请问中了个木马，电脑上所有的文件都被复制了，该怎么办？

楼主所说的问题，可用金山卫士进行解决。金山卫士是当前查杀木马能力最强、检测漏洞最快、体积最小巧的免费安全软件。它独家采用双引碰清擎技术,云引擎能查杀上亿已知木马，独有的本地V10引擎可全 面清除感染型木马；漏洞检测针对windows7优化，速度比喊吵仿同类软件快10倍；更有实时保护、软件管理、插件清理、修复IE、启动项管理等功能。

LZ可百度搜索金山卫士试试，希望能对你有用郑纤。

超级巡警(Anti-Spyware toolkit) v3.2.0 简体中文正式版发布

系统安全专门查杀并可辅助查杀各种木马、流氓软件、利用Rootkit技术的各种后门和其它恶意代码(间谍软件、蠕虫病毒)等等。提供了多种专业工具，提供系统 /IE修复、隐私保护和安全优化功能，提供了全面的系统监测功能，使你对系统的变化了如指掌，配合手动分析可近100%的查杀未知恶意代码！

主要特色：

1)、通用的自动化Rootkit解决方案，不使用传统特征码，即可检测各种利用Rootkit技术隐藏的木马、后门。

2)、全面检测隐藏伍宴进程、隐藏服务、隐藏端口。

3)、自动检测和修复Winsock SPI链的相关错误。

4)、蠢乱系统内核服务描述表恢复，显示和摘除被Hook的内核函数，自动还原被Inline hook的内核函数。

5)、独创的快速匹配算法，在最小的系统资源占用级别上进行最快的扫描检测。

6)、扫描模块和实时监控共用引擎和库在内存中的同一份拷贝，大大降低系统资源占用，模块间高效协同工作。

7)、内存扫描和静态分析预警系统有机结合。

8)、立足于病毒家族的广谱特征，强力提高病毒检测率。

9)、前瞻性的主动防御监测体系，全面检测未知木马。

10)、国内首个支持NTFS数据流扫描，使检测更彻底。

11)、纯绿色软件，解压即可使用。

主要功能：

启发预警，启动管理，IE插件管理，SPI链自动检测与修复，Rootkit检测，服务管理，隐藏服务检测，过滤微软默认服务，服务增加和删除，SSDT (服务描述表)恢复，进程管理，隐藏进程检测，DLL模块强制卸载，检测隐藏端口，断开连接，定位远程IP，WHOIS查询，关闭端口，IE修复，流氓插件免疫，恶意网站屏蔽，系统LJ清理，智能扫描，文件粉碎机，软件卸载，系统优化，系统修复，漏洞检查和修复，右键查毒，漏洞检查和修复，系统诊断报告，论坛救援，启发扫描，NTFS数据流扫描，签名分析，全面扫描，内存扫描，目录扫描，信任列表，实时监控，智能升级。

v 3.2更新

1.安全优化-系统修复中加入修复磁盘带橘档文件关联功能

2.初步解决软件启动时写屏造成的闪烁问题

3.增强监控功能，在病毒库更新后智能对敏感位置检测

4.升级模块将主动下载KEY，用户不用在担心KEY过期或者损坏的问题。

5、文件粉碎机的UI小调整

6、信任列表增加全选菜单

7、修正在内存扫描时仍然可以点击快速扫描的BUG。

8、进程管理增加强制使用微软数字签名校验菜单，钩选后将只使用微软签名来验证进程和模块文件。

8、服务管理增加强制使用微软数字签名校验菜单，钩选后将只使用微软签名来验证服务文件和对应的DLL模块。

9、进程管理增加隐藏已知DLL的选项，默认开启，方便一目了然的查找可疑DLL文件。

10、进程管理增加动态保存进程日志的功能，这样可以查看木马运行后运行了哪些其它的进程。

11、端口关联增加动态保存连接日志的功能，这样可以查看木马运行后进行了那些网络连接。

12、进程管理中增加禁止进程创建功能，方便手动查杀木马/流氓，解决多进程互锁问题。

本版增强监测/查杀对灰鸽子木马能力。

安装版 官方下载：

http://wap.chinaz.com/x/ast/ast_setup.exe

http://ast.patching.net/ast_setup.exe

http://update1.dswlab.com/download/ast_setup.exe

http://update2.dswlab.com/ast_setup.exe

http://update3.dswlab.com/ast_setup.exe

http://killer.9i3g.cn/download/ast_setup.exe

http://ast.wulujia.com/ast_setup.exe

绿色版 官方下载：

http://wap.chinaz.com/x/ast/ast.zip

http://ast.patching.net/ast.zip

http://update1.dswlab.com/download/ast.zip

http://update2.dswlab.com/ast.zip

http://update3.dswlab.com/ast.zip

http://ast.wulujia.com/ast.zip

建议下载绿色版的，解压即可使用

在联网的情况下先升级到最新病毒库，然后进安全模式杀毒

分类: 电脑/网络 >>反病毒

问题描述:

我的机子 c盘windows里出现了木马程序！用卡巴查出来了但是不能处理！

帮忙解决一下

谢谢

路径是 C:\WINDOWS\system32\Com\cl.exe/PE_Patch/UPX

木马程序 Trojan.Win32.Agent.fv

解析:

Trojan.Win32.Agent病毒清除/删除方法及解决方案

这个QQ病毒和以往的此类病毒最大的区别就是不是通过发送网址来让人点击进入，而是染毒计算机会自动向QQ好友发送病毒文件，而且病毒文件大小不定，发送的病毒文件名具有一定诱惑性，诸如：

今年过年不收礼，收礼只收白骨精（搞笑版广告）.exe

啊哈，网友发的超级搞笑FLASH，你看得懂吗.exe

接啊，快接啊，推荐给你看看.exe

一个对你目前工作很有帮助的东东.exe

网上电视（20个CCTV频道+36个省台+50个英文台，极力推荐）.exe

等等。

病毒文件图标是冲蔽WINRAR的压缩包的图样。

病毒运行后首先建立HKLM\Sofare\Classes\MSipv项，然后病毒创建自身副本到系统目录下：

%System%\ .exe

%System%\notepad .exe

%Windows%\System\RUNDLL32.EXE（如果是Windows 2000/XP）

%Windows%\System32\RUNDLL32.EXE（如果是Windows 9x）

并修改EXE和TXT的文件关联：

HKLM\Sofare\Classes\exefile\shell\open\mand

EXE文件关联被修改为“ %1 %*”

HKLM\Sofare\Classes\txtfile\shell\open\mand

TXT文件关联被修改为“notepad %1”

注：其中“ ”不是单纯的一个空格，而是一个字符,是双字节ASCII码为“41643”。病枯判山毒感染系统后会显示一个提示框：“安装时检测到系统中某程序与本软件发生冲突，请先纠正该冲突，或选择另一台电脑上安装！”

再注：病毒文件大小不固定，从文件内容来看好像是通过一些重复的信息来改变文件大小。

此外，病毒还会检查被感染系统是否安装QQ，如果安装有QQ，病毒则通过注册表找到QQ.EXE所在路径，把正常的TIMPlatform.exe改名为TIMP1atform.exe，将病毒自身复制为TIMPlatform.exe。

最后在注册表建立病毒标记：

HKLM\Sofare\Classes\MSipv\MainSetup

HKLM\Sofare\Classes\MSipv\MainUp

HKLM\Sofare\Classes\MSipv\MainVer

其中MainSetup和MainUp值相同，但不固定。

病毒的清除

由于病毒关联了EXE文件，我们建议这样处理：

首先打开注册表编辑器或用来恢复文件关联的工具（如RegFix），先不要关闭（否则再次启动应用程序的时候使病毒又重新加载，或者将“.exe”的后缀名改为“”也可以。），然后通过任务管理器或KillBox或者是TroyanFindInfo等进程管理工具结束病毒Rundll32.exe的进程，接下来恢复EXE和TXT文件关联，最后再找到病毒没中文件删除掉：

%System%\ .exe

%System%\notepad .exe

%Windows%\System\RUNDLL32.EXE（如果是Windows 2000/XP）

%Windows%\System32\RUNDLL32.EXE（如果是Windows 9x）

还有一步，到QQ安装目录下，把病毒生成的TIMPlatform.exe删除，然后把TIMP1atform.exe改名为TIMPlatform.exe即可。

注：推荐使用工具来恢复TXT文件关联。

木马可以把自己改为系统启动时必定会调用的某个文件名，并复制到比原文件要浅一级以上的目录里。Windows系统搜寻一个不带路径信息的文件时遵循一种“从外到里”的规则，这就意味着，如果有两个同样名称的文件分别放在C:\和C:\Windows下，Windows会执行C:\下的程序，而不是C:\Windows下的，这就是木马运行起来的方式。但关键是如果你以为删除掉这些木马程序就万事大吉的话，你会发现在删除之后哭都来不及：系统也出了故障，所有应用程序都打不开了。因为在Windows系统里，文件的打开 *** 作是通过注册表内相应键值指定的应用程序来执行的，这个部分位于注册表的“HKEY_CLASSES_ROOT”主键内。而应用程序自身也被视为一个文件，它也属于一种文件类型，同样可以用其他方式开启，只不过Windows设置它的调用程序为“"%1" %*”，但是木马程序则修改了应用程序(EXE文件)的并联方式,它将EXE后缀名对应的exefile类型的“打开方式”改成了“木马程序 "%1" %*”，也就是说，系统是通过调用木马程序将原来的.exe程序打开。所以当你把木马杀死后，没有东西给被改变并联方式的.exe文件传递参数，就没法启动这些程序，自然你的电脑的应用程序就打不开了。

一种最最最方便简捷有效的方法来恢复.exe文件的关联文件：新建一个记事本文件，把下面的复制进去

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\exefile\shell\open\mand]

@="\"%1\" %*"

直接保存，然后右键点此文件，选打开方式-〉选择程序-〉浏览到windows文件夹里双击regedit,把信息加到注册表就可以了 。

---