打开电脑就出现“系统将注销”???
发布网友
发布时间：2024-09-29 09:37
共5个回答
热心网友
时间：2024-11-16 13:57
已能解决，请看
http://hi.baidu.com/dnxk/blog/item/088e3d3bdd1400baa16734.html
以下是这一页的内容
病毒描述：
该病毒运行后，衍生病毒文件到系统目录下,添加注册表自动运行项以随机引导病毒体。该变种替换“任务管理器”文件，删除系统配置文件（msconfig.exe），隐藏“查找”、“关机”、“运行”,等项。该病毒主要行为为删除用户扩展分区的所有文件，并向用户进行勒索。表现形式为用户登陆前弹出文本勒索用户，进入系统后弹出对话框，恐吓用户，如果用户点击“确定”，则重启电脑。病毒还会在系统目录下留下多个病毒文件。给用户带来极大不便，行为极其恶劣。
行为分析：
1、衍生下列副本与文件:
%WinDir%\_default
%System32%\wpa.dbl
%System32%\wins.com
%System32%\taskmgr.exe 393KB
%documents and settings\all users\「开始」菜单\程序\启动\svchost.com
%Documents and Settings%\All Users\Application Data\Microsoft\
win1ogon.exe
2、修改注册表键值：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications\win1ogon.exe\shell\
open\command\@
Value: String: "%Documents and Settings%\All Users\Application Data\
Microsoft\win1ogon.exe"
Old: String: ""%1" %*"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile\shell\open\command\@
New:String:"C:\DocumentsandSettings\AllUsers\Application Data\Microsoft\win1ogon.exe"
Old: Type: REG_EXPAND_SZ Length: 37 (0x25) bytes
%SystemRoot%\system32\NOTEPAD.EXE %1.
Old: Type: REG_EXPAND_SZ Length: 37 (0x25) bytes
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\
system\legalnoticecaption
New: String: "警告:"
Old:(valuenotset)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\
system\legalnoticetext
New: String: " 发现您硬盘内曾使用过盗版了的我公司软件,所以将您部份文件
移到锁定了的扇区,若要解锁将文件释放,请电邮liugongs19670519@yahoo.com.cn
购买相应的软件"
Old: String: ""
3、新建注册表键值：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WINS \Description
Value: String: "WINS为客户提供系统域名解析服务"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WINS \DisplayName
Value: String: "WINS "
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WINS \ImagePath
Value: String: "%windows%\system32\wins.com"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
svchost.exe
Value: String: "%Documents and Settings%\All Users\Application Data
\Microsoft\win1ogon.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\
Explorer\NoClose
Value: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\
Explorer\NoFind
Value: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\
Explorer\NoRun
Value: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\
Explorer\StartMenuLogOff
Value: DWORD: 1 (0x1)
4、删除注册表键值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer
\Advanced\Folder\Hidden\SHOWALL\CheckedValue
Value: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\SHOWALL\DefaultValue
Value: DWORD: 2 (0x2)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\SHOWALL\HelpID
Value: String: "shell.hlp#51105"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\SHOWALL\HKeyRoot
Value: DWORD: 21474839 (0x80000001)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\SHOWALL\RegPath
Value: String: "Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\SHOWALL\Text
Value: String: "@shell32.dll,-30500"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\SHOWALL\Type
Value: String: "radio"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\SHOWALL\ValueName
Value: String: "Hidden"
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的
安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 用户进入%system32%目录下，找到cmd.exe文件，双击运行。
输入regedit.回车运行。
(2) 删除下列注册表项：
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\
MUICache\ svchost
Value: String: "%Documents and Settings\All Users\「开始」
菜单\程序\启动\svchost.com"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\Run\svchost.exe
Value: String: "%\Documents and Settings%\All Users\
Application Data\Microsoft\win1ogon.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WINS
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
policies\system\legalnoticetext
New: String: " 发现您硬盘内曾使用过盗版了的我公司软件,所以
将您部份文件移到锁定了的扇区,若要解锁将文件释放,请电邮
liugongs19670519@yahoo.com.cn购买相应的软件"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
policies\Explorer\NoClose
Value: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
policies\Explorer\NoFind
Value: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
policies\Explorer\NoRun
Value: DWORD: 1 (0x1)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
policies\Explorer\StartMenuLogOff
Value: DWORD: 1 (0x1)
(3) 修改下列注册表项为原值：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile\shell\open\command\@
New:String:"C:\DocumentsandSettings\AllUsers\ApplicationData\
Microsoft\win1ogon.exe"
Old: Type: REG_EXPAND_SZ Length: 37 (0x25) bytes
%SystemRoot%\system32\NOTEPAD.EXE %1.
(4) 冷重启电脑到安全模式下。删除下列目录下病毒体：
%documents and settings\all users\「开始」菜单\程序\启动\svchost.com
(5) 在“运行”中输入gpedit.msc,依次展开：
“用户配置”=>“管理模板”=>“Windows组件”=>“Windows资源管理器”
双击“从“工具”菜单中删除“文件夹选项”菜单” 选中“已禁用”
(6) 将下列内容保存为.reg文件，双击导入：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\
Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"
(7) 打开“文件夹选项”选至下列状态：
(8) 删除病毒衍生文件：
%WinDir%\_default
%System32%\taskmgr.exe 393KB
%System32%\wins.com
%System32%\wpa.dbl
%documents and settings\all users\「开始」菜单\程序\启\
svchost.com
%Documents and Settings%\All
Users\Application\Data\Microsoft\win1ogon.exe
(9) 对于已删除文件，用户可采用Easyrecover软件恢复数据，或找专业
数据恢复人士恢复数据。
参考资料：http://hi.baidu.com/dnxk/blog/item/088e3d3bdd1400baa16734.html
热心网友
时间：2024-11-16 13:57
故障现象：登陆系统时自动注销
故障分析：根据用户介绍在这之前网页会自动弹出大量垃圾广告，重新启动后就出现以上故障。判断是由病毒引起的故障。
分析：userinit.exe一般位于系统目录下，比如在 Windows XP 系统中就是在C:\WINDOWS\SYSTEM32\下面，文件属性中的描述是：Userinit Logon Application，同时在注册表中有一个键值指向这个文件：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
在我用的 Windows XP 系统上此键值为：C:\WINDOWS\system32\userinit.exe,
（在 Windows 2000 系统上此键值则为：C:\WINNT\system32\userinit.exe,）
在登录系统后首先将读取这个键值并执行其中指向的程序，如果此键值被某些病毒修改或userinit.exe文件被误删除，就会出现登录系统后立即注销的情况，只能借助操作系统的安装光盘及一些网络上流传的系统急救光盘进行修复。
解决办法：用操作系统的安装光盘启动计算机进故障恢复控制台，键入（假设光驱盘符为F）：
热心网友
时间：2024-11-16 13:57
1，更新杀毒软件到最新版病毒库，安全模式下杀毒看是否有病毒？
2，检查启动项是否有异常程序：开始菜单-运行-输入MSCONFIG-查看“启动”菜单。
注意：安全是否有此现象。
热心网友
时间：2024-11-16 13:58
这说明，你装的驱动不是完整版的
还有其他功能的驱动没有安装
热心网友
时间：2024-11-16 13:59
可能是有人在你的电脑中设置了任务。开机注销任务。
