本文目录一览：
- 1、中国十大网络病毒是什么
- 2、温州破获目前全国最大的网络敲诈案，嫌疑人是怎么诈骗的？
- 3、木马病毒的相关案例
- 4、330万台老年机被植入木马病毒，这些犯罪团伙将受到怎样的处罚？
- 5、历史上最厉害的木马病毒有哪些
中国十大网络病毒是什么
1.代号：爬行者Creeper
感染系统：ARPANET大型机
发现时间：1971年
传播方式：就是不断自我复制。
杀伤力：不断膨胀，将硬盘塞满
什么情况：
爬行者可能是人类所知的第一个病毒类程序，或者这个程序基本上都称不上是病毒程序，更确切的来说，它就是一段恶意代码。病毒的作者是马萨诸塞州剑桥市一个企业的员工Bob Thomas ，此人曾参与了互联网前身“阿帕网”的搭建工作。该程序的出现要归因于实验室的一次测试，测试的目的是要了解是否能创造出一种可自我复制的软件。这个会不断自我复制，并能够在最早的互联网中进行远程复制的病毒并没有造成什么危害，但是它的诞生却开启了数字时代整整四十年的噩梦，而且至今挥之不去。
2.代号：MyDoom
感染系统：Windows 98/2000/XP
发现时间：2004年1月
传播方式：电子邮件。
杀伤力：MyDoom是迄今为止造成经济损失最大的病毒，385亿美元是它肆虐后的代价。当然它也荣登史上传播速度最快的病毒。
什么情况：
在MyDoom发作的那几天，全球至少有三分之一的电脑无法联网，因为网速实在太慢了。MyDoom用仅一周的时间就感染了全球超过千万台电脑，2004年的2月份，对于刚刚遭遇过寒冬的IT行业来说，那个月更让人颤栗的是，全球每12封电子邮件中就至少有1封是带着MyDoom病毒的邮件。
MyDoom第一个变种发作时通过发送大量的伪造攻击邮件，导致了SCO公司网站和邮件系统全面谈话。有人猜测原因大概与SCO想对Linux收取授权费用有关，随后MyDoom的第二个变种又将目标瞄向了微软公司。不过由于微软的储备有足够多的人才，这次攻击最终被微软化解掉，但是仍有人抱怨那段时间访问微软网站速度很慢，其实或许不是访问微软速度很慢，而是在MyDoom的肆虐下，全球都很慢。
微软和SCO事后声称，如果有人能够告诉他们谁是MyDoom的作者，他们将分别奖励线人25万美金。不过FBI和CIA折腾了一番之后都无功而返，就像所有老套的资本主义笑话一样，他们声称病毒制作者在俄罗斯。
3.代号：CIH
感染系统：Windows 95/98
发现时间：1998年9月
传播方式：从正版到盗版各种EXE文件。
杀伤力：不夸张的说，CIH以其惊人的破坏能力和感染速度，着实教育了当时使用盗版成风的国人，至少很多人都醒悟到要买套正版杀毒软件，最终它造成全球5亿美元的损失，同时也带动了国内数以亿计的杀毒市场。
什么情况：
你的硬盘是不是在狂转？电脑开机一片黑屏？被CIH感染的计算机的硬盘会狂转，随后所有的电脑中的EXE程序均会遭到破坏与病毒感染，成为新的感染源。接下来CIH会在硬盘主引导区中依次写垃圾数据，直至硬盘的数据全部被破坏彻底为止，
让你想恢复数据都无从入手。最终的必杀手段是将电脑主板的BIOS信息全部清除，让你的电脑彻底瘫痪。
CIH病毒的作者是中国台湾的陈盈豪，在CIH病毒成为一夜成名之后，台湾军方也注意到陈盈豪，想将他调入台湾电子战特种部队，可惜在经过一番体检之后，台湾军方医生认为陈盈豪患有“轻度抑郁症”，不仅没有将他调入台湾电子战特种部队，反而责令他提前退役。现如今回看当年，陈盈豪被医生描述为轻度抑郁症的病症表现只不过是所有网络宅男的标准特征。
如今陈盈豪在硬件知名厂商技嘉公司工作，有意思的是当年CIH爆发后让许多电脑用户人心惶惶，生怕被CIH烧毁了主板BIOS无法挽救，而这是技嘉公司看准了这个噱头，生产了双CMOS主板狠赚了一笔。而在中国内地，CIH病毒也改写了国内杀毒软件的格局，救活了原来并不出名的瑞星。微软应该是CIH病毒事件中最郁闷的厂商，Windows 98刚刚发布不久，就被证明了存在一系列重大设计缺陷，让许多Linux支持者找到了口实。
4.代号：熊猫烧香
感染系统：Windows XP
发现时间：2006年10月16日
传播方式：端口攻击和恶意脚本。
杀伤力：国内至少有100万台电脑受到感染。
什么情况：
电脑所有可执行文件的图标全部变成一只举着三只香的胖胖的熊猫，而且所有的可执行文件都无法执行。当你试图通过Ghost还原的时候，会发现硬盘中的GHO磁盘镜像文件也被病毒删除了。立刻杀毒？抱歉，绝大多数你能够想得起来的杀毒软件都会被病毒强行终止进程。熊猫烧香还仿照冲击波等病毒的特点，通过Windows系统共享漏洞和用户弱口令攻击感染局域网内的电脑，并同时释放Autorun.inf感染U盘和移动硬盘。
最后连HTML等网页格式文件它也没有放过，熊猫烧香病毒一旦发现网页文件，就会通过iframe标记将病毒代码插入到网页中。而许多网站维护人员会误将这些带毒网页上传到网站中，造成更大范围的感染。其实熊猫烧香病毒是一个没有太多新技术的病毒，只不过病毒作者将之前N种病毒传播特点都集中在了这一个病毒上，等于将鹤顶红、敌敌畏、氰化物、砒霜和三聚氰胺等几十种毒药混在了一起，自然吃上一口就口吐白沫了。
最绝的是，病毒作者李俊将这个病毒分别买个了120个小黑客，鼓励教导他们广撒网多抓鸡。李俊自己也购买了服务器，专门用作病毒更新，创下了一天更新8次的病毒升级记录，可以堪称史上最勤奋的病毒作者。当然，这么勤劳最终的结果自然是被抓判刑。
5.代号：I Love You 又名 爱虫
感染系统：Windows 系统
发现时间：2000年5月30日
传播方式：电子邮件。
杀伤力：4500万台电脑遭受感染。
什么情况：
在那个互联网刚刚呈现第一股热潮的时代，那个没有Facebook没有Twitter只能够用Email沟通的时代。当某一天早晨，你收到了一封写有“I Love You ”标题的电子邮件你会点开吗？在2000年的那个六一儿童节的前一天，许多寂寞的互联网Geek和宅男都点开了这样一封邮件。从此，史上感染力最强的病毒诞生了。爱虫病毒总共感染了4500万电脑，比第二名红色代码足足多出100多倍。
6.代号：冲击波
感染系统：Windows 系统
发现时间：2003年8月
传播方式：电子邮件。
杀伤力：全球80%的Windows系统遭受攻击
什么情况：
电脑突然弹框告诉你还有59秒它就要自动重启了，没有什么原因，也没有什么理由，随后就是一遍又一遍的重启。而内网中很快也会出现其它和你同病相怜的电脑，很快就如同流行性感冒一样，重启电脑随处可以见。随后未中毒的计算机也会出现访问网络速度减慢的情况。当高手们告诉你中毒了的时候，并且告诉你需要修补某个Windows补丁时，你却发现你无法打上这个补丁了，这就是曾经肆虐互联网的冲击波病毒。
冲击波病毒虽然不是第一个利用Windows漏洞传播的病毒，但是确实第一个造成大面积危害的。特别是中国国内许多用户的Windows并非正版，因此不能够使用微软提供的Windows Update服务，导致了病毒灾情的加剧，事后微软更改了自己的补丁修补策略，盖茨为此开出了50万美金的悬赏。而联邦调查局也的确抓住了一个制作冲击波病毒变种的倒霉蛋，18岁的Jeffrey Lee Parson，不过他只是一个变种作者，并非冲击波的原作者。
7.代号：Melissa梅丽莎 又名辛普森一家
感染系统：Windows系统下的Outlook
发现时间：1999年3月26日
传播方式：电子邮件。
杀伤力：雅虎、美国在线、微软、朗讯、英特尔和美国多所知名大学网站的服务器，均因为Melissa病毒泛滥而瘫痪。
什么情况：
在1999年3月访问过成人新闻组并下载过一个Word文档的用户都没有留意到，自己的Outlook电子邮件程序开始悄悄地自动给自己地址簿里的好友发送电子邮件了。而且每一封电子邮件都带着一个名为List.doc的带毒文件。这可能是网络社会化六度关系SNS最早证明自己是真理的地方。随着受害者的好友、好友的好友和好友的好友的好友不断的叠加感染，最终梅丽莎病毒造成了互联网的大瘫痪。
而梅丽莎病毒的亲爹大卫史密斯开发这个病毒的原因竟然是爱上了一个迈阿密的脱衣舞女，他为她着迷，并最终用这个脱衣舞女的名字命名了自己的病毒。他自己最终被判刑20个月。
8.代号：尼姆达
感染系统：Windows 所有32位系统
发现时间：2001年9月18日
传播方式：FTP、电子邮件、IM软件、网页。
杀伤力：造成3.7亿元经济损失
什么情况：
虽然很多人躲过了红色代码的攻击，但那一年绝大多数用户没有逃过尼姆达的攻击，而原因仅在于红色代码只攻击服务器系统，而尼姆达则感染所有32位Windows系统，从Windows 95到当时最新的Windows 2000，统统不放过。
而尼姆达病毒当时的感染方式也非常多样，它可以通过文件感染、电子邮件传播、系统漏洞、网页传播四种方式进行传播。虽然后来的熊猫烧香病毒的感染手段超越了尼姆达，但是就病毒感染途径的多样化而言，尼姆达当时的确是最具与杀伤力的病毒。
9.代号：灰鸽子
感染系统：Windows 系统
发现时间：2001年
传播方式：多种网络传播方式
杀伤力：灰鸽子
什么情况：
中了灰鸽子会出现什么情况？事实是什么情况都会出现。灰鸽子能够记录你的键盘击键记录，能够远程开启摄像头，打开麦克风，能够下载你电脑里的任何文件。几乎你能够想到的电脑本机操作，黑客都可以通过灰鸽子远程控制实现。从灰鸽子诞生的2001年到销声匿迹的2008年之间，正好遭遇了全民皆黑客的年代，灰鸽子因为操作简单，上手快，很快的成为当时最泛滥的木马病毒，近中国国内至少有上千万台电脑感染过灰鸽子病毒。
有趣的是，灰鸽子的作者最后并没有像熊猫烧香的李俊一样，一直用灰鸽子赚钱。在2008年之后该作者转而开发防火墙，专门用来防护自己的灰鸽子。
10.代号：Stuxnet蠕虫 超级工厂病毒
感染系统：Windows CE系统
发现时间：2010年6月
传播方式：U盘
杀伤力：导致伊朗布什尔核电站瘫痪。
什么情况：
2010年7月份，全球几大杀毒软件厂商突然开始分析一个名为Stuxnet的病毒，这个病毒的独特之处在于，它并不攻击传统的Windows系统，而是将目标放在了极小众、极专业的西门子Win CC工控系统上，这个系统的原型就是广为人熟知的Windows CE。随后安全研究员发现，该病毒针对目标非常具体，它会通过U盘感染将自己摆渡到目标工控机中，然后发作。
吊诡的是，第一批发作的Stuxnet蠕虫的60%都将目标定在了伊朗布什尔核电站的西门子工控系统上，这个核电站正是美国怀疑伊朗制造核武器的基地。美国国家网络安全与通讯整合中心主管迈格克指出，属木马程序的Stuxnet一旦找到西门子WinCC装置，就能接管西门子设施的关键操作系统，并在十分之一秒里“封住”设备的操作。而有关安全组织也认为，制造Stuxnet的团体应资金充裕，成员约5到10人，耗费半年筹备。
不过Stuxnet最终不仅开始攻击伊朗核电站，它甚至开始接二连三的变种，开始攻击全球的西门子工控系统，连美国自己也成为了受害的倒霉蛋之一。
温州破获目前全国最大的网络敲诈案，嫌疑人是怎么诈骗的？
网络的发展给我们的生活带来了很大的便利性，但是也有不法分子盯上了网络，利用网络的虚拟来实施诈骗，专攻男性的弱点。11月6日，浙江温州的警方就破获了这样一起案子。通过网络落料骗取受害人的照片信息，然后实施威胁勒索这种方式进行诈骗。但是网络不是法外之地，犯罪终究是要被严惩的。
一、伪装成美女添加好友。
苍南县一名男子报案说自己受到了威胁，当时这名男子上网的时候，有人添加自己为好友，该男子就同意了请求，两个人聊的很是愉快。随后对方就提出了裸聊请求，虽然男子并不熟悉这个流程，但是在对方的指导下，还是接受了。本来以为是一个艳遇，但没想到随后剧情就翻转了。
二、美女漏出本来面目。
裸聊之后，对方居然传出了一个男声，对方说已经录下了该男子的视频，要求该男子给钱换自己的视频，不掏钱的话就会让视频流传出去，尤其是会转发给男子的亲戚朋友和家人。这时候男子才追悔莫及，原来来的不是艳遇，而是骗局，可是自己已经上套，只能求助于警方来解决。
三、警方破获诈骗团伙。
警方接到报案之后迅速展开了调查，发现这是一个专业的诈骗团伙，参与人数众多，对于不听话逃跑的人还会关起来殴打威胁，受害人已经高达10万余人，涉案金额也达到数千万元。警方高度重视，抓捕犯罪嫌疑人136名，目前案件还在进一步的侦办中。其实这种事情也不难理解，虽然网络是虚拟的，但是网络后面的人是真实的，只要自己能够管好自己，不给骗子可乘之机，怎么会落进算不上桃色的桃色陷阱里呢？
木马病毒的相关案例
因好莱坞大片《特洛伊》而一举成名的“木马”（Trojan），在互联网时代让无数网民深受其害。无论是“网购”、“网银”还是“网游”的账户密码，只要与钱有关的网络交易，都是当下木马攻击的重灾区，用户稍有不慎极有可能遭受重大钱财损失甚至隐私被窃。以下列举一些案例。
No1：“支付大盗”
“支付大盗”花钱上百度首页。
2012年12月6日，一款名为“支付大盗”的新型网购木马被发现。木马网站利用百度排名机制伪装为“阿里旺旺官网”，诱骗网友下载运行木马，再暗中劫持受害者网上支付资金，把付款对象篡改为黑客账户。
No2：“新鬼影”
“新鬼影”借《江南Style》疯传。
火遍全球的《江南Style》很不幸被一种名为“新鬼影”的木马盯上了。此木马主要寄生在硬盘MBR（主引导扇区）中，如果用户电脑没有开启安全软件防护，中招后无论重装系统还是格式化硬盘，都无法将其彻底清除干净。
No3：“图片大盗”
“图片大盗”最爱私密照。
绝大多数网民都有一个困惑，为什么自己电脑中的私密照会莫名其妙的出现在网上。“图片大盗”木马运行后会全盘扫描搜集JPG、PNG格式图片，并筛选大小在100KB到2MB之间的文件，暗中将其发送到黑客服务器上，对受害者隐私造成严重危害。
No4：“浮云”
“浮云”木马震惊全国。
盗取网民钱财高达千万元的“浮云”成为了2012年度震惊全国的木马。首先诱骗网民支付一笔小额假订单，却在后台执行另外一个高额定单，用户确认后，高额转账资金就会进入黑客的账户。该木马可以对20多家银行的网上交易系统实施盗窃
No5：“黏虫”
“黏虫”木马专盗QQ。
“QQ黏虫”在2011年度就被业界评为十大高危木马之一，2012年该木马变种卷土重来，伪装成QQ登录框窃取用户QQ帐号及密码。值得警惕的是不法分子盗窃QQ后，除了窃取帐号关联的虚拟财产外，还有可能假冒身份向被害者的亲友借钱。
No6：“怪鱼”
“怪鱼”木马袭击微博。
2012年十一长假刚刚结束，一种名为“怪鱼”的新型木马开始肆虐网络。该木马充分利用了新兴的社交网络，在中招电脑上自动登录受害者微博帐号，发布虚假中奖等钓鱼网站链接，绝对是2012年最具欺骗性的钓鱼攻击方式之一。
No7：“打印机木马”
“打印机木马”疯狂消耗纸张。
2012年6月，号称史上最不环保的“打印机木马”（Trojan.Milicenso）现身，美国、印度、北欧等地区大批企业电脑中招，导致数千台打印机疯狂打印毫无意义的内容，直到耗完纸张或强行关闭打印机才会停止。
No8：“网银刺客”
“网银刺客”木马暗算多家网银。
2012年“3.15”期间大名鼎鼎的“网银刺客”木马开始大规模爆发，该木马恶意利用某截图软件，把正当合法软件作为自身保护伞，从而避开了不少杀毒软件的监控。运行后会暗中劫持网银支付资金，影响十余家主流网上银行。
No9：“遥控弹窗机”
“遥控弹窗机”木马爱上偷菜。
“遥控弹窗机”是一款伪装成“QQ农牧餐大师”等游戏外挂的恶意木马，运行后会劫持正常的QQ弹窗，不断弹出大量低俗页面及网购钓鱼弹窗，并暗中与黑客服务器连接，随时获取更新指令，使受害者面临网络帐号被盗、个人隐私泄露的危险。
No10：“Q币木马”
“Q币木马”元旦来袭。
新年历来是木马病毒活跃的高峰期，2012元旦爆发的“Q币木马”令不少网民深受其害。该木马伪造“元旦五折充值Q币”的虚假QQ弹窗，诱骗中招用户在Q币充值页面上进行支付，充值对象则被木马篡改为黑客的QQ号码，相当于掏钱替黑客买Q币。
No11: “修改中奖号码”
2009年6月，深圳一起涉及3305万元的福利彩票诈骗案成了社会关注的焦点，深圳市某技术公司软件开发工程师程某，利用在深圳福彩中心实施技术合作项目的机会，通过木马程序，攻击了存储福彩信息的数据库，并进一步进行了篡改彩票中奖数据的恶意行为，以期达到其牟取非法利益的目的。
330万台老年机被植入木马病毒，这些犯罪团伙将受到怎样的处罚？
一般情况下我们听到一些网络病毒可能都是存在于一些智能手机或者电脑里边儿，但是没想到有一些不法分子把眼光看到了老人机里边儿，在这些老年机里边儿植入了一些病毒，从而为自己谋取利益，这个犯罪团伙在330万台老人机里边儿植入了病毒。在短短的时间里边儿就为自己谋利800万元。这样的行为可以说极为的恶劣，要知道这些老年人本来对于手机就一窍不通，他们通过病毒可以轻易的获取老年机里边儿的一些信息，从而达到为自己获利的目的。
正好这个犯罪团伙已经被全部端掉。在整个的调查过程当中，警方发现这个团伙的人员规模非常大，足足有七十多人参与到了这项案件当中。在最后，法院根据警方提供的一些证据以及被害者的损失，对其主要组织者，判处了四年零六个月的有期徒刑。同时追回了之前大部分的违法所得，同时对组织者处以了60万的罚款。这样的处罚可以说是非常严重的，也希望能够通过这样的处罚。告诫那些蠢蠢欲动的人，千万不要再动坏心思，把自己的想法放在这些老年人身上。
其实他们之所以可以在短时间内谋取这么大量的资金，就是因为利用老年人不懂手机。在大量的老年手机里边儿植入病毒，然后截取他们的手机验证码。这些手机验证码其实都是被放在了一些对码平台里边儿，每一条验证码都有其对应的价格。而这些老年机里边儿是根本收不到验证码的，因为验证码一旦发到手机上就会立刻被屏蔽，同时传输到他们已经准备好的后台里边儿。通过这样的操作，他们在短时间里边儿谋取了大量的利益，但是也给这些老年人造成了很大的困扰，那就是他们没有办法接收短信。
历史上最厉害的木马病毒有哪些
一、网络公牛。 网络公牛又名Netbull，是国产木马，默认连接端口23444，最新版本V1.1。服务端程序newserver.exe运行后，会自动脱壳成checkdll.exe，位于C:\WINDOWS\SYSTEM下，下次开机checkdll.exe将自动运行，因此很隐蔽，危害很大。同时，服务端运行后会自动捆绑以下文件: win9x下：捆绑notepad.exe；write.exe，regedit.exe，winmine.exe，winhelp.exe。 winnt/2000下：（在2000下会出现文件改动报警，但也不能阻止以下文件的捆绑）notepad.exe，regedit.exe，reged32.exe，drwtsn32.exe；winmine.exe。 服务端运行后还会捆绑开机时自动运行的第三方软件（如：realplay.exe、QQ、ICQ等）。在注册表中网络公牛也悄悄地扎下了根，如下： [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] "CheckDll.exe"="C:\WINDOWS\SYSTEM\CheckDll.exe" [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices] "CheckDll.exe"="C:\WINDOWS\SYSTEM\CheckDll.exe" [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CheckDll.exe"="C:\WINDOWS\SYSTEM\CheckDll.exe" 在我看来，网络公牛是最讨厌的了。它没有采用文件关联功能，采用的是文件捆绑功能，和上面所列出的文件捆绑在一块，要清除非常困难！你可能要问：那么其它木马为什么不用这个功能？哈哈，其实采用捆绑方式的木马还有很多，并且这样做也有个缺点：容易暴露自己！只要是稍微有经验的用户，就会发现文件长度发生了变化，从而怀疑自己中了木马。 清除方法： 1、删除网络公牛的自启动程序C:\WINDOWS\SYSTEM\CheckDll.exe。 2、把网络公牛在注册表中所建立的键值全部删除（上面所列出的那些键值全部删除）。 3、检查上面列出的文件，如果发现文件长度发生变化（大约增加了40K左右，可以通过与其它机子上的正常文件比较而知），就删除它们！然后点击“开始－附件－系统工具－系统信息－工具－系统文件检查器”，在弹出的对话框中选中“从安装软盘提取一个文件(E)”，在框中填入要提取的文件(前面你删除的文件)，点“确定”按钮，然后按屏幕提示将这些文件恢复即可。如果是开机时自动运行的第三方软件如：realplay.exe、QQ、ICQ等被捆绑上了，那就得把这些文件删除，再重新安装。 二、网络神偷（Nethief） 网络神偷又名Nethief，是第一个反弹端口型木马！ 什么叫“反弹端口”型木马呢？作者经过分析防火墙的特性后发现：大多数的防火墙对于由外面连入本机的连接往往会进行非常严格的过滤，但是对于由本机连出的连接却疏于防范（当然也有的防火墙两方面都很严格）。于是，与一般的木马相反，反弹端口型木马的服务端（被控制端）使用主动端口，客户端（控制端）使用被动端口，当要建立连接时，由客户端通过FTP主页空间告诉服务端：“现在开始连接我吧！”，并进入监听状态，服务端收到通知后，就会开始连接客户端。为了隐蔽起见，客户端的监听端口一般开在80，这样，即使用户使用端口扫描软件检查自己的端口，发现的也是类似“TCP 服务端的IP地址：1026 客户端的IP地址：80 ESTABLISHED”的情况，稍微疏忽一点你就会以为是自己在浏览网页。防火墙也会如此认为，我想大概没有哪个防火墙会不给用户向外连接80端口吧， 嘿嘿。最新线报：目前国内木马高手正在大规模试验（使用）该木马，网络神偷已经开始流行！中木马者也日益增多，大家要小心哦！ 清除方法： 1、网络神偷会在注册表 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下建立键值“internet”，其值为"internet.exe /s"，将键值删除。 2、删除其自启动程序C:\WINDOWS\SYSTEM\INTERNET.EXE。 OK，神偷完蛋了！ 三、WAY2.4（火凤凰、无赖小子） WAY2.4又称火凤凰、无赖小子，是国产木马程序，默认连接端口是8011。众多木马高手在介绍这个木马时都对其强大的注册表操控功能赞不绝口，也正因为如此它对我们的威胁就更大了。从我的试验情况来看，WAY2.4的注册表操作的确有特色，对受控端注册表的读写，就和本地注册表读写一样方便！这一点可比大家熟悉的冰河强多了，冰河的注册表操作没有这么直观--每次我都得一个字符、一个字符的敲击出来，WAY2.4在注册表操控方面可以说是木马老大。 WAY2.4服务端被运行后在C:\windows\system下生成msgsvc.exe文件，图标是文本文件的图标，文件大小235,008字节，文件修改时间1998年5月30日，看来它想冒充系统文件msgsvc32.exe。同时，WAY2.4在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下建立串值Msgtask，其键值为C:\WINDOWS\SYSTEM\msgsvc.exe。此时如果用进程管理工具查看，你会发现进程C:\windows\system\msgsvc.exe赫然在列！ 清除方法： 要清除WAY，只要删除它在注册表中的键值，再删除C:\windows\system下的msgsvc.exe这个文件就可以了。要注意在Windows下直接删除msgsvc.exe是删不掉的，此时你可以用进程管理工具终止它的进程，然后再删除它。或者到Dos下删除msgsvc.exe也可。如果服务端已经和可执行文件捆绑在一起了，那就只有将那个可执行文件也删除了！ 注意：在删除前请做好备份。 四、冰河 冰河可以说是最有名的木马了，就连刚接触电脑的用户也听说过它。虽然许多杀毒软件可以查杀它，但国内仍有几十万中冰河的电脑存在！作为木马，冰河创造了最多人使用、最多人中弹的奇迹！现在网上又出现了许多的冰河变种程序，我们这里介绍的是其标准版，掌握了如何清除标准版，再来对付变种冰河就很容易了。 冰河的服务器端程序为G-server.exe，客户端程序为G-client.exe，默认连接端口为7626。一旦运行G-server，那么该程序就在C:\Windows\system目录下生成Kernel32.exe和sysexplr.exe，并删除自身。Kernel32.exe在系统启动时自动加载，sysexplr.exe和TXT文件关联。即使你删除Kernel32.exe，但只要你打开TXT文件，sysexplr.exe就会被激活，它将再次生成Kernel32.exe，于是冰河又回来了！这就是冰河屡删不止的原因。 清除方法： 1、删除C:\Windows\system下的Kernel32.exe和Sysexplr.exe文件。 2、冰河在注册表HKEY_LOCAL_MACHINE\software\microsoft\windows\ CurrentVersion\Run下扎根，键值为C:\windows\system\Kernel32.exe，删除它。 3、在注册表HKEY_LOCAL_MACHINE\software\microsoft\windows\CurrentVersion\Runservices下还有键值为C:\windows\system\Kernel32.exe的，也要删除。 4、最后，改注册表HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默认值，由中木马后的C:\windows\system\Sysexplr.exe %1改为正常情况下的C:\windows\notepad.exe %1，即可恢复TXT文件关联功能。 五、广外女生 广外女生是广东外语外贸大学“广外女生”网络小组的处女作，是一种新出现的远程监控工具，破坏性很大，远程上传、下载、删除文件、修改注册表等自然不在话下。其可怕之处在于广外女生服务端被执行后，会自动检查进程中是否含有“金山毒霸”、“防火墙”、“iparmor”、“tcmonitor”、“实时监控”、“lockdown”、“kill”、“天网”等字样，如果发现就将该进程终止，也就是说使防火墙完全失去作用！ 该木马程序运行后，将会在系统的SYSTEM目录下生成一份自己的拷贝，名称为DIAGCFG.EXE，并关联.EXE文件的打开方式，如果贸然删掉了该文件，将会导致系统所有.EXE文件无法打开的问题。 清除方法： 1、由于该木马程序运行时无法删除该文件，因此启动到纯DOS模式下，找到System目录下的DIAGFG.EXE，删除它。 2、由于DIAGCFG.EXE文件已经被删除了，因此在Windows环境下任何.exe文件都将无法运行。我们找到Windows目录中的注册表编辑器“Regedit.exe”，将它改名为“Regedit.com”。 3、回到Windows模式下，运行Windows目录下的Regedit.com程序（就是我们刚才改名的文件）。 4、找到HKEY_CLASSES_ROOT\exefile\shell\open\command，将其默认键值改成"%1" %*。 5、找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunServices，删除其中名称为“Diagnostic Configuration”的键值。 6、关掉注册表编辑器，回到Windows目录，将“Regedit.com”改回“Regedit.exe”。 7、完成。 六、聪明基因 聪明基因也是国产木马，默认连接端口7511。服务端文件genueserver.exe，用的是HTM文件图标，如果你的系统设置为不显示文件扩展名，那么你就会以为这是个HTM文件，很容易上当哦。客户端文件genueclient.exe 。如果不小心运行了服务端文件genueserver.exe，它会装模作样的启动IE，让你进一步以为这是一个HTM文件，并且还在运行之后生成GENUESERVER.htm文件，还是用来迷惑你的！怎么样，是不是无所不用其极？ 哈哈，木马就是如此，骗你没商量！聪明基因是文件关联木马，服务端运行后会生成三个文件，分别是：C:\WINDOWS\MBBManager.exe和Explore32.exe以及C:\WINDOWS\system\editor.exe，这三个文件用的都是HTM文件图标，如果不注意，还真会以为它们是HTM文件呢！ Explore32.exe用来和HLP文件关联，MBBManager.exe用来在启动时加载运行，editor.exe用来和TXT文件关联，如果你发现并删除了MBBManager.exe，并不会真正清除了它。一旦你打开HLP文件或文本文件，Explore32.exe和editor.exe就被激活！它再次生成守护进程MBBManager.exe！想清除我？没那么容易！ 聪明基因最可怕之处是其永久隐藏远程主机驱动器的功能，如果控制端选择了这个功能，那么受控端可就惨了，想找回驱动器？嘿嘿，没那么容易！ 清除方法： 1.删除文件。删除C:\WINDOWS下的MBBManager.exe和Explore32.exe，再删除C:\WINDOWS\system下的editor.exe文件。如果服务端已经运行，那么就得用进程管理软件终止MBBManager.exe这个进程，然后在windows下将它删除。也可到纯DOS下删除MBBManager.exe，editor.exe在windows下可直接删除。 2.删除自启动文件。展开注册表到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下，删除键值“MainBroad BackManager”，其值为C:\WINDOWS\MBBManager.exe，它每次在开机时就被加载运行，因此删之别手软！ 3.恢复TXT文件关联。聪明基因将注册表HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默认键值由C:\WINDOWS\NOTEPAD.EXE %1改为C:\WINDOWS\system\editor.exe %1，因此要恢复成原值。同理，到注册表的HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command下，将此时的默认键值由C:\WINDOWS\system\editor.exe %1改为C:\WINDOWS\NOTEPAD.EXE %1，这样就将TXT文件关联恢复过来了。 4.恢复HLP文件关联。聪明基因将注册表HKEY_CLASSES_ROOT\hlpfile\shell\open\command下的默认键值改为C:\WINDOWS\explore32.exe %1，因此要恢复成原值：C:\WINDOWS\WINHLP32.EXE %1。同理，到注册表的HKEY_LOCAL_MACHINE\Software\CLASSES\hlpfile\shell\open\command下，将此时的默认键值由C:\WINDOWS\explore32.exe %1改为C:\WINDOWS\WINHLP32.EXE %1，这样就将HLP文件关联恢复过来了。 好了，可以和聪明基因说“再见”了！ 七、黑洞2001 黑洞2001是国产木马程序，默认连接端口2001。黑洞的可怕之处在于它有强大的杀进程功能！也就是说控制端可以随意终止被控端的某个进程，如果这个进程是天网之类的防火墙，那么你的保护就全无了，黑客可以由此而长驱直入，在你的系统中肆意纵横。 黑洞2001服务端被执行后，会在C:\windows\system下生成两个文件，一个是S_Server.exe，S_Server.exe的是服务端的直接复制，用的是文件夹的图标，一定要小心哦，这是个可执行文件，可不是文件夹哦；另一个是windows.exe，文件大小为255,488字节，用的是未定义类型的图标。黑洞2001是典型的文件关联木马，windows.exe文件在机器开机时立刻运行，并打开默认端口2001，S_Server.exe文件用来和TXT文件打开方式连起来（即关联）！当中木马者发现自己中了木马而在DOS下把windows.exe文件删除后，服务端就暂时被关闭，即木马暂时删除，当任何文本文件被运行时，隐蔽的S_Server.exe木马文件就又被击活了，于是它再次生成windows.exe文件，即木马又被中入！ 清除方法： 1)将HKEY_CLASSES_ROOT\txtfile\shell\open\command下的默认键值由S_SERVER.EXE %1改为C:\WINDOWS\NOTEPAD.EXE %1。 2)将HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command下的默认键值由S_SERVER.EXE %1改为C:\WINDOWS\NOTEPAD.EXE %1。 3)将HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ RunServices\下的串值windows删除。 4)将HKEY_CLASSES_ROOT和HKEY_LOCAL_MACHINE\Software\CLASSES下的Winvxd主键删除。 5)到C:\WINDOWS\SYSTEM下，删除windows.exe和S_Server.exe这两个木马文件。要注意的是如果已经中了黑洞2001，那么windows.exe这个文件在windows环境下是无法直接删除的，这时我们可以在DOS方式下将它删除，或者用进程管理软件终止windows.exe这个进程，然后再将它删除。 至此就安全的清除黑洞2001了。 八、Netspy（网络精灵） Netspy又名网络精灵，是国产木马，最新版本为3.0，默认连接端口为7306。在该版本中新添加了注册表编辑功能和浏览器监控功能，客户端现在可以不用NetMonitor，通过IE或Navigate就可以进行远程监控了！其强大之处丝毫不逊色于冰河和BO2000！服务端程序被执行后，会在C:\Windows\system目录下生成netspy.exe文件。同时在注册表HKEY_LOCAL_MACHINE\software\microsoft\windows\CurrentVersion\Run\下建立键值C:\windows\system\netspy.exe，用于在系统启动时自动加载运行。 清除方法： 1、重新启动机器并在出现Staring windows提示时，按F5键进入命令行状态。在C:\windows\system\目录下输入以下命令：del netspy.exe 回车！ 2、进入注册表HKEY_LOCAL_MACHINE\Software\microsoft\windows\CurrentVersion\ Run\，删除Netspy的键值即可安全清除Netspy。 九、SubSeven SubSeven的功能比起大名鼎鼎的BO2K可以说有过之而无不及。最新版为2.2（默认连接端口27374），服务端只有54.5k！很容易被捆绑到其它软件而不被发现！最新版的金山毒霸等杀毒软件查不到它。服务器端程序server.exe，客户端程序subseven.exe。SubSeven服务端被执行后，变化多端，每次启动的进程名都会发生变化，因此查之很难。 清除方法： 1、打开注册表Regedit，点击至：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和RunService下，如果有加载文件，就删除右边的项目：加载器="C:\windows\system\***"。注：加载器和文件名是随意改变的。 2、打开win.ini文件，检查“run=”后有没有加上某个可执行文件名，如有则删除之。 3、打开system.ini文件，检查“shell=explorer.exe”后有没有跟某个文件，如有将它删除。 4、重新启动Windows，删除相对应的木马程序，一般在C:\windows\system下，在我在本机上做实验时发现该文件名为vqpbk.exe。