手工彻底清除 PWSteal.Lemir.Gen 木马的方法(第二版)

原创: 费尔安全实验室
日期: 2005/04/06
声明: 如果引用其中内容请注明来自 费尔安全实验室

PWSteal.Lemir.Gen 是对一类游戏盗密木马的统称，与一般的木马病毒不同的是这个名称并不代表着一个固定的木马，而是一类木马，并且这类木马的数目极其繁多，清除方法也各不相同。 以前我们曾经撰写过一篇《手工彻底清除 PWSteal.Lemir.Gen(SysModule32.DLL,SysModule64.DLL) 木马的方法》 的文章，用来介绍清除一个文件是 SysModule32.DLL、SysModule64.DLL 的 PWSteal.Lemir.Gen 木马，但由于许多朋友没有留意到文章前面的提示，以为 PWSteal.Lemir.Gen 指的都是同一个木马，使用这个方法应该是可以的，结果按照指示反复操作也无法成功，非常失望。

一般的，当您遇到这种木马时可以先尝试用自己的杀毒软件来清除它，但如果防毒软件在发现这种木马后却无法成功清除掉它，总是报告清除失败或隔离失败，那该怎么办呢？

费尔托斯特安全是一款可以清除木马和病毒的软件，它可以清除大量的 PWSteal.Lemir.Gen 木马，如果您有它的正式版可以在升级到最新病毒库后尝试用它扫描清除，但这里需要特别提醒一下：由于这类木马新变种层出不穷，所以不能保证费尔托斯特安全能够识别出目前所有的或者您遇到的。 那么除此之外难道就没有其他办法了吗？有的，下面就介绍一个借助免费工具“费尔木马强力清除助手”来清除这种顽固性 PWSteal.Lemir.Gen 木马的方法：

1. 使用这个方法前必须要先知道这个木马的文件名是什么。防毒软件在发现木马后一般都会报告它的完整文件名，您需要先准确的记录下这个文件名。比如：如果防毒软件提示 C:\Windows\hello.dll 是 PWSteal.Lemir.Gen 木马，则记下 C:\Windows\hello.dll 这个名子。这里需要注意文件名一定要记准确，因为有许多木马会把自己的文件名故意伪装成和正常的文件名很接近，比如 svch0st.exe(木马)->svchost.exe(正常)、Expl0rer.exe(木马)->Explorer.exe(正常)、intrenat.exe / internet.exe(木马)->internat.exe(正常)等等。特别是数字0几乎和大写字母O一样，很容易让人看错，所以一定要注意区分它们，否则万一记错将有可能把正常的文件清除掉，那就麻烦了；
2. 暂停防毒软件的实时监控，防止在清除时被它阻止造成失败。比如如果当初是你的诺顿发现了这个木马，那么请先暂停诺顿的实时监控或实时扫描；
3. 下载费尔木马强力清除助手 http://dl.filseclab.com/down/powerrmv.zip；
4. 释放 PowerRmv.zip 到一个目录，然后执行其中的 PowerRmv.exe 启动“费尔木马强力清除助手”。在“文件名”中输入要清除的 PWSteal.Lemir.Gen 木马文件名。比如如果您在第1步中记下的文件名是 C:\Windows\hello.dll，那么这时就输入它；
5. 按“清除”。这时程序会询问你是否要举报此病毒到费尔安全实验室，建议点“是”表示同意。接着程序会继续提示是否确定要清除它，仍然选“是”；
6. 之后，如果此木马被成功清除程序会提示成功；或者也可能提示此木马无法被立即删除需要重启电脑。无论是哪种情况请点击“确定”，这时如果您在前面同意了举报此木马那么程序会自动创建并打开一个“病毒举报”的电子邮件，其中会包含这个木马的样本文件，如果您看到了这个邮件请把它直接发送给 virus@filseclab.com 。如果您并没有看到这封邮件也没有关系，可以忽略。
7. 最后，如果程序前面提示了重启电脑后才能清除那么请一定重启您的电脑，在电脑重启后这个木马应该就被清除掉了。

重要提示： 如果您按上面的方法操作之后，发现不久这个木马又出现了，并且还是同样的文件名，那么您可以用上面的方法再重复执行一次，不过这次操作时请选中程序中的“抑制文件再次生成”选项， 这样清除后一般木马就很难再复活了。这个功能是最新版“费尔木马强力清除助手”中提供的，如果您的没有这个选项，请从上面的地址中重新下载一次。