今天开机后发现例如cs,实况足球,劲舞团等游戏的执行程序(.exe)都被替换成同名的文件,大小均为128k,双击没有反应.后来在F盘发现6个压缩文件.分别叫bak.zip,install.zip,letter.zip,pass.rar,setup.rar,work.rar .大小均为126k.请问高手怎么解决啊?

用Hijackthis扫个日志上来

HijackThis_zww汉化版扫描日志 V1.99.1
保存于      10:21:53, 日期 2006-3-23
操作系统：  Windows XP SP2 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\PeanutHull\PHSvc.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
D:\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\sistray.EXE
C:\WINDOWS\system32\khooker.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\LTSMMSG.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\SocksCapV2\SC32LNCH.EXE
F:\GV Online\GVOnline.exe
C:\WINDOWS\system32\conime.exe
C:\Program Files\Tencent\qq\QQ.exe
C:\qq飘云\TIMPlatform.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\杨琨\桌面\2535952005811174944\HijackThis1991zww.exe

F3 - REG:win.ini: run=RAVMOND.exe
O2 - BHO: ThunderIEHelper Class - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:\WINDOWS\system32\xunleibho_v8.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SohuDAIEHelper - {0CA51D02-7739-43EA-8D9A-1E8AD4327B03} - C:\Program Files\P4P\sodaie.dll (file missing)
O2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
O2 - BHO: Router Layer - {5EB7CB50-E375-4718-B4C0-9AD12EFA2F84} - C:\WINDOWS\System32\aclayer.dll
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - 启动项HKLM\\Run: [SiS Tray] C:\WINDOWS\system32\sistray.EXE
O4 - 启动项HKLM\\Run: [SiS KHooker] C:\WINDOWS\system32\khooker.exe
O4 - 启动项HKLM\\Run: [SoundMan] SOUNDMAN.EXE
O4 - 启动项HKLM\\Run: [LTSMMSG] LTSMMSG.exe
O4 - 启动项HKLM\\Run: [StormCodec_Helper] "C:\Program Files\Ringz Studio\Storm Codec\StormSet.exe" /S /opti
O4 - 启动项HKLM\\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - 启动项HKLM\\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - 启动项HKLM\\Run: [Hardware Profile] C:\WINDOWS\system32\hxdef.exe
O4 - 启动项HKLM\\Run: [Microsoft NetMeeting Associates, Inc.] NetMeeting.exe
O4 - 启动项HKLM\\Run: [VFW Encoder/Decoder Settings] RUNDLL32.EXE MSSIGN30.DLL  ondll_reg
O4 - 启动项HKLM\\Run: [Program In Windows] C:\WINDOWS\system32\IEXPLORE.EXE
O4 - 启动项HKLM\\RunServices: [SystemTra] C:\WINDOWS\SysTra.EXE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - IE右键菜单中的新增项目: &使用迅雷下载 - C:\Program Files\Thunder Network\Thunder\geturl.htm
O8 - IE右键菜单中的新增项目: &使用迅雷下载全部链接 - C:\Program Files\Thunder Network\Thunder\getallurl.htm
O8 - IE右键菜单中的新增项目: 使用影音传送带下载 - C:\Program Files\Xi\NetTransport 2\NTAddLink.html
O8 - IE右键菜单中的新增项目: 使用影音传送带下载全部链接 - C:\Program Files\Xi\NetTransport 2\NTAddList.html
O8 - IE右键菜单中的新增项目: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - C:\qq\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - C:\qq飘云\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - C:\qq\SendMMS.htm
O8 - IE右键菜单中的新增项目: 用比特精灵下载(&B) - C:\Program Files\BitSpirit\bsurl.htm
O9 - 浏览器额外的按钮: 浩方对战平台 - {0A155D3C-68E2-4215-A47A-E800A446447A} - E:\浩方对战平台\GameClient.exe
O9 - 浏览器额外的按钮: 网址大全 - {1FBA04EE-3024-11D2-8F1F-0000F87ABD18} - http://www.coc.cc (file missing)
O9 - 浏览器额外的按钮: 我的订阅 - {8755CE6E-0BF7-4441-8751-FB728941B0B4} - C:\Program Files\P4P\rss.dll (file missing)
O9 - 浏览器额外的按钮: 易趣购物 - {DE607142-AC19-422e-868A-8D70ABDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=5 (file missing)
O9 - 浏览器额外的“工具”菜单项: 易趣购物 - {DE607142-AC19-422e-868A-8D70ABDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=5 (file missing)
O9 - 浏览器额外的按钮: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - 浏览器额外的“工具”菜单项: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0CA54D3F-CEAE-48AF-9A2B-31909CB9515D} (Edit Class) - https://www.sz1.cmbchina.com/download/CMBEdit.cab
O16 - DPF: {488A4255-3236-44B3-8F27-FA1AECAA8844} (CEditCtrl Object) - https://img.alipay.com/download/1007/aliedit.cab
O18 - 列举现有的协议: koboo - {7DEE9D05-FA0A-4416-A6F3-6537D0EAB6A6} - C:\WINDOWS\system32\mbprot.dll
O23 - NT 服务: hpdj - HP - C:\DOCUME~1\杨琨\LOCALS~1\Temp\hpdj.exe
O23 - NT 服务: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - NT 服务: Messengers - Unknown owner - C:\Program Files\Messengers\msmsgs.exe
O23 - NT 服务: MSCSPTISRV - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - NT 服务: PACSPTISVR - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\PACSPTISVR.exe
O23 - NT 服务: Peanut Hull Client Service - Vavic Network Technology Inc. - C:\Program Files\PeanutHull\PHSvc.exe
O23 - NT 服务: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\SPTISRV.exe
O23 - NT 服务: StarWind iSCSI Service (StarWindService) - Rocket Division Software - D:\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - NT 服务: _reg - Unknown owner - Rundll32.exe (file missing)

O23 - NT 服务: _reg - Unknown owner - Rundll32.exe (file missing)
修复

标 题: Lovgate.r/supnot.w/supnot.r病毒解决方法

病毒特征：
1.d,e,f,g盘不能双击打开，硬盘驱动器根目录下存在Autorun.inf
2.在每个硬盘驱动器根目录下存在很多.zip和.rar压缩文件，文件名多为pass,work,insta
ll,letter，大小约为126K
3.在每个硬盘驱动器根目录下存在COMMAND.EXE
4.hxdef.exe、IEXPLORE.EXE、NetManager.exe、NetMeeting.exe、WinHelp.exe等进程占
用了cpu。
5有可能出现rpc关闭也倒计时重启的现象
6.瑞星杀毒后出现Windows无法找到COMMAND.EXE文件，要求定位该文件。
7.在任务管理器上看到多个cmd.exe进程.

病毒技术：
I-Worm.supnot.w分析报告
一、[病毒特征]：
1、病毒英文名：I-Worm.supnot.w
2、病毒中文名：爱情后门
3、病毒 大小　：125K
二、[病毒分析]：
　　　该病毒为爱情后门病毒的最新变种。大小约为125K，采用ASPACK2.12压缩。
　　　病毒被执行以后在system目录下生成了以下文件
　　　hxdef.exe
　　　ravmond.exe
　　　iexplore.exe
　　　kernel66.dll
　　　odbc16.dll
　　　msjdbc11.dll
　　　MSSIGN30.DLL
　　　spollsv.exe
　　　NetMeeting.exe
　　　a

　　　在windows目录下生成:
　　　SYSTRA.EXE
　　　在每个分区根根目录下生成以下文件：
　　　bak.rar
　　　bak.zip
　　　install.rar
　　　install.zip
　　　letter.rar
　　　letter.zip
　　　pass.rar
　　　pass.zip
　　　setup.rar
　　　setup.zip
　　　work.rar
　　　work.zip
　　　autorun.inf
　　　command.exe
　　　在被执行的病毒文件所在的目录下会生成以下文件：
　　　results.txt
　　　win2k.txt-----当当前系统是windows2000时产生
　　　winxp.txt-----当当前系统是windows XP时产生
写以下注册表项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run]
"Hardware Profile"="%Windir%\\System32\\hxdef.exe"
"VFW Encoder/Decoder Settings"="
RUNDLL32.EXE MSSIGN30.DLL　ondll_reg"
"Microsoft NetMeeting Associates, Inc."="NetMeeting.exe"
"Program In Windows"="%Windir%\\System32\\IEXPLORE.EXE"
"Shell Extension"="%Windir%\\System32\\spollsv.exe"
"Protected Storage"="RUNDLL32.EXE MSSIGN30.DLL　ondll_reg"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\runServices]
"SystemTra"="%Windir%\\SysTra.EXE"
添加以下服务：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\_reg]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
Windows Management Protocol v.0 (experimental)]
　　　病毒自带FTP服务器端，它会在15436端口提供一个FTP服务，这样病毒就可以通过建立一个文本方式的下载脚本文件来从被感染计算机上下载病毒可执行文件。病毒会利用共享方式进行传播，共享传播主要通过netmeeting.exe来进行，它会扫描网络内的共享资源，并尝试将自身复制到远程共享。
　　　病毒会使用windows的程序CMD.EXE写文本文件a，内容如下：
open 127.0.0.1 15436
ftp
ftp
bin
get hxdef.exe
bye
　　　并使用该文件来下载病毒可执行文件，病毒会不停调用cmd.exe程序，由于cmd.exe为隐藏运行，用户可以在进程管理器中看到1个以上的cmd.exe进程。
病毒还自带SMTP引擎，它将使用该引擎向从被感染计算机上搜集到的电子邮件地址发送带病毒附件的垃圾邮件，邮件内容如下：
发件人：从搜索到的电子邮件地址中随机获取
收件人：从搜索到的电子邮件地址中随机获取
主题：
正文：
附件：大小125K左右，扩展名为以下类型的文件：
.exe
.scr
.pif
.cmd
.bat
.zip
.rar
　　病毒会尝试感染网络中的共享资源（探测网络内计算机的135、139、445等端口），当发现有可写的共享资源时，病毒会将自己的副本写入该共享，如果病毒探测到被感染计算
机的有权限用户的弱口令（使用自带的密码库），病毒会远程将病毒执行起来达到网络传染的目的。
　　　病毒会搜索本地除了系统盘以外的所有分区上的EXE文件并尝试将其扩展名改为.zmx，并将属性设置为隐藏+系统，然后将病毒的副本复制到EXE文件所在目录病毒将名称改为
该EXE的名称。另外病毒也会将自身的副本随机复制到任意目录当中（名称主要有自带的列表和从被感染计算机上搜索到的EXE文件名两种，自带的文件名列表略）。

解决方法：
建议关闭网络共享，改一个强健的管理员密码。
用以下的专杀：
http://bbs.whnet.edu.cn/upload/FixLGate.com 

＝＝＝＝＝＝＝＝＝＝＝＝＝＝如果杀毒完毕存在这样的问题：＝＝＝＝＝＝＝＝＝＝＝
＝
＝＝＝＝＝＝＝＝
d、e、f、g盘（如果有的话）双击不能直接打开，说Windows无法找到COMMAND.EXE文件， 要求定位该文件，定位为C:\windows\explorer之后每次打开会提示“/StartExplorer”出错
，然后依然能打开驱动器文件夹。


这是杀毒软件没有搞定，留下的后遗症

解决方法参见本版3238贴，内容如下：

病毒在你的每个驱动器下面写入了一个AutoRun.inf文件内容为：
open="X:\command.exe" /StartExplorer X为驱动器盘符
所以，如果你没有杀毒，每次点开/D/E/F/G盘都会激活病毒
瑞星比较笨不会帮你搞定这个问题（就算升级到最新版也没有用，瑞星网站上专杀也无法解决，且无相关说明），需要自己手工解决。
解决方法如下(以D盘为例)：
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
开始
运行
cmd（打开命令提示符）
D:
dir /a （没有参数A是看不到的，A是显示所有的意思）
此时你会发现一个autorun.inf文件，约49字节
attrib autorun.inf -s -h -r 去掉autorun.inf文件的系统、只读、隐藏属性，否则无法
删除
del autorun.inf
del autorun.inf
到这里还没完，因为你双击了D盘盘符没有打开却得到一个错误。要求定位command.exe，
这个时候自动运行的信息已经加入注册表了。下面清除注册表中相关信息：
开始
运行
regedit
编辑
查找
command.exe
找到的第一个就是D盘的自动运行，删除整个shell子键
完毕，双击D盘，是不是可以打开了？
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
重复以上操作数次，解决其他驱动器的问题，注册表中的信息是在一起的，在删除D盘
Shell\Open\Autorun的时候顺便都删除了吧。