Trojan.PSW.Win32.Wowar.tp

“魔兽世界木马变种TP（Trojan.PSW.Win32.Wowar.tp）”病毒：警惕程度★★★，木马病毒，通过网络传播，依赖系统：WIN 9X/NT/2000/XP。

该病毒运行后会释放wodoor0.dll文件到系统文件目录下（默认为C:Windowssystem32），同时修改注册表，实现随系统启动自动运行。它会自动在后台对用户进行监视，当发现用户运行“魔兽世界”游戏时，自动记录用户的帐号、密码等信息，并把这些信息发送给黑客，从而给用户带来损失。

反病毒专家建议电脑用户采取以下措施预防该病毒：1、建立良好的安全习惯，不打开可疑邮件和可疑网站；2、很多病毒利用漏洞传播，一定要及时给系统打补丁；3、安装专业的防毒软件升级到最新版本，并打开实时监控程序；4、安装带有“木马墙”功能的个人防火墙软件，防止密码丢失。5、为本机管理员帐号设置较为复杂的密码，预防病毒通过密码猜测进行传播。

清除方法-------无忧E晴天

清除方案： （建议先下载个UNLOCKER）

1、关闭系统还原（一定要关闭，建议删掉所有的系统还原文件），结束两个进程rundll32.exe；

2、打开选项“显示受保护的操作系统文件”“显示隐藏文件”（我的电脑--工具--文件夹选项--查看--）

删除以下文件：（文件删不掉的 安装UNLOCKER 右键--UNLOCKER后--再删除）

！！（打不开隐藏文件的：

把下面的内容保存成 a.reg 文件后，双击导入注册表即可！

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL]

"RegPath"="Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced"

"Text"="@shell32.dll,-30500"

"Type"="radio"

"CheckedValue"=dword:00000001

"ValueName"="Hidden"

"DefaultValue"=dword:00000002

"HKeyRoot"=dword:80000001

"HelpID"="shell.hlp#51105"）

C:WINDOWSMicrosoft

undll32.exe

C:program filesinternet exploreruse6.dll

C:WINDOWSsystem32dt.dll

WINDOWS文件夹内的cmdbcs.exe，mppds.exe，msccrt.exe，upxdnd.exe，winform.exe之类文件手动删除,

TEMP文件夹下的upxdnd.exe和upxdnd.dll文件手动删除。

C:下的SYS...之类包含ghook.dll和svchost.exe的2个文的文件夹删除;

（也可以进安全模式下直接删除）

3、修改注册表，删除以下两项：

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun

<Micro><C:WINDOWSMicrosoft

undll32.exe>

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerRun

<main><rundll32.exe "C:program filesinternet exploreruse6.dll" mymain>

4、使用unlocker删除C:\WINDOWSsystem32driversetchosts

5、使用资源管理器（开始-所有程序-附件-windows资源管理器）打开各个分区，删除所有分区下面的Autorun.inf及mplay.com （也可右键打开进去，但不要双击进入）

6：检查并清理启动项，（开始--运行--输入“MSCONFIG”--启动），

7：重起