前段時間有個同事說他的諾頓不停的出現(xiàn)高危警報對話框，關(guān)閉了又彈出，反復(fù)如此，嚴(yán)重影響了他的工作，請我?guī)兔z查一下是不是中了病毒。

我看了警報上提示的內(nèi)容，是一個名為Infostealer.Gampass的病毒。從名字上看，應(yīng)該是個盜取游戲密碼的病毒，從現(xiàn)象上看，好像對系統(tǒng)中的文件并沒有什么影響，系統(tǒng)運行也不慢，只是諾頓不斷彈出警報對話框確實是個問題，于是更新了病毒庫，在文件選項中選擇顯示所有文件，再重新啟動到安全模式下全盤掃描。并告訴同事完成后重啟電腦就OK。

本以為是個小病毒，諾頓殺殺應(yīng)該就沒問題了。結(jié)果一會同事打來電話說諾頓又開始彈出警報，還是那個病毒?？礃幼邮窃谧员碇须[藏了什么自啟動的東東，說不定就是這個病毒的主體文件，諾頓不行，只有手動來清除了。

首先檢查各分區(qū)根目錄，沒有發(fā)現(xiàn)autorun.inf的目錄或可疑的可執(zhí)行文件。c:\windows和c:\windows\system32兩個系統(tǒng)目錄，也是重點，發(fā)現(xiàn)下面有很多"數(shù)字.exe"或"數(shù)字+字母.exe"的文件以及同名的.dll文件，估計是病毒自動生成的，但這些絕對不是主體病毒文件，所以估計刪除了也沒太大作用，還是先刪了再說。

    病毒應(yīng)該隱藏得更深一些。

    接著開始檢查注冊表。

    檢查HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN

           HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN

           HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER\RUN

           HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER\RUN

    四個鍵值下面的可疑程序，在后面兩個鍵下面，果然發(fā)現(xiàn)如下的項有問題：

C:\windows\system32\winbill*.dll, c:\program files\internet explorer\use19.dll

其中的*代表數(shù)字。

刪除和上面兩個文件有關(guān)的鍵，此時不能刪除這兩個文件。重啟電腦進入安全模式，刪除以上兩個文件（在c:\program files\internet explorer\下還發(fā)現(xiàn)一個use32.dll的文件，同樣刪掉。），這就是病毒的主體文件。再次全盤掃描，清除系統(tǒng)目錄下的病毒尸體。重新啟動，諾頓再也沒有彈出警報。

分析了一下，這個病毒實際是個間諜軟件，對系統(tǒng)沒有太大影響和破壞力。諾頓可以查出這個病毒，也可以抑制，但由于病毒在系統(tǒng)啟動時就加載了，所以諾頓無法徹底清除，故只能采用手動與自動相結(jié)合的辦法來殺毒了。