三、与Winlogon相关的“落雪”病毒
前段时间，网上曾爆发过WINLOGON病毒，给大家造成了很大的麻烦和损失。WINLOGON病毒中文名叫“落雪”，是一种专门盗取“传奇世界”、“魔兽世界”、“QQ”及网银等帐号密码的病毒。它不仅盗窃密码，而且还能免杀、自动关闭杀毒软件及木马克星，中了该病毒后你会发现：
双击“我的电脑”/盘符无法打开、或出现自动播放，大量的文件关联被修改;打开任务管理器，出现2个WINLOGON.exe进程，其中winlogon.exe是原进程，而WINLOGON.exe(路径为c:\windows\winlogon.exe)则是木马的主程序(为盗号马)，你无法结束该进程。另外，在D盘下还会多出2个文件autorun.inf和pagefile.com;C盘中将生成如下15个病毒文件：
C:\Windows\WINLOGON.EXE
C:\Program Files\Internet Explorer\iexplore.com
C:\Program Files\Common Files\iexplore.com
C:\WINDOWS\1.com
C:\WINDOWS\iexplore.com
C:\WINDOWS\finder.com
C:\WINDOWS\Exeroud.exe
C:\WINDOWS\Debug\Debug Programme.exe
C:\Windows\system32\command.com
C:\Windows\system32\msconfig.com
C:\Windows\system32\regedit.com
C:\Windows\system32\dxdiag.com
C:\Windows\system32\rundll32.com
C:\Windows\system32\finder.com
C:\Windows\system32\a.exe
为了清除落雪病毒，建议你将杀毒软件病毒库升级到最新，然后再用杀毒软件去剿杀;或者手工清除，方法如下：
1、终止WINLOGON.EXE
利用进程杀手prockiller2.7，或者Procexp先结束这个进程(注意不要结束小写的winlogon.exe);然后进入注册表，删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Torjan ragramme
查看原文：http://winsystem.ctocio.com.cn/windowsxp/88/7442588_2.shtml
