如何查殺耗CPU資源Explored病毒

　　昨天單位這好幾臺機器病毒大爆發，因為都不是專家，折騰了很久才清理掉，過程中有些體會，覺得可以寫下來，跟大家作一番交流。首先是病毒的發現。昨天出現了兩個癥狀，一是在局域網上出現廣播(ARP)暴增，甚至把出口堵死；二是機器CPU資源耗盡。用任務管理器可以看到可疑的進程explored.exe和services.exe一起占用CPU近100％（后來才知道，這是因為該病毒是通過服務啟動的），該進程無法停止，注冊表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中有該項存在，即使將該項刪除，重啟后仍如原樣。這個文件是存在在WINDOWS的SYSTEM32目錄下，未中毒機器沒有該文件。因此可基本確認該進程是病毒。

　　然后是病毒的查殺。這過程中出現兩個問題，一是瑞星開始無法升級，這是因為病毒本身把出口堵塞，TCP流無法正常傳輸。我們嘗試了一下，發現可以用防火墻（例如天網）將病毒程序隔離，然后再連網進行升級。第二個問題是瑞星查毒過程緩慢（查毒前已經將網卡先禁用了），這是因為病毒程序explored占用CPU太狠，在無法設置刪除該進程的情況下，可以用任務管理器提高瑞星進程的優先級（比如實時），這樣瑞星從病毒手中搶過CPU資源來正常地運行。不過，這次瑞星只查殺了偽裝成svchost.exe的蠕蟲病毒，explored仍然存在。

　　我們無可奈何下只好采用很笨的方法刪除explored，就是進入安全模式，到Windows的System32目錄下直接把該文件刪除掉。順便也把注冊表中啟動運行那項也刪掉了。重啟后，提示有服務出錯，到管理工具下的服務一看，才終于發現了該病毒的真實面目：原來服務里面有一欄Windows Login，屬性顯示服務名稱是MpR，可執行文件路徑正是C:\WINNT\SYSTEM32\explored.exe -services。這就說明了為什么進程中止不了，刪掉注冊表中系統啟動項也沒用。也就是說，當初應該到服務里將該服務停止，而不是在任務管理器試圖將其刪除。