定期检查系统自动加载的地方，比如：注册表，Winstart.bat，Autoexec.bat，win.ini，system.ini，wininit.ini，Autorun.inf

病毒运行后创建自己的压缩包命名为PHOTOS.ZIP释放到%WINDIR%目录下，放出一名为syshosts.dll的动态库到%SYSTEM%目录下，将动态库蛀入系统多个线程中实现其传播的功能。

IEXPLORER进程和lente服务是隐藏的，于是禁止lente服务。（假如没有 icesword也没问题，进入安全模式，system32文件夹下搜索_hook.dll，发现一个systen_Hook

”，在弹出的对话框中，点击“更改图标”按钮，然后系统会打开c：\windows\system\shell32.dll文件名下的很多图标，任选一个，按确定之后会发现

先在服务里关闭IIS admin service服务，找到Windows\System32\Inesrv目录下的Metabase．xml并打开，找到

系统启动设置为软驱引导；用软盘进行引导(请确认是Windows 98系统的无毒引导盘)，引导进入纯DOS系统下，进入C:\windows\system目录内，将其目录下的Shfolder.dll删除；重新启

建议对一般用户只给予读取权限，而只给管理员和System以完全控制权限，但这样做有可能使某些正常的脚本程序不能执行，或者某些需要写的操作不能完成，这时需要对这些文件所在的文件夹权限进行更改，建议在做更改前先在测试机器上作测试，然后慎重更改。

\shell\open\command下的键值，将“C:\WINDOWS \NOTEPAD.EXE ％1”改为“C:\WINDOWS\SYSTEM\SYSEXPLR.EXE ％1”，这时你双击一个TXT文件后，原本应用NOTEPAD打开文件的，现在却变成启动木马程序了。还要说明的

共产生14个文件和2个文件夹。注册表部分，除了1个Run和System.ini，比较有特点是，非普通地利用了EXE文件关联。先修改了.exe的默认值，改.exe从默认的exefile更改

的所有文件 3.删除 C:\Documents and Settings\*******\Cookies\下的所有文件 4.删除 c:\winnt\*.tmp\下的所有文件, 5. 删除:C:\WINDOWS\SYSTEM32\最新的dll文件（注意确定自己是否最近有安装软件，有就要谨慎