煙蟲
2003-04-16, 12:58 AM
情況是這樣嗎?轉貼史萊姆middly先生的圖片,然後請看下面文章第12,13點,手動清除完畢後,請設定密碼.
http://www.slime5.com.tw/forums/showthread.php?s=&threadid=29085 史萊姆論壇相關文章(註冊後才可觀看)
http://photo.cityfamily.com.tw/photo/album/upload/2002/06/10/S026AT000011/20030415184242.jpg
http://www.kaspersky.com.cn/virus/virusnews/Supnot.htm(Lovgate a,b,c)
http://www.ccert.edu.cn/announce/index.php
http://www.ccert.edu.cn/announce/show.php?handle=49(w32.HLLW.Lovgate.G)
病毒描述：w32.HLLW.Lovgate.G蠕蟲是w32.HLLW.Lovgate.c的一個變種，它包含郵件群發功能和後門功能。這個病毒在win95/98/xp下某些功能將無法正常使用。
傳播機理：
該蠕蟲傳播有兩種方式，通過電子郵件和局域網共享傳
播。當機器被感染後將做如下操作：
1．將病毒自身拷貝到%system%(通常是winnt/system32)目錄下，並改成以下這些文件名：
Ravmond.exe
WinGate.exe
WinDriver.exe
Winrpc.exe
Winhelp.exe
Iexplore.exe
Kernel66.dll
NetServices.exe
這些文件在win2000大小都是104k.。
2．拷貝木馬文件到%system%目錄下並執行它，木馬的文件名可能是以下文件名中的一種或幾種：
Task688.dll
Ily688.dll
Reg678.dll
111.dll
3．修改註冊表鍵值，以便使蠕蟲能在下次系統重起後自動運行:
在註冊表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run項中添加以下鍵值：
winhelp %system%\winhelp.exe
WinGate initialize %system%\WinGate.exe -remoteshell
Remote Procedure Call Locator rundll32.exe reg678.dll ondll_reg
Program in Windows %system%\iexplore.exe
4．添加註冊表鍵值：
在HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
中添加run RAVMOND.EXE項。
5．修改系統文本文件打開程序的關聯項，使得系統在今後每次
打開文本文件的時候都會被運行一遍，修改的鍵值為在
HKEY_CLASS_ROOT\txtfile\shell\open\command中添加了winrpc.exe %1
6．拷貝它自己到所有本地共享文件夾中，可能以下面的文件名：
Are you looking for Love.doc.exe
autoexec.bat
The world of lovers.txt.exe
How To Hack Websites.exe
Panda Titanium Crack.zip.exe
Mafia Trainer!!!.exe
100 free essays school.pif
AN-YOU-SUCK-IT.txt.pif
Sex_For_You_Life.JPG.pif
CloneCD + crack.exe
Age of empires 2 crack.exe
MoviezChannelsInstaler.exe
Star Wars II Movie Full Downloader.exe
Winrar + crack.exe
SIMS FullDownloader.zip.exe
MSN Password Hacker and Stealer.exe
7．監聽系統的1092，6000，20168端口，並通過電子郵件將本地信息發往某些特定的地址。
8．運行一個需要密碼驗證的後門程序在1092端口，當入侵者輸
入正確的口令後他將獲得一個系統的shell。
9．運行一個無需任何驗證的後門程序在20168端口。
10．運行一個功能並不完善的木馬程序在6000端口，但是由於程
序上的bug，有的時候他不能正常運行，該後門程序會記錄系統
在網絡上通訊時所用的賬號和密碼，並將相關的信息以純文本形
式記錄在C:\Netlog.txt文件中。
11．從html文件中查找郵件地址並向該地址發送病毒副本，回復
outlook中所有收到的信件並將病毒副本作為附件在回覆信件中
發出。發送的附件名稱是由病毒程序從內定的列表裡隨機提出的
文件名，有三種格式 .exe .pif 和.scr,列表中的文件名包括：
I am For u.doc.exe
Britney spears nude.exe.txt.exe
joke.pif
DSL Modem Uncapper.rar.exe
Industry Giant II.exe
StarWars2 - CloneAttack.rm.scr
dreamweaver MX (crack).exe
Shakira.zip.exe
SETUP.EXE
Macromedia Flash.scr
How to Crack all gamez.exe
Me_nude.AVI.pif
s3msong.MP3.pif
Deutsch BloodPatch!.exe
Sex in Office.rm.scr
The hardcore game-.pif
信件發送的標題和內容也是從內置的表單中隨即提取出來的，包括：
Subject: Reply to this!
Message Body: For further assistance, please contact!
Attachment: About_Me.txt.pif
Subject: Let's Laugh
Message Body: Copy of your message, including all the headers is attached.
Attachment: driver.exe
Subject: Last Update
Message Body: This is the last cumulative update.
Attachment: Doom3 Preview!!!.exe
Subject: for you
Message Body: Tiger Woods had two eagles Friday during his victory over Stephen Leaney.
(AP Photo/Denis Poroy)Attachment: enjoy.exe
Subject: Great
Message Body: Send reply if you want to be official beta tester.
Attachment: YOU_are_FAT!.TXT.pif
Subject: Help
Message Body: This message was created automatically by mail delivery software (Exim).
Attachment: Source.exe
Subject: Attached one Gift for u..
Message Body: It's the long-awaited film version of the Broadway hit.
Set in the roaring 20's, this is the story of Chicago
chorus girl Roxie Hart (Zellweger), who shoots her unfaithful
lover (West).Attachment: Interesting.exe
Subject: Hi
Message Body: Adult content!!! Use with parental advisory.
Attachment: README.TXT.pif
Subject: Hi Dear
Message Body: Patrick Ewing will give Knick fans something to cheer about Friday night.
Attachment: images.pif
Subject: See the attachement
Message Body: Send me your comments...
Attachment: Pics.ZIP.scr
12． 掃瞄局域網上所有的機器，並使用administrator用
戶及從密碼列表中所列出的密碼對該機器的共享進行測試連接。密碼列表包括：
zxcv
yxcv
xxx
win
test123
test
temp123
temp
sybase
super
sex
secret
pwd
pw123
Password
owner
oracle
mypc123
mypc
mypass123
mypass
love
login
Login
Internet
home
godblessyou
god
enable
database
computer
alpha
admin123
Admin
abcd
aaa
88888888
2600
2003
2002
123asd
123abc
123456789
1234567
123123
121212
11111111
110
007
00000000
000000
pass
54321
12345
password
passwd
server
sql
!@#$%^&*
!@#$%^&
!@#$%^
!@#$%
asdfgh
asdf
!@#$
1234
111
root
abc123
12345678
abcdefg
abcdef
abc
888888
666666
111111
admin
administrator
guest
654321
123456
321
123
另外病毒程序會先嘗試使用空密碼連接。
13．一旦病毒成功的與局域網上的機器建立起連接，它就會將自身拷貝過去：
\\\admin$\system32\netservices.exe
並將netservices.exe加載成系統服務，服務名叫作Microsoft
NetWork FireWall Services
14．創建名為"Windows Management Instrumentation Driver
Extension,"的服務並指向%System32%\WinDriver.exe程序。
15．創建名為"NetMeeting Remote Desktop (RPC) Sharing,"的
服務並指向"Rundll32.exe task688.dll ondll_server."
16．將自己設置為系統服務。
17．將木馬程序以線程的方式注入到系統程序lsass.exe,監聽在1092端口。
18．將木馬程序以線程的方式注入到系統程序lsass.exe，監聽在20168端口。
19．將一個監測程序以線程的方式注入到任意的Explorer.exe
或是Taskmgr.exe中，它是以遠程線程方式注入的，用來監測病
毒程序的運行。一旦該監測程序停止，蠕蟲程序會重新注入一個
線程到任意的Explorer.exe 或是Taskmgr.exe中。蠕蟲監測程序
運行的目的是為了使系統的進程中始終有活著的蠕蟲進程。
w32.HLLW.Lovgate.G蠕蟲的危害：
多次複製自身，佔用磁盤空間。
掃瞄局域網，影響網絡帶寬。
運行病毒線程，影響系統性能。
記錄賬號及密碼，洩漏本地敏感信息。
預留後門程序，危及系統安全。
w32.HLLW.Lovgate.G蠕蟲檢測方法：
手動檢測方法：察看系統目錄system32下是否有大小為104k的相
關程序（參見傳播機理1）：
察看系統目錄system32下是否有相應的動態連接庫文件（參見傳播機理2）
檢查系統是否開放1092和20168端口。
察看註冊表中是否有相關的鍵值（相關鍵值參照傳播機理3，4，5）
察看系統服務中是否存在相關服務（請參照傳播機理13，14，15）
清除方法：
第一步：使用升級了最新病毒庫的殺毒軟件對系統進行掃瞄，記
錄下所有的被掃瞄出來的病毒文件名及路徑。（以便後面手動清除）
第二步：查殺相關進程
1）打開Windows任務管理器如果是在Windows 95/98/me系統中，
按下CTRL+ALT+DELETE即可；如果是在Windows NT/2000/XP系統
中，按下CTRL+SHIFT+ESC即可然後單擊「進程」。
2) 在列出的運行進程列表中，找到該病毒文件名或剛才記錄下的文件名。
3) 選中這個文件，然後單擊「結束進程」或「結束任務」。這取決於你所運行的系統的版本.
4) 重複2)和3)，殺死所有正在運行的的病毒進程， 包括所有的病毒文件和剛才紀錄的文件。
5) 為了判斷這個病毒進程是否已經被終止，關閉任務管理器，接著再打開它。
6) 關閉任務管理器。
第三步：刪除相應的鍵值
從註冊表中刪除病毒的自動啟動鍵值，防止當系統重起的時候這個病毒又開始執行。
1) 打開註冊表編輯器。（為了打開它，請單擊「開始」〉「運行」，輸入
"REGEDIT",單擊回車。）
2) 在左邊的面板中，雙擊下面的選項：
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>
CurrentVersion>Run
3) 在右邊的面板中，找到和刪除下面的鍵值：
WinHelp = "C:\WINNT\System32\winHelp.exe"
WinGate initialize = "C:\WINNT\System32\WinGate.exe -remoteshell"
Remote Procedure Call Locator = "RUNDLL32.EXE reg678.dll ondll_reg"
Program In Windows = "C:\WINNT\System32\IEXPLORE.EXE"
4) 在左邊的面板中，雙擊下面的選項：
HKEY_CURRENT_USER>Software>Microsoft>WindowsNT>
CurentVersion>Windows
5) 在右邊的面板中，找到和刪除下面的鍵值：
Run = RAVMOND.EXE
第四步：定位和修改註冊表Shell Spawning （用戶向shell提出請求，shell解釋並將請
求傳給內核。這一節剩下的部分解釋這個外層程序。這個過程被稱為spawning）
當一個用戶運行一個.txt文件時，註冊表的Shell Spawning
將執行這個病毒。下面的操作可以使你的系統恢復到感染病毒
之前的設置 ：
1) 仍然是進入註冊表編輯器，在左邊的面板中，雙擊下面的選項：
HKEY_CLASSES_ROOT>txtfile>shell>open>command ；
2) 在右邊的面板中，找到下面的鍵值：
Default；
3) 但它的數據是這個病毒的路徑或文件名--"winrpc.exe %1"時，
選中它；
4) 如果這個數據是這個病毒的文件，右擊Default，選擇編輯，去
修改它的值；
5) 在這個數據的輸入框中，刪除它的值，然後再輸入缺省值：
%SysDir%\NOTEPAD.EXE %1
6) 單擊"OK"；
7) 關閉註冊表編輯器。
第五步：在系統文件中刪除自動啟動條目
必須在系統安全啟動之前刪除系統文件中的自啟動條目
1) 打開WIN.INI
單擊「開始」〉「運行」，輸入"WIN.INI"，按回車。
2) 在[Windows]部分下面，在以下的行中找到並刪除該
病毒的文件名：
Run=%System%RAVMOND.exe
（注意：%System%為Windows系統文件夾，它的目錄一般
為：C:\Windows\System 或C:\Windows\System32）
3) 關閉WIN.INI，當提示是否保存時，單擊"Yes"。
*注意：如果你不能再內存中終止該病毒的進程，按照前面描述
的步驟，重起你的系統。
第六步：在Windows 2000/NT/XP中關閉該病毒服務
1) 重起你的系統，終止病毒的服務。接下來，在註冊表中
刪除它的服務；
2) 打開註冊表編輯器；
3) 在左邊的面板中，雙擊下面的選項：
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>
Services>Windows Management Instrumentation
Driver Extension
4) 右擊"Windows Management Instrumentation Driver
Extension"選擇"Delete"。
5) 在左邊的面板中，雙擊下面的選項：
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>
Services>NetMeeting Remote Desktop (RPC) Sharing
6) 右擊NetMeeting Remote Desktop (RPC) Sharing"，
選擇"Delete"。
7) 在左邊的面板中，雙擊下面的選項：
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>
Services>Microsoft NetWork FireWall Services
8) 右擊"Microsoft NetWork FireWall Services"
選擇"Delete"。
9) 關閉註冊表編輯器。
第七步：手動刪除剛才記錄下來的病毒文件。
http://www.ccert.edu.cn/pub/tools/FixLGate.exe
贊助商連結
http://www.slime5.com.tw/forums/showthread.php?s=&threadid=29085 史萊姆論壇相關文章(註冊後才可觀看)
http://photo.cityfamily.com.tw/photo/album/upload/2002/06/10/S026AT000011/20030415184242.jpg
http://www.kaspersky.com.cn/virus/virusnews/Supnot.htm(Lovgate a,b,c)
http://www.ccert.edu.cn/announce/index.php
http://www.ccert.edu.cn/announce/show.php?handle=49(w32.HLLW.Lovgate.G)
病毒描述：w32.HLLW.Lovgate.G蠕蟲是w32.HLLW.Lovgate.c的一個變種，它包含郵件群發功能和後門功能。這個病毒在win95/98/xp下某些功能將無法正常使用。
傳播機理：
該蠕蟲傳播有兩種方式，通過電子郵件和局域網共享傳
播。當機器被感染後將做如下操作：
1．將病毒自身拷貝到%system%(通常是winnt/system32)目錄下，並改成以下這些文件名：
Ravmond.exe
WinGate.exe
WinDriver.exe
Winrpc.exe
Winhelp.exe
Iexplore.exe
Kernel66.dll
NetServices.exe
這些文件在win2000大小都是104k.。
2．拷貝木馬文件到%system%目錄下並執行它，木馬的文件名可能是以下文件名中的一種或幾種：
Task688.dll
Ily688.dll
Reg678.dll
111.dll
3．修改註冊表鍵值，以便使蠕蟲能在下次系統重起後自動運行:
在註冊表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run項中添加以下鍵值：
winhelp %system%\winhelp.exe
WinGate initialize %system%\WinGate.exe -remoteshell
Remote Procedure Call Locator rundll32.exe reg678.dll ondll_reg
Program in Windows %system%\iexplore.exe
4．添加註冊表鍵值：
在HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
中添加run RAVMOND.EXE項。
5．修改系統文本文件打開程序的關聯項，使得系統在今後每次
打開文本文件的時候都會被運行一遍，修改的鍵值為在
HKEY_CLASS_ROOT\txtfile\shell\open\command中添加了winrpc.exe %1
6．拷貝它自己到所有本地共享文件夾中，可能以下面的文件名：
Are you looking for Love.doc.exe
autoexec.bat
The world of lovers.txt.exe
How To Hack Websites.exe
Panda Titanium Crack.zip.exe
Mafia Trainer!!!.exe
100 free essays school.pif
AN-YOU-SUCK-IT.txt.pif
Sex_For_You_Life.JPG.pif
CloneCD + crack.exe
Age of empires 2 crack.exe
MoviezChannelsInstaler.exe
Star Wars II Movie Full Downloader.exe
Winrar + crack.exe
SIMS FullDownloader.zip.exe
MSN Password Hacker and Stealer.exe
7．監聽系統的1092，6000，20168端口，並通過電子郵件將本地信息發往某些特定的地址。
8．運行一個需要密碼驗證的後門程序在1092端口，當入侵者輸
入正確的口令後他將獲得一個系統的shell。
9．運行一個無需任何驗證的後門程序在20168端口。
10．運行一個功能並不完善的木馬程序在6000端口，但是由於程
序上的bug，有的時候他不能正常運行，該後門程序會記錄系統
在網絡上通訊時所用的賬號和密碼，並將相關的信息以純文本形
式記錄在C:\Netlog.txt文件中。
11．從html文件中查找郵件地址並向該地址發送病毒副本，回復
outlook中所有收到的信件並將病毒副本作為附件在回覆信件中
發出。發送的附件名稱是由病毒程序從內定的列表裡隨機提出的
文件名，有三種格式 .exe .pif 和.scr,列表中的文件名包括：
I am For u.doc.exe
Britney spears nude.exe.txt.exe
joke.pif
DSL Modem Uncapper.rar.exe
Industry Giant II.exe
StarWars2 - CloneAttack.rm.scr
dreamweaver MX (crack).exe
Shakira.zip.exe
SETUP.EXE
Macromedia Flash.scr
How to Crack all gamez.exe
Me_nude.AVI.pif
s3msong.MP3.pif
Deutsch BloodPatch!.exe
Sex in Office.rm.scr
The hardcore game-.pif
信件發送的標題和內容也是從內置的表單中隨即提取出來的，包括：
Subject: Reply to this!
Message Body: For further assistance, please contact!
Attachment: About_Me.txt.pif
Subject: Let's Laugh
Message Body: Copy of your message, including all the headers is attached.
Attachment: driver.exe
Subject: Last Update
Message Body: This is the last cumulative update.
Attachment: Doom3 Preview!!!.exe
Subject: for you
Message Body: Tiger Woods had two eagles Friday during his victory over Stephen Leaney.
(AP Photo/Denis Poroy)Attachment: enjoy.exe
Subject: Great
Message Body: Send reply if you want to be official beta tester.
Attachment: YOU_are_FAT!.TXT.pif
Subject: Help
Message Body: This message was created automatically by mail delivery software (Exim).
Attachment: Source.exe
Subject: Attached one Gift for u..
Message Body: It's the long-awaited film version of the Broadway hit.
Set in the roaring 20's, this is the story of Chicago
chorus girl Roxie Hart (Zellweger), who shoots her unfaithful
lover (West).Attachment: Interesting.exe
Subject: Hi
Message Body: Adult content!!! Use with parental advisory.
Attachment: README.TXT.pif
Subject: Hi Dear
Message Body: Patrick Ewing will give Knick fans something to cheer about Friday night.
Attachment: images.pif
Subject: See the attachement
Message Body: Send me your comments...
Attachment: Pics.ZIP.scr
12． 掃瞄局域網上所有的機器，並使用administrator用
戶及從密碼列表中所列出的密碼對該機器的共享進行測試連接。密碼列表包括：
zxcv
yxcv
xxx
win
test123
test
temp123
temp
sybase
super
sex
secret
pwd
pw123
Password
owner
oracle
mypc123
mypc
mypass123
mypass
love
login
Login
Internet
home
godblessyou
god
enable
database
computer
alpha
admin123
Admin
abcd
aaa
88888888
2600
2003
2002
123asd
123abc
123456789
1234567
123123
121212
11111111
110
007
00000000
000000
pass
54321
12345
password
passwd
server
sql
!@#$%^&*
!@#$%^&
!@#$%^
!@#$%
asdfgh
asdf
!@#$
1234
111
root
abc123
12345678
abcdefg
abcdef
abc
888888
666666
111111
admin
administrator
guest
654321
123456
321
123
另外病毒程序會先嘗試使用空密碼連接。
13．一旦病毒成功的與局域網上的機器建立起連接，它就會將自身拷貝過去：
\\\admin$\system32\netservices.exe
並將netservices.exe加載成系統服務，服務名叫作Microsoft
NetWork FireWall Services
14．創建名為"Windows Management Instrumentation Driver
Extension,"的服務並指向%System32%\WinDriver.exe程序。
15．創建名為"NetMeeting Remote Desktop (RPC) Sharing,"的
服務並指向"Rundll32.exe task688.dll ondll_server."
16．將自己設置為系統服務。
17．將木馬程序以線程的方式注入到系統程序lsass.exe,監聽在1092端口。
18．將木馬程序以線程的方式注入到系統程序lsass.exe，監聽在20168端口。
19．將一個監測程序以線程的方式注入到任意的Explorer.exe
或是Taskmgr.exe中，它是以遠程線程方式注入的，用來監測病
毒程序的運行。一旦該監測程序停止，蠕蟲程序會重新注入一個
線程到任意的Explorer.exe 或是Taskmgr.exe中。蠕蟲監測程序
運行的目的是為了使系統的進程中始終有活著的蠕蟲進程。
w32.HLLW.Lovgate.G蠕蟲的危害：
多次複製自身，佔用磁盤空間。
掃瞄局域網，影響網絡帶寬。
運行病毒線程，影響系統性能。
記錄賬號及密碼，洩漏本地敏感信息。
預留後門程序，危及系統安全。
w32.HLLW.Lovgate.G蠕蟲檢測方法：
手動檢測方法：察看系統目錄system32下是否有大小為104k的相
關程序（參見傳播機理1）：
察看系統目錄system32下是否有相應的動態連接庫文件（參見傳播機理2）
檢查系統是否開放1092和20168端口。
察看註冊表中是否有相關的鍵值（相關鍵值參照傳播機理3，4，5）
察看系統服務中是否存在相關服務（請參照傳播機理13，14，15）
清除方法：
第一步：使用升級了最新病毒庫的殺毒軟件對系統進行掃瞄，記
錄下所有的被掃瞄出來的病毒文件名及路徑。（以便後面手動清除）
第二步：查殺相關進程
1）打開Windows任務管理器如果是在Windows 95/98/me系統中，
按下CTRL+ALT+DELETE即可；如果是在Windows NT/2000/XP系統
中，按下CTRL+SHIFT+ESC即可然後單擊「進程」。
2) 在列出的運行進程列表中，找到該病毒文件名或剛才記錄下的文件名。
3) 選中這個文件，然後單擊「結束進程」或「結束任務」。這取決於你所運行的系統的版本.
4) 重複2)和3)，殺死所有正在運行的的病毒進程， 包括所有的病毒文件和剛才紀錄的文件。
5) 為了判斷這個病毒進程是否已經被終止，關閉任務管理器，接著再打開它。
6) 關閉任務管理器。
第三步：刪除相應的鍵值
從註冊表中刪除病毒的自動啟動鍵值，防止當系統重起的時候這個病毒又開始執行。
1) 打開註冊表編輯器。（為了打開它，請單擊「開始」〉「運行」，輸入
"REGEDIT",單擊回車。）
2) 在左邊的面板中，雙擊下面的選項：
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>
CurrentVersion>Run
3) 在右邊的面板中，找到和刪除下面的鍵值：
WinHelp = "C:\WINNT\System32\winHelp.exe"
WinGate initialize = "C:\WINNT\System32\WinGate.exe -remoteshell"
Remote Procedure Call Locator = "RUNDLL32.EXE reg678.dll ondll_reg"
Program In Windows = "C:\WINNT\System32\IEXPLORE.EXE"
4) 在左邊的面板中，雙擊下面的選項：
HKEY_CURRENT_USER>Software>Microsoft>WindowsNT>
CurentVersion>Windows
5) 在右邊的面板中，找到和刪除下面的鍵值：
Run = RAVMOND.EXE
第四步：定位和修改註冊表Shell Spawning （用戶向shell提出請求，shell解釋並將請
求傳給內核。這一節剩下的部分解釋這個外層程序。這個過程被稱為spawning）
當一個用戶運行一個.txt文件時，註冊表的Shell Spawning
將執行這個病毒。下面的操作可以使你的系統恢復到感染病毒
之前的設置 ：
1) 仍然是進入註冊表編輯器，在左邊的面板中，雙擊下面的選項：
HKEY_CLASSES_ROOT>txtfile>shell>open>command ；
2) 在右邊的面板中，找到下面的鍵值：
Default；
3) 但它的數據是這個病毒的路徑或文件名--"winrpc.exe %1"時，
選中它；
4) 如果這個數據是這個病毒的文件，右擊Default，選擇編輯，去
修改它的值；
5) 在這個數據的輸入框中，刪除它的值，然後再輸入缺省值：
%SysDir%\NOTEPAD.EXE %1
6) 單擊"OK"；
7) 關閉註冊表編輯器。
第五步：在系統文件中刪除自動啟動條目
必須在系統安全啟動之前刪除系統文件中的自啟動條目
1) 打開WIN.INI
單擊「開始」〉「運行」，輸入"WIN.INI"，按回車。
2) 在[Windows]部分下面，在以下的行中找到並刪除該
病毒的文件名：
Run=%System%RAVMOND.exe
（注意：%System%為Windows系統文件夾，它的目錄一般
為：C:\Windows\System 或C:\Windows\System32）
3) 關閉WIN.INI，當提示是否保存時，單擊"Yes"。
*注意：如果你不能再內存中終止該病毒的進程，按照前面描述
的步驟，重起你的系統。
第六步：在Windows 2000/NT/XP中關閉該病毒服務
1) 重起你的系統，終止病毒的服務。接下來，在註冊表中
刪除它的服務；
2) 打開註冊表編輯器；
3) 在左邊的面板中，雙擊下面的選項：
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>
Services>Windows Management Instrumentation
Driver Extension
4) 右擊"Windows Management Instrumentation Driver
Extension"選擇"Delete"。
5) 在左邊的面板中，雙擊下面的選項：
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>
Services>NetMeeting Remote Desktop (RPC) Sharing
6) 右擊NetMeeting Remote Desktop (RPC) Sharing"，
選擇"Delete"。
7) 在左邊的面板中，雙擊下面的選項：
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>
Services>Microsoft NetWork FireWall Services
8) 右擊"Microsoft NetWork FireWall Services"
選擇"Delete"。
9) 關閉註冊表編輯器。
第七步：手動刪除剛才記錄下來的病毒文件。
http://www.ccert.edu.cn/pub/tools/FixLGate.exe
贊助商連結