技术分析
　　==========

　　木马运行后在系统system目录下创建副本：
　　%Windows%\system\svchost.exe

　　创建目录：
　　%Windows%\system\_sv_CMD_\

　　修改Userinit启动项内容：

 
　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="userinit.exe,%Windows%\system\svchost.exe"

　　往分区根目录复制副本：
　　X:\autorun.inf
　　X:\RECYCLER\INFO.exe
　　X:\RECYCLER\desktop.ini

　　autorun.inf内容：

 
[autorun]
open=
shell\open\Command=RECYCLER\INFO.exe
shell\open\Default=1
shell\explore\Command=RECYCLER\INFO.exe

desktop.ini内容，伪装RECYCLER为回收站：

 
[.ShellClassInfo]
CLSID={645FF040-5081-101B-9F08-00AA002F954E}

　　清除步骤
　　==========

　　1. 修改注册表Userinit启动项内容为（开始菜单－运行－输入“regedit”进入注册表依次找到说明选项并按提示操作）：

:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="%System%\svchost.exe"

　　Windows XP/2003默认为：

 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\WINDOWS\system32\UserInit.exe,"

　　Windows 2000默认为：

 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\WINNT\system32\UserInit.exe,"

　　2. 重新启动计算机

　　3. 手动删除（如遇提示无法删除文件，下载费尔木马强制删除器工具进行强制删除）：
　　文件：%Windows%\system\svchost.exe
　　目录：%Windows%\system\_sv_CMD_\

　　4. 通过资源管理器文件夹树形目录进入分区根目录，删除文件：
　　X:\autorun.inf
　　X:\RECYCLER\INFO.exe
　　（如果计算机里的分区都是FAT32文件格式，可以直接把X:\RECYCLER\目录删除）