随着黑客技术的日益发展，各种“装备先进”的木马在网上大面积传播。如果大家遇到杀毒软件能够查出来，但却无法清除的病毒，那么多半就是现在网上非常流行的DLL动态嵌入式木马，相对普通木马来说，DLL木马的查杀不易。难道我们就拿它们没有办法了吗？如何清除木马呢？下面我们就一步一步来删掉这个如蛆附骨的DLL木马。小知识：什么是动态嵌入式DLL木马？这种木马是将DLL木马文件嵌入到正在运行的系统进程中如“explorer.exe”、“svchost.exe”、“smss.exe”或系统常见的进程如“iexplore.exe”、“notepad.exe”，而在任务管理器里出现的就只是DLL的载体EXE文件，由于这些进程就是系统本身的进程，因此DLL木马具有极强的隐蔽性。惊现病毒——杀毒软件束手无策近日,笔者的Norton报警发现病毒“E:\windows\sagent\mssasu.com”（注：笔者系统安装在E盘）如图1。从病毒名称可以判断是一个黑客后门程序，看来是有人在电脑上安装了后门。
发现病毒自然是杀毒，将病毒库升级，启动Norton进行全面查杀，Norton又提示发现其他两个病毒，不过Norton既无法隔离也无法将病毒删除，如图2所示。
寻根究底——木马现原形Norton无法删除病毒，原因显然是由于病毒进程正在运行导致的。Tw.WiNGWIt.com由于Norton总是弹出发现病毒窗口而无法查杀，笔者便将Norton的自动防护暂时关闭。打开任务管理器，奇怪的是并没有发现有什么陌生的进程，不过其中的“iexplore.exe”引起笔者的警觉，因为此时笔者并没有运行IE浏览器，进程列表里怎么会出现这个进程？右击进程选择“打开所在目录”，通过查看“iexplore.exe”属性，发现这的确是系统自带的IE浏览器，难道是IE染毒了？然后我又发现在关闭Norton自动防护情况下，每次终止“iexplore.exe”后，不到2秒它就会立刻复活，而启动Norton的防护后，则会发现“E:\WINDOWS\msagent\msdwix.com”病毒的提示。显然“msdwix.com”就是“iexplore.exe”的守护进程，当它发现监视的进程被终止后会立刻使它复活。结合Norton发现的“Dxdgns.dll”这个病毒，笔者初步判断这应该是一个动态嵌入式DLL木马，它把“Dxdgns.dll”木马文件插入“iexplore.exe”进程里了。为了便于比较，笔者又启动一个“iexplore.exe”进程。进程调用的DLL文件，通过“Windows优化大师”组件“Windows进程管理”来查看。启动程序后选中“iexplore.exe”，单击“模块信息”，通过和正常IE进程详细对比，可以看到“e:\windows\dxdgn.dll”的确被IE调用，这就是病毒真身了，如图3所示。
先治标——清除病毒文件对于此类病毒，笔者使用了“系统权限法”来阻止进程运行（注意：使用该法前提是系统采用NTFS格式）。打开“我的电脑”，单击“工具→文件夹选项→查看”，然后在“高级设置”选项下去除“简单文件共享（推荐）”前的小钩。现在打开“E:\WINDOWS\msagent”，找到“msdwix.com”右击选择“属性”，然后单击“安全”标签，接着在属性窗口单击“高级”，在弹出的窗口清除“从父项继承那些可以应用到子对象的权限项目，包括那些在此明确定义的项目”复选框，在弹出窗口单击“删除”，去除所有继承的权限，依次单击“确定”后退出，这样电脑上就没有任何用户可以运行“msdwix.com”了。提示：对于采用FAT32格式的用户，可以将电脑重启到纯DOS下，手工删除“msdwix.com”文件。此外，对于通过系统的“rundll32.exe”命令调用DLL文件作恶的木马，也可以利用上述方法去除DLL文件的运行和读取权限。现在使用任务管理器终止“iexplore.exe”，由于“msdwix.com”无法运行，自然它也不能重新加载“Dxdgns.dll”木马了。将电脑注销一下进入“e:\windows”，顺利删除了“Dxdgns.dll”。现在进入“E:\WINDOWS\msagent”，找到“msdwix.com”右击选择“属性”，重复前面的操作，勾选“从父项继承那些可以应用到子对象的权限项目，包括那些在此明确定义的项目”复选框。最后按照Norton查毒的提示，删除其它病毒文件。再治本——清除木马启动程序因为每次启动这个木马病毒会运行，显然它在注册表添加了自启动项目，查看自启动项目软件有很多，笔者这里向大家推荐一款软件Autoruns 7.01 汉化版（下载地址http://www.d66.net/soft/6942.htm），它可以详细列出电脑上所有的自启动项目，运行程序后单击“查看”，依次勾选所要显示的项目（如服务、DLL文件、浏览器加载项、空位置），单击“刷新”后就可以看到检测结果了，它会列出所有启动位置。从Autoruns检测可以看到，这个木马的启动键值是[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]和[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]下的COM服务，原来木马还通过注册为系统服务的方式启动。右击查找到的启动项目选择“跳转到具体位置”。这样可以直接打开注册表并定位到相应启动键值，按提示删除COM服务键值即可修复注册表。至此顺利将这个难缠的DLL木马扫地出门！
