有关WINLOGON,LSASS,SMSS这系列的木马
Dr.Web: Trojan.PWS.Wow
KAV: Trojan-PSW.Win32.Wow/Lmir
Symantec: Infostealer.Wowcraft

启动项(其中之一):
TProgram
ToP
Torjan Program

进程(其中之一):
%WinDir%\WINLOGON.exe
%WinDir%\SMSS.exe
%WinDir%\LSASS.exe

档案(包括不同的变种,不同的变种可能有不同):
%WinDir%\1.com
%WinDir%\SMSS.exe
%WinDir%\SERVICES.exe
%WinDir%\LSASS.exe
%WinDir%\WINLOGON.exe
%WinDir%\ExERoute.exe
%WinDir%\EXPLORER.com
%WinDir%\FINDER.com
%WinDir%\EXERT.exe
%WinDir%\IO.SYS.BAK
%WinDir%\Debug\DebugProgram.exe
%WinDir%\Shell.sys
%WinDir%\Winsock32.DLL.SCF
%System%\Anskya0.exe
%System%\Anskya1.exe
%System%\rundll32.com
%System%\finder.com
%System%\msconfig.com
%System%\dxdiag.com
%System%\regedit.com
%System%\command.pif
%System%\i.com
%CommonProgramFiles%\intexplore.pif
%CommonProgramFiles%\inexplore.pif
%CommonProgramFiles%\iexplore.pif
%ProgramFiles%\Internet Explorer\Intexplore.com
%ProgramFiles%\Internet Explorer\Inexplore.com
%ProgramFiles%\Internet Explorer\iexplore.com
%SystemDrive%\bootconf.exe
%SystemDrive%\command.com
%SystemDrive%\command.exe
%SystemDrive%\pagefile.pif
D:\command.com
D:\pagefile.pif

PS:
-%WinDir%是环境变数,一般Windows XP(Windows),2000(WINNT)
-%System%是环境变数,一般Windows XP,2000为System32
-%CommonProgramFiles%是环境变数,一般Windows都是Common Files(在%ProgramFiles%内)
-%ProgramFiles%是环境变数,一般Windows都是Program Files
-%SystemDrive%是环境变数,哪个Drive有%WinDir%,一般都是System Drive(eg. C:\)

修改注册表:
-修改档案关联
-修改Shell = Explorer.exe 1
-修改Protocol (HTTP,FTP,telnet)
还有很多很多......

解决方法:

使用由本人写的Trojan.PWS.Wow Removal Tool (在附件)
已测试过的平台: Windows XP SP2
使用方法:
-必须已装上Microsoft .NET Framework 2.0 or Higher
http://www.microsoft.com/downloads/details.aspx?displaylang=zh-cn&FamilyID=0856eacb-4362-4b0d-8edd-aab15c5e04f5
-运行 Trjwow_rem.com
-建议先用 Do a quick scan and save a logfile 生成报告给帮助人员看看
%SystemDrive%\Search_WOW.log
-用 Destroy 就可以进行清除和修复档案关联,清除后会有报告生成出来
%SystemDrive%\Remove_WOW.log

十分感谢xbs,cyberarmy,我其他朋友进行测试! 
虽然已经经过其他人测试,证明没有问题,
但使用后如有任何问题,本人不会负责
如发现任何Exception error,可跟本人联络