这个木马很变态！！
查杀方法如下：

一、结束WINLOGON.EXE进程。注意，装在C盘的NT系统：木马路径：C:\WINDOWS\WINLOGON.EXE；正常系统进程路经：C:\WINDOWS\SYSTEM32\WINLOGON.EXE。为避免误将系统进程WINLOGON.EXE结束而导致系统崩溃，动手前务必用IceSword等可以显示进程路径的工具鉴别一下。不要用微软自带的任务管理器（它根本就不显示进程路径！）。
二、下载RegFix（一个注册表修复工具）。将Regfix.exe的后缀改为scr，按确定。双击Regfix.scr，自动修复注册表主要文件关联项。
三、找到并删除下列文件（见附图）。
四、修改被木马篡改的注册表项：

1、HKEY_CLASSES_ROOT\.lnk\ShellNew
"Command"="rundll32.com appwiz.cpl,NewLinkHere %1"
删除"Command"="rundll32.com
2、HKEY_CLASSES_ROOT\.bfc\ShellNew
"Command"="%SystemRoot%\\system32\\rundll32.com %SystemRoot%\\system32\\syncui.dll,Briefcase_Create %2!d! %1"
将"Command"="%SystemRoot%\\system32\\rundll32.com改为"Command"="%SystemRoot%\\system32\\rundll32.exe
3、HKEY_CLASSES_ROOT\Applications\iexplore.exe\shell\open\command
将@="\"C:\\Program Files\\Internet Explorer\\iexplore.com\" %1"改为@="\"C:\\Program Files\\Internet Explorer\\iexplore.exe\" %1"

4、HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command

将@="\"C:\\Program Files\\Internet Explorer\\iexplore.com\""改为@="\"C:\\Program Files\\Internet Explorer\\iexplore.exe\""

5、HKEY_CLASSES_ROOT\cplfile\shell\cplopen\command
@="rundll32.com shell32.dll,Control_RunDLL \"%1\",%*"
删除@="rundll32.com
6、HKEY_CLASSES_ROOT\Drive\shell\find\command

将@="%SystemRoot%\\explorer.com"改为@="%SystemRoot%\\explorer.exe"

7、HKEY_CLASSES_ROOT\dunfile\shell\open\command

将@="%SystemRoot%\\system32\\rundll32.com NETSHELL.DLL,InvokeDunFile %1"改为@="%SystemRoot%\\system32\\rundll32.exe NETSHELL.DLL,InvokeDunFile %1"

8、HKEY_CLASSES_ROOT\ftp\shell\open\command
将@="\"C:\\Program Files\\Internet Explorer\\iexplore.com\" %1"改为@="\"C:\\Program Files\\Internet Explorer\\iexplore.exe\" %1"

9、HKEY_CLASSES_ROOT\htmlfile\shell\open\command
将@="\"C:\\Program Files\\Internet Explorer\\iexplore.com\" -nohome"改为@="\"C:\\Program Files\\Internet Explorer\\iexplore.exe\" -nohome"

10、HKEY_CLASSES_ROOT\htmlfile\shell\opennew\command

删除@="\"C:\\Program Files\\common~1\\iexplore.pif\" %1"

11、HKEY_CLASSES_ROOT\htmlfile\shell\print\command
删除@=rundll32.com

12、HKEY_CLASSES_ROOT\inffile\shell\Install\command
删除@="%SystemRoot%\\System32\\rundll32.com

13、HKEY_CLASSES_ROOT\InternetShortcut\shell\open\command
删除@="finder.com

14、HKEY_CLASSES_ROOT\scrfile\shell\install\command
删除@="finder.com
15、HKEY_CLASSES_ROOT\scriptletfile\Shell\Generate Typelib\command
删除@="\"C:\\WINDOWS\\system32\\finder.com\"

16、HKEY_CLASSES_ROOT\telnet\shell\open\command
删除@="finder.com

17、HKEY_CLASSES_ROOT\Unknown\shell\openas\command
删除@="%SystemRoot%\\system32\\finder.com
18、HKEY_CLASSES_ROOT\winfiles\Shell\Open\Command
删除@="C:\\WINDOWS\\ExERoute.exe \"%1\" %*"

19、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
删除"Torjan Program"="C:\\WINDOWS\\WINLOGON.EXE"

20、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
将"Shell"="Explorer.exe 1"改为"Shell"="Explorer.exe"

【回复“虚假winlogon”的帖子】
其实，用RegFix修复文件关联后，这个木马用IceSword杀比较容易。只是为了留回收站中那些被删文件的截图，我才没用IceSword。

【回复“刘新民”的帖子】

“虚假winlogon”网友给的这个病毒样本在NT系统的%windows% 文件夹中释放winlogon.exe；而你昨天说的那个winlogon.exe是正常系统文件，不能删，也删不掉（受系统保护）。正常的系统文件winlogon.exe在NT系统%system%文件夹中（如果你的系统是XP，装在C盘，这个%system%=c:\windows\system32\），而不是在NT系统的%windows%文件夹中。明白？

【回复“虚假winlogon”的帖子】
这个木马有变种。看看下面这个老贴：http://forum.ikaka.com/topic.asp?board=28&artid=7205233。

引用:

【　　鬼的贴子】好像你说的方法    已经不行了    病毒更新了  只要一结束    WINLOGON.EXE 这个进程      电脑就重启了  安去模式也没用 ...........................

找到你系统中那个WINLOGON.EXE，用WINRAR打包，发到：baohelin@yahoo.com.cn。我看看它怎么变的。

引用:

【　　鬼的贴子】好像你说的方法    已经不行了    病毒更新了  只要一结束    WINLOGON.EXE 这个进程      电脑就重启了  安去模式也没用 ...........................

恐怕是你自己搞错了吧。
正常系统进程WINLOGON.EXE（路径为C:\WINDOWS\SYSTEM32\WINLOGON.EXE），这个进程是不能结束的，强行结束它，系统崩溃、重启。
木马进程WINLOGON.EXE的路径是C:\WINDOWS\WINLOGON.EXE。
区分正常系统进程与木马进程WINLOGON.EXE，请用IceSword。因为IceSword的进程列表有各个进程的路径显示。

引用:

【帅的被贼砍的贴子】进程结束不了 怎么办 ...........................

用IceSword，禁止进程创建，然后，再结束木马进程。这招对于没有插入系统核心进程的木马有效。
如果系统核心进程（lsass、winlogon等）也被木马插入了，这招不灵。请改用SSM，在SSM的规则中设置几条规则，禁止木马程序运行。都设好以后，点击SSM面板下方的“应用设定”，刚设置的规则即生效。
然后，重启系统。删除木马文件。

【回复“xiaozhi04221”的帖子】
O4 - HKLM\..\RunServices: [Torjan Program] C:\WINNT\WINLOGON.EXE——木马的启动项。

用LSPFix修复O10。
C:\WINNT\help\svchost.exe——这是什么？