电脑在浏览一些不安全网站的时候非常容易感染病毒，随着网络的发展，病毒也变得越来越多样化。近日一位网友突然发现自己的电脑感染上一个名为“winlogon.exe”的病毒，对此该怎么办呢？本文就给大家介绍手动清除winlogon.exe电脑病毒的方法。

这只鸽子提示：中招后，贴日志求助的日子即将结束！做好系统基础安全防护是每个用户的当务之急。“基础安全防护”绝不仅仅是打几个补丁的问题。熟悉一两个性能好的安全软件的使用也是必要的。否则，中招后，你自己就着急吧！

这只鸽子的要害是c:windows/winlogon.dll。如果想办法禁止这个dll加载运行，鸽子的文件全部可见图1：

screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='点击这儿打开新的窗口';}" resized="true">

这只鸽子的要害是这个c:windowswinlogon.dll。

如果用SSM禁止c:windowswinlogon.dll加载运行，则这只鸽子的文件全部可见。

这是Movgear.exe中捆绑的一只灰鸽子（Movgear.exe样本来自安全12公里）。winlogon.exe的MD5值为：2de9f62c2b405e16cb66773747cf0f2d。

一、自Movgear.exe中提取winlogon.exe并将其植入系统后，autoruns、HijackThis、SREng日志中均无任何异常发现。

winlogon.exe释放的文件有：

1、c:windowswinlogon.exe

2、c:windowswinlogon.dll

3、c:windowswinlogonKey.dll

这两个dll插入IE浏览器进程。

即使不打开IE浏览器，IceSword的进程列表中依然可见iexplore.exe。

c:windowswinlogonKey.dll动态跟踪所有应用程序进程（一旦开启，立即插入。）

注意：即使显示隐藏文件，用WINDOWS的资源管理器也看不到灰鸽子释放的这三个文件。用IceSword才能看到。

二、注册表改动包括：

1、在HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices

添加：winlogon.exe（指向c:windowswinlogon.exe）

2、在HKEY_USERS.DEFAULTSoftwareMicrosoftInternet ExplorerExtensionsCmdMapping

添加：

"{92780B25-18CC-41C8-B9BE-3C9C571A8263}"=dword:00002002 "{DEDEB80D-FA35-45d9-9460-4983E5A8AFE6}"=dword:00002002 "{FB5F1910-F110-11d2-BB9E-00C04F795683}"=dword:00002001

3、在HKEY_USERS.DEFAULTSoftwareMicrosoftInternetConnectionWizard

添加："Completed"=hex:01，00，00，00

4、在HKEY_USERS.DEFAULTSoftwareMicrosoftInternetExplorerToolbarWebBrowser

添加：

5、在HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionExplorerCabinetState

添加："Settings"=hex:0c，00，02，00，0a，01，ef，75，60，00，00，00

6、在HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionExtStats

添加：

{0055C089-8582-441B-A0BF-17B458C2A3A8}

{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}

{92780B25-18CC-41C8-B9BE-3C9C571A8263}

{AE7CD045-E861-484F-8273-0445EE161910}

{DEDEB80D-FA35-45D9-9460-4983E5A8AFE6}

{FB5F1910-F110-11D2-BB9E-00C04F795683}

7、在HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionExplorerMenuOrderFavorites链接

添加："Order"=hex:08，00，00，00，02，00，00，00，0c，00，00，00，01，00，00，00，00，00，00，00

三、进行上述观察后，重启系统。

重启后，卡巴斯基报警（我的卡巴斯基为启动加载）：发现灰鸽子。但卡巴斯基仅仅将c:windowswinlogon.dll删除；c:windowswinlogon.exe和c:windowswinlogonKey.dll卡巴斯基并不报毒。汗！！卡巴斯基越来越不争气了另外发现其winlogonKey.log文件。文件内容为：

#？》。？：4？74;

四、查杀流程：

1、打开注册表编辑器，展开HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices

删除灰鸽子的服务项：winlogon.exe

2、重启系统。用IceSword找到并删除鸽子释放的那三个文件。

4、清理注册表（删除鸽子添加的注册表项）。

五、查杀方法：安全模式下操作

删除文件

C:Downloads

C:WINDOWSsystem32AddrConfig.bin

C:WINDOWSsystem32oobedata

C:WINDOWSsystem32wbemddes

C:WINDOWSsystem32wbemkbd101ab.dll

C:WINDOWSsystem32wbemSysOption.bin

C:WINDOWSsystem32wbemwinlogon.exe

删除注册表

HKCRCLSID{881F6F06-4620-4070-AD05-BD77D4C56661}

HKCRInterface{468262B9-8400-4A49-B2E5-CE8550EB1347}

HKCRTypeLib{F63B08CD-3645-474F-8872-BA4293251FF9}1.0

HKCRVCFIWZDY32.VCFIWZDY

HKLMSYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPolicyStandardProfileAuthorizedApplicationsListC:WINDOWSSystem32WBEMwinlogon.exe

HKCUSoftwareMicrosoftMediaPlayerPlayerExtensions

重启回正常模式即可。

以上便是手动清除winlogon.exe电脑病毒的详细操作，由于操作起来步骤比较多，所以用户在操作的时候一定要注意，不要删除错了注册表，以免影响到其它功能无法正常使用。