前段時間有個同事說他的諾頓不停的出現高危警報對話框，關閉了又彈出，反復如此，嚴重影響了他的工作，請我幫忙檢查一下是不是中了病毒。

我看了警報上提示的內容，是一個名為Infostealer.Gampass的病毒。從名字上看，應該是個盜取游戲密碼的病毒，從現象上看，好像對系統中的文件并沒有什么影響，系統運行也不慢，只是諾頓不斷彈出警報對話框確實是個問題，于是更新了病毒庫，在文件選項中選擇顯示所有文件，再重新啟動到安全模式下全盤掃描。并告訴同事完成后重啟電腦就OK。

本以為是個小病毒，諾頓殺殺應該就沒問題了。結果一會同事打來電話說諾頓又開始彈出警報，還是那個病毒。看樣子是在注冊表中隱藏了什么自啟動的東東，說不定就是這個病毒的主體文件，諾頓不行，只有手動來清除了。

首先檢查各分區根目錄，沒有發現autorun.inf的目錄或可疑的可執行文件。c:\windows和c:\windows\system32兩個系統目錄，也是重點，發現下面有很多"數字.exe"或"數字+字母.exe"的文件以及同名的.dll文件，估計是病毒自動生成的，但這些絕對不是主體病毒文件，所以估計刪除了也沒太大作用，還是先刪了再說。

    病毒應該隱藏得更深一些。

    接著開始檢查注冊表。

    檢查HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN

           HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN

           HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER\RUN

           HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER\RUN

    四個鍵值下面的可疑程序，在后面兩個鍵下面，果然發現如下的項有問題：

C:\windows\system32\winbill*.dll, c:\program files\internet explorer\use19.dll

其中的*代表數字。

刪除和上面兩個文件有關的鍵，此時不能刪除這兩個文件。重啟電腦進入安全模式，刪除以上兩個文件（在c:\program files\internet explorer\下還發現一個use32.dll的文件，同樣刪掉。），這就是病毒的主體文件。再次全盤掃描，清除系統目錄下的病毒尸體。重新啟動，諾頓再也沒有彈出警報。

分析了一下，這個病毒實際是個間諜軟件，對系統沒有太大影響和破壞力。諾頓可以查出這個病毒，也可以抑制，但由于病毒在系統啟動時就加載了，所以諾頓無法徹底清除，故只能采用手動與自動相結合的辦法來殺毒了。