如何完全清除"落雪"病毒
进程中有两个WINLOGON.EXE,一个大写,另一个小写.D盘中有PAGEFILE.COM和AUTORUN.INF都小写,C盘中与此相关的文件更多,无法删除.C:\WINDOWS及启动项中有EXEROUTE.EXE(小写).任务栏中瑞星监控及防火墙图标丢失
大家有谁中了“落雪”病毒，不要着急,在做下面这些步骤以前我们要先下载木马杀客和升级包我们可以到里来下载。还有点击下载Regfix。rar将里边的 Regfix。exe改名为 。这个时候我们的EXE文件怎么改成COM呢!我们要先打开工具----文件夹选象------隐藏以知文件的扩展名,把前面的对勾去掉,然后点Regfix。
exe的属性,我们将EXE改成COM这样就可以了! 正常的winlogon系统进程，其用户名为“SYSTEM” 程序名为小写winlogon。exe。 而伪装成该进程的木马程序其用户名为当前系统用户名，且程序名为大写的WINLOGON。exe。
进程查看方式 ctrl+alt+del ，然后选择进程。正常情况下有且只有一个winlogon。exe进程，其用户名为“SYSTEM”。如果出现了两个winlogon。exe，且其中一个为大写，用户名为当前系统用户的话，表明可能存在木马。 这个木马非常厉害，能破坏掉木马XX和常用的杀毒软件，使其不能正常运行。
目前我使用江民杀毒软件未能查出，连瑞星在线杀毒对它都没有查出来，并且使防火墙处于无法启动状态，在清除病毒之后也不能启动，我不得不重新再安装一次防火墙。 在WINDOWS下的WINLOGON。EXE确实是病毒。但是，它不过是这个病毒中的小角色而已，大家打开D盘看看是否有一个pagefile的DOS指向文件（有的版本病毒还有 f文件），我机器里的pagefile不是隐藏的，而是光明正大的存在D盘里，删这个文件是没用的，因为它关联了很多东西，甚至在安全模式都存在，只要运行任何程序，或者双击打开D盘，它会重新出现在D盘。
网上有的网友说叫这个病毒为 ”落雪“ 是专门盗传奇、传奇世界的木马，至于会不会盗其他帐号如QQ，网银就不得而知了（我不会玩传奇，但是也有这个病毒!!我晕～～～～～）。同时它还将将杀毒软件里的设置进行了改变，不能启动防火墙，强制手工启动时，会出现一个窗口说防火墙某个文件失效，被windows 关闭。
真的好可恨！！ 我解决“落雪”病毒的方法 症状：D盘打开，里面有 文件 ，它所关联的文件如下，绝大多数文件都是显示为系统文件和隐藏的。 所以要在文件夹选项里打开显示所有隐藏文件。 D盘里就一个，C盘里的就多了！ D:\ C:\Program Files\Common Files\ C:\WINDOWS\ C:\WINDOWS\ C:\WINDOWS\ C:\WINDOWS\Exeroud。
exe C:\WINDOWS\Debug\DebugProgramme。exe C:\Windows\system32\ C:\Windows\system32\ C:\Windows\system32\ C:\Windows\system32\ C:\Windows\system32\ C:\Windows\system32\ C:\Windows\WINLOGON。
EXE winlogon这个在进程里可以看得到，有两个，一个是真的，一个是假的。 真的是小写winlogon。exe，用户名是SYSTEM， 而假的是大写的WINLOGON。EXE，用户名是你自己的用户名。这个文件在进程里是中止不了的，说是关键进程无法中止， 搞得跟真的一样！就连在安全模式下它都会呆在你的进程里！ 然后打开开始菜单的运行，输入命令 regedit，进注册表， 到 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 里面，有一个Torjan programme， 这个明摆着“我是木马”，证明你的电脑里已经有WINLOGON。
EXE病毒。 知道了这些文件，首先关闭可以关闭的所有程序，打开程序附件里头的WINDOWS资源管理器， 并在上面的工具里头的文件夹选项里头的查看里设置显示所有文件和文件夹，取消隐藏受保护操作系统文件。 随后我使用了木马杀客软件，进行硬盘扫描，这么作的好处是知道木马病毒所在的位置， 同时木马杀客软件将这些木马病毒进行删除操作，如果不能删除就将那些病毒进行隔离。
扫描结果是： 2006年2月16日 系统事件：启动项目中发现木马! 木马名称： 。2605 木马启动项：torjan program 木马从启动项目中清除成功! c:\windows\winlogon。exe 木马在硬盘清除成功! c:\windows\winlogon。
exe 系统事件：启动项目中发现木马! 木马名称：系统用户登录管理。3 木马启动项：torjan program 木马从启动项目中清除成功! c:\windows\winlogon。exe 核心启动中发现木马! 已经清除 1 2006年1月16日 系统事件：已发现伪系统木马! 木马名称： 。
2607 木马路径：C:\WINDOWS\ 处理方式：隔离 成功 系统事件：已发现伪系统木马! 木马名称： 。2610 木马路径：C:\WINDOWS\ExERoute。exe 处理方式：隔离 成功 系统事件：已发现木马! 木马名称：W32。
Gokar。A@mm。2062 木马路径：C:\WINDOWS\ 处理方式：隔离 成功 系统事件：已发现伪系统木马! 木马名称： 。2609 木马路径：C:\WINDOWS\ 处理方式：隔离 成功 系统事件：已发现伪系统木马! 木马名称： 。
2615 木马路径：C:\WINDOWS\system32\command。pif 处理方式：隔离 成功 系统事件：已发现伪系统木马! 木马名称： 。2614 木马路径： C:\Windows\system32\ 处理方式：删除 成功 系统事件：已发现伪系统木马! 木马名称： 。
2614 木马路径：C:\WINDOWS\system32\ 处理方式：隔离 成功 系统事件：已发现伪系统木马! 木马名称： 。2609 木马路径：C:\WINDOWS\system32\ 处理方式：隔离 成功 系统事件：已发现伪系统木马! 木马名称： 。
2616 木马路径：C:\WINDOWS\system32\MSCONFIG。COM 处理方式：隔离 成功 系统事件：已发现伪系统木马! 木马名称： 。2617 木马路径：C:\WINDOWS\system32\ 处理方式：隔离 成功 系统事件：已发现伪系统木马! 木马名称： 。
2618 木马路径：C:\WINDOWS\system32\ 处理方式：隔离 成功 系统事件：已发现伪系统木马! 木马名称： 。2618 木马路径：C:\Windows\WINLOGON。EXE 处理方式：隔离 成功 系统事件：已发现伪系统木马! 木马名称： 。
2618 木马路径：C:\WINDOWS\Debug\DebugProgramme。exe 处理方式：隔离 成功 系统事件：已发现伪系统木马! 木马名称： 。2618 木马路径：C:\Program Files\Common Files\ 处理方式：隔离 成功 然后到D盘（注意不要双击进入！否则又会激活这个病毒）右键，选“打开”，把 删掉， 然后再到C盘把木马杀客上面所列出来的文件都删掉（C盘里上述的病毒经过木马杀客的扫描已经被其屏蔽了， 并且在病毒的名字里有屏蔽的字样，很容易找到）！中途注意不要双击到其中任何一个文件， 否则所有步骤都要重新来过！其中WINLOGON。
EXE文件虽然被屏蔽了但是我们还是删不了它,我们可以 先注销然后在删,这样就可以了! 删完之后注销，但是在注销之前千万别忘了将垃圾桶清空 删掉那些文件后，所有的exe文件全都打不开了。 这个时候我们运行Regfix。COM,修复exe关联。
这样exe文件就可以运行了。打开注册表，在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon]中把"Shell"="Explorer。exe 1"恢复为"Shell"="Explorer。
exe" ，完成！！ WINLOGON。EXE病毒就杀了! 。
这里有江民发布的专杀软件
进安全模式,然后启动瑞星,如仍然无法启动,那么需要瑞星的安装光盘启动系统(2005或2006版才有效),软件会自动找到硬盘上最新的病毒库并加载,这样就可以查杀了,完了就可以自己善后了.比如清除启动中的残留项目和残留文件.
答：正常情况下winlogon.exe进程应该是小写，用户名为SYSTEM。而伪装成winlogon.exe进程的“落雪”病毒一般是大写，用户名是当前系统用户名。但...详情>>
答：可能是盗版的使用KV2005详情>>
答：你只需要重起电脑，点击F8进入安全模式，选择Administrator用户进入，你在控制面板里的用户管理里，就可以任意更改你的管理员密码详情>>
