sxs.exe病毒及清理办法手工杀度详解

许多朋友都是通过移动盘拷贝东西时被感染的，特别是U盘，特别是在网吧，当你拷完东西是，利用DOS进入你的移动盘dir/a显示所有文件，如果发现中招，有sxs.exe和autorun.inf那么在非根目录下建立一个记事本，命名为sxs.exe建立一个autorun.inf内容可以为空，也可以添加[autorun]shutdown=sxs.exe将移动盘的sxs.exe和autorun.inf替换。回家就不会被感染了
我中的很奇怪，好不容易用卡巴斯基查出来D和E根目录下有这个东西，而且四五还有其他的木马，连隐藏文件夹也打不开，SVCHOST怎么也删不掉（一动就重启），也没有netcount这样的东西~郁闷……
浏览网页的时候未经许可就后台安装了（我还设一高的安全级别），超级播霸和忆多多以及还有三四种bar什么搜索什么工具的，自动弹出乱七八糟的网页，系统性能迅速下降，慢得连我的电脑都打不开，导致诺顿无法在线升级，注册表里写了无数yok.com和其他信息，卸载以后仍然不时的自动弹出网页，这简直就是流氓软件，所谓的忆多多叫什么亿龙还是忆龙公司的，居然还在软件上留了电话，010-64311335，打电话过去询问他们还腆着脸说是自己不是病毒，在九仙桥星科大厦C座，据说C座整个都是他们公司，我就觉得纳闷，你一“大”公司，怎么能做出这么恶心的事，捆绑一个流氓软件也就罢了，还后台安装~~悄没声儿的就驻扎进了别人的系统，还捆绑了N个一样流氓的软件，并且在系统的每个盘的根目录下产生两个隐藏文件，一个是什么ini文件，另一个叫“sxs.exe”的文件，双击后没有任何反应。程序管理器里面会有几个可疑进程，其中有两个是模仿系统进程的，叫什么SVOHOST.EXE跟系统进程svchost.exe很像吧，另一个模仿系统进程的文件忘了叫啥了，还有一sysmini.exe，就在我写这贴子的过程中又弹出无数次网页打断我的控诉，那些进程手动结束后过一会儿又会自己运行。


sxs.exe是什么病毒
你这是修改过的ROSE病毒 
可以结束SXS的进程删除，记住，用鼠标右键进入硬盘 

同时按下Ctrl+Shift+Esc三个键 打开windows任务管理器 
选择里面的“进程”标签 
在“映像名称”下查找“sxs.exe” 但击它 再选择“结束进程” 
一定要结束所有的“sxs.exe”进程 
打开我的电脑 单击 工具菜单下的“文件夹选项” 
单击“查看”标签 把“高级设置”中的 
“隐藏受保护的操作系统文件（推荐）”前面的勾取消 
并选择下面的“显示所有文件和文件夹”选项 
单击“确定” 
用鼠标右键点C盘（不能双击！） 选择 “打开” 
删除C盘下的 “autorun.inf”文件 和“sxs.exe”文件 
用鼠标右键点D盘 选择 “打开” 
删除D盘下的 “autorun.inf”文件 和“sxs.exe”文件（另外有个文件也是，是个.exe 同样删了它） 
…… 
以此类推 删除所有盘上的 AUTORUN.INF文件 和“rose.exe”文件 
单击开始 选择“运行” 输入 "regedit"(没有引号) ，回车 
依次展开注册表编辑器左边的 我的电脑>HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run 
删除Run项中的 ROSE （c:\windows\system32\SXS.exe)这个项目 
关闭注册表编辑器 
然后重新启动计算机 

删除硬盘上是ROSE： 
按下shift键不放 插入U盘 直到电脑提示“新硬件可以使用” 
打开我的电脑 
这时在U盘的图标上点鼠标右键 选择“打开” （不要点自动播放或者是双击！） 
删除 SXS.exe和autorun.inf文件 病毒就没有了 
有史以来第一次遭遇如此顽固的病毒，网上找了找，没有统一的名字，瑞星称为 Trojan.PSW.QQPass.pqb 病毒，我就叫它 sxs.exe病毒吧 

重装系统后，双击分区盘又中了，郁闷，瑞星自动关闭无法打开，决定手动将其删除 

现象：系统文件隐藏无法显示，双击盘符无反映，任务管理器发现 sxs.exe 或者 svohost.exe （与系统进程 svchost.exe 一字之差），杀毒软件实时监控自动关闭并无法打开 

找了网上许多方法，无法有效删除，并且没有专杀工具 

http://cctv1cn.com

手动删除“sxs.exe病毒”方法： 

在以下整个过程中不得双击分区盘，需要打开时用鼠标右键——打开 

一、关闭病毒进程 

Ctrl + Alt + Del 任务管理器，在进程中查找 sxs 或 SVOHOST（不是SVCHOST，相差一个字母），有的话就将它结束掉 

二、显示出被隐藏的系统文件 

运行——regedit 

HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL，将CheckedValue键值修改为1 

这里要注意，病毒会把本来有效的DWORD值CheckedValue删除掉，新建了一个无效的字符串值CheckedValue，并且把键值改为0！我们将这个改为1是毫无作用的。（有部分病毒变种会直接把这个CheckedValue给删掉，只需和下面一样，自己再重新建一个就可以了） 

方法：删除此CheckedValue键值，单击右键 新建——Dword值——命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。 

在文件夹——工具——文件夹选项中将系统文件和隐藏文件设置为显示 

三、删除病毒 

在分区盘上单击鼠标右键——打开，看到每个盘跟目录下有 autorun.inf 和 sxs.exe 两个文件，将其删除。 

四、删除病毒的自动运行项 

打开注册表 运行——regedit 

HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run 

下找到 SoundMam 键值，可能有两个，删除其中的键值为 C:\\WINDOWS\system32\SVOHOST.exe 的 

最后到 C:\\WINDOWS\system32\ 目录下删除 SVOHOST.exe 或 sxs.exe 

重启电脑后，发现杀毒软件可以打开，分区盘双击可以打开了。 

五、后续 

杀毒软件实时监控可以打开，但开机无法自动运行 

最简单的办法，执行杀毒软件的添加删除组件——修复，即可