一、 首先，确认病毒文件确实存在。
打开 windows资源管理器，依次点工具－文件夹选项－查看，选上“显示所有文件和文件夹”和“显示系统文件夹的内容”；去掉“隐藏已知文件类型的扩展名”和“隐藏受保护的操作系统文件”前面的对钩。这样操作之后应该可以看到所有文件了吗？未必，有时中毒之后，这些设置会被禁止，或者设置马上失效。有些病毒文件，在能成功设置后，还是看不到。但你用手头的winrar却可以看到所有文件。
举个例子，每个盘符下都有RECYCLED（回收站）这个文件夹。当你右键清空后，里面什么文件也没了。打开WINRAR，看看这个文件夹，还有两个文件：INFO2和desktop.ini，还有一个特殊的文件夹 :\WINDOWS\Downloaded Program Files\,这个文件夹是常被病毒利用的。你用WINDOWS资源管理器和WINRAR分别打开看看，内容有什么不同？
推荐WINRAR的原因是这个软件是装机必备的，一般人手头都有。
类似winrar可以看到这些藏匿的文件的软件还有号称资源管理器终结者的Total Command、经典的看图软件ACDSEE(3.1以前的版本）等，当然，冰刃IceSword和WSYSCHECK这两个软件，也可以看到所有文件，并且是我们最终推荐的，因为其强制删除文件的功能非常强大。（冰刃的名声太大了，最近有很多病毒在发作后，把冰刃和其他杀软都作为攻击目标，导致带冰刃“IceSword”这个名字的文件都不能下载，更不能打开。WSYSCHECK这个软件目前还可以应一时之急。）
还有一个不用任何软件就能确认病毒文件是否存在的办法，就是在病毒文件所在的目录下，建立一个和病毒文件同名的文件或文件夹。我们要利用电脑文件系统的一个规则，不允许同名的文件和文件夹在一个路径下生成。在病毒文件所在目录，点右键，新建－文件，然后把新建的文件重命名为病毒文件的名字（带扩展名），这时如果提示：“重命名文件或文件夹时出错，指定的文件与现有文件重名....”，就可以肯定病毒文件是存在的了。
二、确认病毒文件确实存在了。在删除之前，要终止病毒进程。然后删除病毒文件会顺利一些。最简单的就是windows的任务管理器。能停止病毒服务当然更好。
此类的进程管理软件很多，比如瑞星卡卡的进程管理，windows杀毒助手、冰刃IceSword和WSYSCHECK。其中的冰刃IceSword和WSYSCHECK有禁止进程创建功能，可以防止病毒进程和服务在终止后重新加载，强烈推荐。
除直接终止病毒进程的办法外，还可以使用映像劫持的办法来劫持病毒文件。
注：此步骤最好要做，但对一些菜鸟，此步骤有些难度，有时病毒进程也未必能够成功终止，就先不管了。
如果能够进入安全模式，我们就省事多了。安全模式时病毒的常规启动项和服务项不会加载。我们可以顺利删除病毒文件并修复注册表。这是个理想的境界。比较顽固的病毒发作后会破坏系统进入安全模式的相关注册表项，导致不能进入安全模式。比如3448和最近很流行的AV终结者等很多。还有一些驱动级的病毒木马流氓软件，即使安全模式也会加载并保护病毒文件和注册表项不被删除。所以不能完全依赖安全模式。 三、好了，前期工作就这些，不管做的成功与否，只要确认病毒文件已经存在，就开始删除病毒文件了。
1、首先推荐的是费尔强制删除工具。
优点：小巧，使用方便，可批量输入要删除的病毒文件的路径，即使隐藏文件不可显示也不妨。可抑制文件再生。
删除能力：8分，
缺点，某些驱动级保护文件不能删除。
建议：由于其小巧方便绿色的特点，是删除病毒文件的首选，当时不能删除的会提示重启时删除，一般文件在重启后都能删除。
2、 unlocker
优点：使用方便，对驱动保护的病毒文件删除能力出色。
删除能力：9.5分
缺点：需要安装。不能单独对付删除后马上重建的病毒文件，由于其使用时通过右键调用，所以当隐藏文件无法显示时，就没了用武之地。
使用建议：灵活运用其解锁、改名、移动、删除功能。个别删除后马上重建的病毒文件，需要用冰刃IceSword或SYSCHECK，禁止线程创建，然后再删除，这时注意要先右键打开Unlocker的窗口，再禁止进程创建，如果先禁止进程创建了，Unlocker就打不开了。或可以先用Unlocker解锁，再用费尔抑制再生后删除。注意：一些不能用它改名和移动的文件，可以用它直接删除。
3、冰刃（只谈其文件操作功能）
优点：可以看到一切文件，方便确认文件是否存在。文件样本提取功能也不错(也不是百分百能复制成功）。还有强悍的抑制进线程创建功能，可以删除马上修复重建的病毒文件（也失败过）。
删除能力：9分，不如unlocker
缺点：远程协助时，操作稍有难度，画面不能自动刷新。不能新建文件夹来抑制病毒文件重建。
建议：当单独用它删除无效时，配合其他软件灵活使用。
4、xdelbox:
删除能力：9.8分
优点：采用虚拟DOS技术，自动重启进入纯DOS环境，执行批处理，一次批量删除多个指定文件，然后自动重启恢复原系统状态。
缺点：当前操作系统必须安装在C盘。极个别笔记本会安装虚拟dos失败。
建议：使用前仔细阅读操作说明。
5、Wsyscheck:（只谈其文件操作功能）
优点：集冰刃和其他删除工具的功能于一身，功能强大。可以在删除病毒加载项时同步删除病毒文件，比较方便。
缺点：新加dos删除功能，非常规安装的操作系统（系统不在C盘和包括linux的双系统）慎用。
删除能力：9.5分以上 （新版本刚出，更新很快。实战测试不多。）
建议：名声不大，病毒还没有对它有破坏性攻击和抑制的动向，很有潜力。
四、补充说明：
1、如果以上的步骤都删除失败，（可能性千分之一），就考虑进入其他操作系统删除了。比较方便的是安装maxdos的虚拟dos系统，装了双系统的朋友可以直接到另一个系统删除。还可以使用类似深山红叶的winpe光盘操作系统。
2、如果病毒文件较多，一次删除不尽，可以重启再删。但切记删除后要建立同名文件夹来代替原文件。一是可以抑制病毒文件再生，二是防止系统重启时找不到原文件而出错。
3、以上删除能力的评分是我删除病毒文件时的实际体会，没有严格的评测依据，只供大家做个对比参考。 |
|
发表于 2008-5-29 15:44
