这个马，瑞星今天最新的病毒库还查不到。多引擎扫描结果————也没几家报。

中招的，那就只好扫日志在别人的帮助下手工杀毒。是这样吧？

好了。下一个问题：用什么扫日志？autoruns？扫不出异常。HijackThis？更不行了！现在最流行的日志工具是SREng。那就用它扫个吧！

SREng日志中的异常项是这些：

1、服务
[C85B5A86 / C85B5A86]


2、正在运行的进程
[PID: 684][\??\C:\windows\system32\winlogon.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\windows\system32\C85B5A86.DLL] [Microsoft Corporation, 5.2.3790.1830]

[PID: 1376][C:\windows\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\windows\system32\C85B5A86.DLL] [Microsoft Corporation, 5.2.3790.1830]

由SREng日志可见，这东东够恶毒！插入了两个关键进程winlogon.exe和Explorer.EXE。

下一个问题：怎么动手杀？

根据这样的一份日志，一般思路是：先干掉它的服务项。重启后，删除：
C:\windows\system32\C85B5A86.EXE
C:\windows\system32\C85B5A86.DLL

好了。动手

重启。

重启后，核实一下效果（如下图）。汗！！那个服务项又回来了！！