手工清除ShareQQ木马

前言：

　　这是我去年的心得，在打开以前收集的资料中，发现了那次让我心痛的夜晚。最近OICQ也用得少，也不知道现在是否还有这种木马，现在发表出来，希望对骑上了木马的人能尽快下马：）

　　

1、打开注册表，删除以下键值：

[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run]
"NetConfig"="C://WINNT//System32//SPOLSV.exe"

[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/SQ]
"LastConfigInformation"="NetConfig"

[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnce]
"Winin"="C://WINNT//Winin.exe"

2、删除以下文件：
 %WinDir%/WinIn.Exe           -- 具有生育功能，以下两文件是它的子女。:-)
 %WinDir%/System32/SPOLSV.EXE
 %WinDir%/System32/SPOLSV.DLL

3、文件分析：
(1)、WinIn.Exe，由注册表内容得知，在系统启动完成后，它必将运行一次，它的主要任务就是：检测SPOLSV.EXE及SPOLSV.DLL是否存在。如果不存在，则马上重新分娩，呵呵:-)
(2)、SPOLSV.DLL，使用“快速查看”可知，它导出两个函数，分别是StartHook和EndHook。对于其函数的作用，我想不必多说。
(3)、SPOLSV.EXE，我想这个文件，不过充其量----做些小偷小摸的事情。

4、评论：
(1)、该病毒通过电子邮件形式传播。一打开邮件，附件自动下载。
(2)、该病毒有严重Bug，在Windows NT4.0下运行，会自露马脚，弹出错误对话框。其标题为ShareQQ什么的。至于在Win9x下是否有此现象，本人不得而知。

有任何疑问均可到我的主页上给我留言http://CoolSlob.fykj.com/