昨天在“开始”菜单“运行”里输入“cmd”运行命令行窗口，防火墙ZoneAlarm提示一个可疑程序setuprs1.pif试图运行，禁止了这个可疑程序后命令行窗口就无法打开。于是Google之，得知不幸中病毒了：新版灰鸽子后门病毒dllhost.exe。症状和查杀方法如下：
　　症状：
　　1.打开“我的电脑”，“工具”菜单->“文件夹选项”->“查看”，将“隐藏受保护的操作系统文件”前面的小勾勾去掉，选中“显示所有文件和文件夹”，以显示隐藏文件和受保护文件；
　　2.打开C:\Windows\文件夹，该文件夹下有如下两个文件：
　　　　dllhost.exe （使用Del或者Shift+Del都无法删除）
　　　　setuprs1.exe
　　有时还会有：
　　　　regedit.exe.exe
　　　　cmd.exe.exe
　　3.查看硬盘各分区根目录，有如下两个文件：
　　　　文件夹runauto..（使用Del或者Shift+Del同样无法删除）
　　　　文件autorun.inf

　　　　runauto..文件夹中包含病毒文件autorun.pif

　　　　autorun.inf文件内容：
　　　　[AutoRun]
　　　　open=RUNAUT~1\autorun.pif
　　　　shell\1=打开(&O)
　　　　shell\1\Command=RUNAUT~1\autorun.pif
　　　　shell\2\=浏览(&B)
　　　　shell\2\Command=RUNAUT~1\autorun.pif
　　　　shellexecute=RUNAUT~1\autorun.pif
　　4.感染U盘，且可通过U盘传播。U盘根目录下的病毒文件内容与硬盘各分区根目录下的病毒文件内容相同。（我的电脑就是这样被感染的）

　　查杀方法：
　　很多杀毒软件都查不出这个病毒（包括我用的McAfee），更不用说杀掉了。需要两个工具软件配合手动删除。
　　工具软件：
　　IceSword
　　Autoruns （都不大，前者3.8M左右，后者不到400K）

　　步骤：
　　1.运行IceSword，在其中禁止进程创建；
　　2.在IceSword中结束病毒进程%windows%\dllhost.exe；
　　3.删除病毒文件：
  　C:\Windows\dllhost.exe
  　C:\Windows\setuprs1.exe
  　X:\runauto..\autorun.pif（X代表各硬盘分区以及U盘盘符）
  　X:\runauto..文件夹
　　4.删除病毒服务项：
  　在注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下，服务名为“COMSystemApp”，右键，删除；如下图；

　　5.删除下列注册表项：　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List分支下的"C:\\windows\\dllhost.exe"="C:\\windows\ \dllhost.exe:*:Enabled:dllhost.exe"
　　6.删除病毒添加的IFEO项：
  　运行Autoruns，在“所有项目”下找到HKLM\Software\Microsoft\Windws NT\CurrenVersion\Image File Execution Options项，将下图中红框内四项前的对号去掉；

　　7.取消IceSword的“禁止进程创建”。完工。

　　最近几天网上病毒貌似比较泛滥，大家要提高警惕守护好系统安全啦