋友都上当了。很多杀毒软件都能找到，但是无论如何都无法删除。

不知什么原因，这种病毒的中文翻译叫“落雪”，也叫“飘雪”。是不是很美？

我查了一下，发现进程中多了一个大写的WINLOGON，在winnt或者windows的目录下。正常情况下，这个进程应该在winnt或者windows/system32的目录下。这个过程不言而喻。注册表下的启动项包含一个Torjan pragramme的启动项，不能完全删除。

以下是删除它的方法：

在这个过程中使用WINLOGON.EXE

这个木马非常厉害，能破坏掉木马克星等许多著名的杀毒软件，使其不能正常运行，就算能正常运行，也会错误杀毒或查毒。目前使用其他杀毒软件未能杀死。但是很明显，人工也可以看出，那个WINDOWS下的WINLOGON.EXE确实是病毒，但是，她不过是这个病毒中的小角色而已，大家用鼠标右键【打开】，打开D盘看看是否有一个pagefile的DOS指向文件和一个autorun.inf文件了，这些当然都是隐藏的，删这几个没用的，因为她关联了很多东西，甚至在安全模式都不能删死，只要运行任何程序，或者双击打开D盘，她就会重新被安装了。而且这段时间很多人的帐号被盗就是因为这个解除的传家宝了。

我分析了一下这个木马的资料，连接是通向河南和天津的某一地区，看来是国内的。而且她很有趣，如果你机子上有传奇等游戏，必然惹来她的亲吻，那么说QQ之类的帐号密码会不会被泄漏，这个不清楚，但起码我有些朋友已经被盗了。

解决“落雪”病毒的方法

症状：D盘双击打不开，而且里面有autorun.inf和pagefile.com文件

此病毒的制作者很了解系统的运作，因此此两个文件难以删除，在安全模式用Administrator一样解决不了！经过一个下午的奋战才算勉强解决。 我没用什么查杀木马的软件，全是手动一个一个把它揪出来把他删掉的。它所关联的文件如下，绝大多数文件都是显示为系统文件和隐藏的。 所以要在文件夹选项里打开显示隐藏文件。

D盘里就两个，搞得你无法双击打开D盘。C盘很多相关文件程序

D:autorun.inf

D:pagefile.com

C:Program FilesInternet Exploreriexplore.com

C:Program FilesCommon Filesiexplore.com

C:WINDOWS.com

C:WINDOWSiexplore.com

C:WINDOWSfinder.com

C:WINDOWSExeroud.exe（传奇的图标，很漂亮）

C:WINDOWSDebug*** Programme.exe（也是上面那个图标，名字每台机子都不同，但是明显是非隐藏的）

C:Windowssystem32command.com 这个不要轻易删，看看是不是和下面几个日期不一样而和其他文件日期一样，如果和其他文件大部分系统文件日期一样就不能删，当然系统文件肯定不是这段时间的。

C:Windowssystem32msconfig.com

C:Windowssystem32regedit.com

C:Windowssystem32dxdiag.com

C:Windowssystem32rundll32.com

C:Windowssystem32finder.com

C:Windowssystem32a.exe

值得注意的是：看看这些文件的日期，看看其他地方还有没有相同时间的文件还是.COM结尾的可疑文件，小心不要运行任何程序，要不就又启动了，包括双击磁盘，还有一个头号文件！WINLOGON.EXE！做了这么多工作目的就是要离开她的亲吻！

C:WindowsWINLOGON.EXE

这个在进程里明显可以看得到，有两个，一个是真的，一个是假的。

真的是小写winlogon.exe，（不知你们的是不是），用户名是SYSTEM，

而假的是大写的WINLOGON.EXE，用户名是你自己的用户名。

这个文件在进程里是中止不了的，说是关键进程无法中止，搞得跟真的一样！就连在安全模式下它都会

呆在你的进程里！ 我现在所知道的就这些，要是不放心，就最好看一下其中一个文件的修改日期，然后用“搜索”搜这天修改过的文件，相同时间的肯定会出来一大堆的， 连系统还原夹里都有！！ 这些文件会自己关联的，要是你删了一部分，不小心运行了一个，或在开始－运行里运行msocnfig，command，regedit这些命令，所有的这些文件全会自己补充回来！

知道了这些文件，首先关闭可以关闭的所有程序，打开程序附件里头的WINDOWS资源管理器，并在上面的工具里头的文件夹选项里头的查看里设置显示所有文件和文件假，取消隐藏受保护操作系统文件，然后打开开始菜单的运行，输入命令 regedit，进注册表，到

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

里面，有一个Torjan pragramme，这个明摆着“我是木马”，删！！

然后注销！ 重新进入系统后，打开“任务管理器”，看看有没rundll32，有的话先中止了，不知这个是真还是假，小心为好。 到D盘（注意不要双击进入！否则又会激活这个病毒）右键，选【打开】，把autorun.inf和pagefile.com删掉，

然后再到C盘把上面所列出来的文件都删掉！中途注意不要双击到其中一个文件，否则所有步骤都要重新来过！ 然后再注销。

我在奋战过程中，把那些文件删掉后，所有的exe文件全都打不开了，运行cmd也不行。

打开我的电脑点工具==>文件夹选项==>文件类型==>新建exe扩展名，点高级选应用程序。

即可运行

但我在弄完这些之后，在开机的进入用户时会有些慢，并会跳出一个警告框，说文件"1"找不到。（应该是Windows下的1.com文件。）,最后用System Repair Engineer看情况修理一下系统的启动项、系统关联等。

最后说一下怎么解决开机提示找不到文件“1.com”的方法：

在运行程序中运行“regedit”，打开注册表，在[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon]中

把"Shell"="Explorer.exe 1"恢复为"Shell"="Explorer.exe" 当然这也是启动项罢了。

杀毒软件查杀winlogon.exe病毒方法：

请更新你的杀毒软件病毒库到最新版本进行查杀

这篇文章到此就结束，希望能帮助到大家。