病毒介紹
“落雪”顧名思義，就是說(shuō)中了該木馬后，向系統(tǒng)釋放的病毒文件非常之多，
新手也能對(duì)付病毒：手工清除落雪
。該木馬也叫“游戲大盜”（Trojan/W.GamePa，Trojan.W.ow.a，Troj.LMir.ky），由VB程序語(yǔ)言編寫，通過(guò)北斗.加殼處理，該木馬文件一般是紅色圖標(biāo)。病毒運(yùn)行后，在C盤programfile以及windows目錄下生成winlogon.exe、regedit.com等個(gè)病毒文件，病毒文件之多比較少見，，事實(shí)上這個(gè)不同文件名的病毒文件系同一種文件。病毒文件名被模擬成正常的系統(tǒng)工具名稱，但是文件擴(kuò)展名變成了.com。江民反病毒工程師分析，這是病毒利用了Windows操作系統(tǒng)執(zhí)行.com文件的優(yōu)先級(jí)比EXE文件高的特性，這樣，當(dāng)用戶調(diào)用系統(tǒng)配置文件Msconfig.exe的時(shí)候，一般習(xí)慣上輸入Msconfig，而這是執(zhí)行的并不是微軟的Msconfig.exe程序，而是病毒文件Msconfig.com，病毒作者的“良苦用心”由此可見。病毒另一狡詐之處還有，病毒還創(chuàng)建一名為winlogon.exe的進(jìn)程，并把winlogon.exe的路徑指向c\windows\winlogon.exe，而正常的系統(tǒng)進(jìn)程路徑是C\WINDOWS\system\winlogon.exe，以此達(dá)到迷惑用戶的目的。
江民反病毒工程師介紹，除了在C盤下生成很多病毒文件外，病毒還修改注冊(cè)表文件關(guān)聯(lián)，每當(dāng)用戶點(diǎn)擊html文件時(shí)，都會(huì)運(yùn)行病毒。此外，病毒還在D盤下生成一個(gè)自動(dòng)運(yùn)行批處理文件，這樣即使C盤目錄下的病毒文件被清除，當(dāng)用戶打開D盤時(shí)，病毒仍然被激活運(yùn)行。
中毒癥狀
系統(tǒng)運(yùn)行緩慢。
右下方任務(wù)欄的殺軟和防火墻圖標(biāo)消失（被無(wú)故關(guān)閉）但殺軟的右鍵掃描可用。
D盤雙擊打不開，D盤里面有autorun.inf和pagefile.com兩個(gè)文件，其中autorun.inf為隱藏屬性。
打開任務(wù)管理器，可以看到有一個(gè)當(dāng)前用戶所屬的.EXE在運(yùn)行，或者是一個(gè)當(dāng)前用戶所屬的一個(gè)大寫的WINLOGON.EXE在運(yùn)行。
5打開注冊(cè)表在運(yùn)行程序中運(yùn)行“regedit”，會(huì)看到
�。ǎ〩KEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run項(xiàng)里有一個(gè)Torjanpragramme，這是木馬。
�。ǎ〩KEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon下的“Shell”=“Explorer.exe”已被改為“Shell”=“Explorer.exe”。
6exe文件打不開（包括殺軟，防火墻）。
7開機(jī)進(jìn)入系統(tǒng)時(shí)會(huì)跳出一個(gè)警告框，說(shuō)文件“”找不到。（由于殺軟查殺后，無(wú)法對(duì)木馬更改的注冊(cè)表項(xiàng)進(jìn)行修復(fù)）。
病毒復(fù)活方式
在開始－運(yùn)行里運(yùn)行msocnfig，command，regedit這些命令，病毒將全部恢復(fù)。
雙擊病毒所有文件中的任何一個(gè)文件，病毒將完全恢復(fù)。
雙擊D盤。
中毒后對(duì)系統(tǒng)的改動(dòng)
向C盤釋放（其實(shí)都是同一個(gè)文件）
c\windows\winlogon.exe
C\WINDOWS\.com
C\WINDOWS\ExERoute.exe
C\WINDOWS\iexplore.com
C\WINDOWS\finder.com
C\WINDOWS\system\command.pif
C\Windows\system\command.com
C\WINDOWS\system\dxdiag.com
C\WINDOWS\system\finder.com
C\WINDOWS\system\MSCONFIG.COM
C\WINDOWS\system\regedit.com
C\WINDOWS\system\rundll.com
C\Windows\WINLOGON.EXE
，
C\WINDOWS\services.exe
C\WINDOWS\Debug\DebugProgramme.exe
C\ProgramFiles\CommonFiles\iexplore.com
C\ProgramFiles\CommonFiles\MicrosoftShared\MSInfo\msinfo.rr
向D盤釋放
D\autorun.inf
D\pagefile.com
向注冊(cè)表添加
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunTorjanpragramme
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon下的“Shell”=“Explorer.exe”已被改為“Shell”=“Explorer.exe”，
電腦資料
《新手也能對(duì)付病毒：手工清除落雪》(http://www.msguai.com)。處理方式
一GHOST法，（建議菜鳥及無(wú)手動(dòng)清除病毒經(jīng)驗(yàn)者使用）
先在D盤以外的其他盤新建了兩個(gè)文本文件，在顯示文件名擴(kuò)展名的情況下，分別改為autorun.inf和pagefile.com，然后拷貝到D盤，覆蓋了病毒在D盤的兩個(gè)病毒源文件，這樣這兩個(gè)文件都可以正常顯示了，隨即直接刪除，也可以在以后刪除，D盤毒源就此清除。
然后GHOST一遍鏡像，恢復(fù)系統(tǒng)到從前正常狀態(tài)，至此OK，如果沒有鏡像，建議在第一步以后重新安裝系統(tǒng)。
為什么不逐個(gè)清理病毒程序
逐個(gè)清理病毒文件比較麻煩，操作需要經(jīng)驗(yàn)加細(xì)心，由于病毒文件如上面非常多不小心運(yùn)行了一個(gè)，或在開始－運(yùn)行里運(yùn)行msocnfig，command，regedit這些命令，或雙擊磁盤，所有的這些文件全會(huì)自己補(bǔ)充回來(lái)！并且清理完成后有些后遺癥，例如某些文件打不開，IE需要修復(fù)等等。
二逐個(gè)手動(dòng)清理法（中途注意不要雙擊到其中任何一個(gè)文件）（必須在文件夾選項(xiàng)里打開顯示隱藏文件及顯示已知文件擴(kuò)展名）
打開始菜單的運(yùn)行，輸入命令regedit，進(jìn)注冊(cè)表，到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run刪除Torjanpragramme
然后注銷！重新進(jìn)入系統(tǒng)后到D盤（注意不要雙擊進(jìn)入！否則又會(huì)激活這個(gè)病毒）右鍵，選“打開”，把pagefile.com和D\autorun.inf刪掉，然后再到C盤把上面所列出來(lái)的文件都刪掉，可以對(duì)比其他文件的日期判斷。
頭號(hào)文件WINLOGON.EXE在C\Windows\WINLOGON.EXE可能提示刪不掉
可以用光盤啟動(dòng)進(jìn)入DOS模式，把它的系統(tǒng)，隱藏屬性去掉然后刪除它！
手工病毒清除后的系統(tǒng)修復(fù)
把那些病毒文件刪掉后，所有的exe文件全都打不開了，運(yùn)行cmd也不行。
到C\Windows\system里，把cmd.exe文件復(fù)制出來(lái)，比如到桌面，改名成cmd.com，然后雙擊這個(gè)COM文件，然后行動(dòng)可以進(jìn)入到DOS下的命令提示符。再打入以下的命令
aoc.exe=exefile（aoc與.exe之間有空格）
ftypeexefile=“%”%*
這樣exe文件就可以運(yùn)行了。或者用Regfix.exe，sreng.exe等工具修復(fù)，將擴(kuò)展名EXE改成COM，就可打開。
開機(jī)跳出找不到文件“.com”
在運(yùn)行程序中運(yùn)行“regedit”，打開注冊(cè)表，在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon]中
把“Shell”=“Explorer.exe”恢復(fù)為“Shell”=“Explorer.exe”
清除了這個(gè)出馬出現(xiàn)IE不能下載請(qǐng)?jiān)贗E選項(xiàng)然后安全然后點(diǎn)默認(rèn)級(jí)別就可以下載了。