循序渐进 教你揪出伪装并清除木马

    
    仔细观察一下，发现两个程序文件大小相同，不过有个Wmiprvse.exe文件在Windows2目录下，接着进一步看了两个文件夹的创建时间，Windows2确实是在自己重装系统时间内，所以两个都是系统目录，只是前一个在最后一次没有删除干净。此时笔者再打开“任务管理器”对话框，发现系统里存在两个Wmiprvse.exe进程，分别由不同权限的用户运行。于是上网又查了查资料，里面说位于\System32\wbem文件下的文件才是正常的文件，换句话说没有直接删除的Windows\System32\wbem下的Wmiprvse.exe文件是病毒文件。接着笔者在“任务管理器”对话框内，将其进程停止后，又进入到了该进程文件夹内，将其病毒文件删除。本以为病毒就这样被消灭了，还没等笔者重新启动，也就过了十分钟左右，这个病毒进程又出现在了任务管理器上。

　　于是笔者下了狠心，抱着宁可错杀一个，绝不放过一个病毒文件的心理，再次停止该木马进程，将Windows2目录里的文件全部删除后，又在注册表编辑器里，搜索将相关键值进行删除，接着重新启动了一下计算机，然后打开“任务管理器”对话框，发现Wmiprvse.exe进程已经不见了，并且系统总自动重新启机的现象也以消失了，这样一来真假“美猴王”就见了分晓。如果你跟笔者一样碰到了伪装Wmiprvse.exe程序的木马，不如按照本文的思路将病毒清除，何必又采用费时费力的重装方案。