教你揪出偽裝系統木馬並清除

　　面對日新月異的病毒和木馬，有時利用手工檢查及清除病毒，還是有必要的，本文以偽裝成系統的Wmiprvse.exe進程木馬為例，來對其木馬的清除做以循序漸進的講解。

　　首先，按住鍵盤上的“Ctrl+Alt+Del”鍵，將“任務管理器”打開，並且切入至“進程”標簽。不過今日與以往不同的是，從“進程”標 簽裡，卻突然發現多出一個Wmiprvse.exe進程。於是利用百度搜索了一下Wmiprvse.exe進程的相關資料，給出的答案是 wmiprvse.exe是微軟Windows操作系統的一部分。用於通過WinMgmt.exe程序處理WMI操作，這個程序對你系統的正常運行是非常 重要的。

　　看到這裡可能覺得這是一個正常安全的程序進程，於是也就沒當回事，又開始了自己的網游“生涯”，但是好景不長沒過多久，電腦開始自動重新啟 動，而且之後又斷斷續續的重啟了幾回。在沒有任何可懷疑的對象時，可以選擇利用系統的搜索功能。查找一下這個突然出現的Wmiprvse.exe程序文 件，結果卻出現了兩個同樣的Wmiprvse.exe文件並存的現象。

　　仔細觀察一下，發現兩個程序文件大小相同，不過有個Wmiprvse.exe文件在Windows2目錄下，接著進一步看了兩個文件夾的創建 時間，Windows2確實是在自己重裝系統時間內，所以兩個都是系統目錄，只是前一個在最後一次沒有刪除干淨。再打開“任務管理器”對話框，發現系統裡 存在兩個Wmiprvse.exe進程，分別由不同權限的用戶運行。位於\System32\wbem文件下的文件才是正常的文件，換句話說沒有直接刪除 的Windows\System32\wbem下的Wmiprvse.exe文件是病毒文件。接著在“任務管理器”對話框內，將其進程停止後，又進入到了 該進程文件夾內，將其病毒文件刪除。本以為病毒就這樣被消滅了，還沒等重新啟動，也就過了十分鐘左右，這個病毒進程又出現在了任務管理器上。

　　抱著寧可錯殺一個，絕不放過一個病毒文件的心理，再次停止該木馬進程，將Windows2目錄裡的文件全部刪除後，又在注冊表器裡，搜索將相 關鍵值進行刪除，接著重新啟動了一下計算機，然後打開“任務管理器”對話框，發現Wmiprvse.exe進程已經不見了，並且系統總自動重新啟機的現象 也以消失了，這樣一來真假“美猴王”就見了分曉。如果你一樣碰到了偽裝Wmiprvse.exe程序的木馬，不如按照本文的思路將病毒清除，何必又采用費 時費力的重裝方案。