瑞星提示我中了Backdoor.Gpigeon.uql 木马，文件名是IEXPLORE。EXE
灰鸽子木马啦 ！！！
瑞星、江民、安全网上都有它的专杀工具下载的
你可以去下载使用。
江民的：http://www.onlinedown.net/soft/43101.htm
瑞星的：http://www.bbky.net/down/2006821415403532/
我来帮帮你~
灰鸽子的特点是“三个隐藏”——隐藏进程、隐藏服务、隐藏病毒文件。灰鸽子2005感染系统后，将自身注册为系统服务，并在同一目录下生成一组（3个）隐藏的病毒文件；病毒文件名可变，但有一定规律。
清除灰鸽子仍然要在安全模式下操作，主要有两步：1、清除灰鸽子的服务；2删除灰鸽子程序文件。
注意：为防止误操作，清除前一定要做好备份。
由于正常模式下灰鸽子会隐藏自身，因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是：启动计算机，在系统进入Windows启动画面前，按下F8键(或者在启动计算机时按住Ctrl键不放)，在出现的启动选项菜单中，选择“Safe Mode”或“安全模式”。
1、由于灰鸽子的文件本身具有隐藏属性，因此要设置Windows显示所有文件。打开“我的电脑”，选择菜单“工具”—》“文件夹选项”，点击“查看”，取消 “隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”，然后点击“确定”。
2、打开Windows的“搜索文件”，文件名称输入“_hook.dll”，搜索位置选择Windows的安装目录（默认98/xp为C:\windows，2k/NT为C:\Winnt）。
3、经过搜索，我们在Windows目录（不包含子目录）下看是否有一个名为IEXPLORE_Hook.dll（也可能是其他名称，但基本结构都是_hook.dll的）的文件。
4、根据灰鸽子原理分析我们知道，如果IEXPLORE_Hook.DLL是灰鸽子的文件，则在操作系统安装目录下还会有IEXPLORE.exe和 IEXPLORE.dll文件。打开Windows目录，应该还有一个用于记录键盘操作的IEXPLOREKey.dll文件。
经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了，下面就可以进行手动清除
灰鸽子的手工清除
一、清除灰鸽子的服务
2000／XP系统：
1、打开注册表编辑器（点击“开始”－》“运行”，输入“Regedit.exe”，确定。），打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。
2、点击菜单“编辑”－》“查找”，“查找目标”输入“IEXPLORE.exe”，点击确定，我们就可以找到灰鸽子的服务项（此例为IEXPLORE_Server）。
3、删除整个IEXPLORE_Server项。
98／me系统：
在9X 下，灰鸽子启动项只有一个，因此清除更为简单。运行注册表编辑器，打开HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Run项，我们立即看到名为IEXPLORE.exe的一项，将IEXPLORE.exe项删除即可。
二、删除灰鸽子程序文件
删除灰鸽子程序文件非常简单，只需要在安全模式下删除Windows目录下的IEXPLORE.exe、IEXPLORE.dll、IEXPLORE_Hook.dll以及IEXPLORE.dll文件，然后重新启动计算机。至此，灰鸽子已经被清除干净。
或者请下载ravgpk专杀工具或则冰仞
希望对你有帮助~
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe Windows Service Controller，管理Windows服务。大多数的系统核心模式进程是作为系统进程在运行。打开管理工具中的服务，可以看到有很多服务都是在调用service.exe。正常的services.exe应位于%System%文件夹中，如果在%Windir%\Connection Wizard\Status中发现services.exe和csrss.exe、smss.exe的话，则是中了Worm_Sober.N蠕虫病毒。病毒运行后，显示一下对话框，看上去是一个错误信息。同时，在%Windir%\Connection Wizard\Status和%system%目录下生成多个文件。病毒会在被感染用户的系统内搜索多种扩展名的文件，找到电子邮件地址，并使用的自带的SMTP向这些地址发送带毒的电子邮件进行传播。
C:\WINDOWS\system32\lsass.exe 本地安全权限服务控制Windows安全机制。管理IP安全策略以及启动ISAKMP/Oakley(IKE)和IP安全驱动程序等。它会为使用Winlogon服务的授权用户生成一个进程。这个进程是通过使用授权的包，例如默认的msgina.dll来执行的。如果授权是成功的，lsass就会产生用户的进入令牌，令牌别使用启动初始的Shell。其他的由用户初始化的进程会继承这个令牌的。而Windows活动目录远程堆栈溢出漏洞，正是利用LDAP 3搜索请求功能对用户提交请求缺少正确缓冲区边界检查，构建超过1000个"AND"的请求，并发送给服务器，导致触发堆栈溢出，使LSASS.EXE服务崩溃，系统在30秒内重新启动。这里请记住该进程的正常路径为C:\WINDOWS\system32，一些病毒，如W32.Nimos.Worm病毒会在其它位置模仿LSASS.EXE来运行。
C:\WINDOWS\system32\svchost.exe ervice Host Process是一个标准的动态连接库主机处理服务。Svchost.exe文件对那些从动态连接库(DLL)中运行的服务来说是一个普通的主机进程名。Svhost.exe文件定位在系统的Windows\system32文件夹下。在启动的时候，Svchost.exe检查注册表中的位置来构建需要加载的服务列表。这就会使多个Svchost.exe在同一时间运行。Windows 2000一般有2个Svchost进程，一个是RPCSS(Remote Procedure Call)服务进程，另外一个则是由很多服务共享的一个Svchost.exe；而在windows XP中，则一般有4个以上的Svchost.exe服务进程；Windows 2003 server中则更多。Svchost.exe是一个系统的核心进程，并不是病毒进程。但由于Svchost.exe进程的特殊性，所以病毒也会千方百计的入侵Svchost.exe。通过察看Svchost.exe进程的执行路径可以确认是否中毒。如果您怀疑计算机有可能被病毒感染，Svchost.exe的服务出现异常的话通过搜索Svchost.exe文件就可以发现异常情况。一般只会在C:\Windows\System32目录下找到一个Svchost.exe程序，如果您在其他目录下发现Svchost.exe程序的话，那很可能就是中毒了。
C:\Program Files\Rising\Rav\CCenter.exe 瑞星信息中心，是瑞星杀毒软件的组件。
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Rising\Rav\Ravmond.exe 瑞星实时监控SERVICE程序，负责为多用户打开小伞，增强保护小伞不被关闭。注意，正常的瑞星进程应位于瑞星杀毒软件安装文件夹中，而某些病毒可能冒其名以骗过用户，如Worm_Lovgate.AF(爱之门)蠕虫病毒，它则位于System32中。
C:\WINDOWS\Explorer.EXE 可能有问题
C:\WINDOWS\system32\spoolsv.exe Printer Spooler Service，Windows打印任务控制程序，用以打印机就绪。缓冲(spooler)服务是管理缓冲池中的打印和传真作业。
C:\Program Files\Common Files\Autodesk 不清楚Shared\Service\AdskScSrv.exe 安装了Autodesk系列产品(如AutoCAD、3D Studio VIZ、Autodesk VIZ等)后出现的进程。该程序位于C:\Program Files\Common Files\Autodesk Shared\中，该目录用于存放Autodesk系列产品的共用程序。
C:\Program Files\CPUCooL\CooLSrv.exe CPUCooL是一款运行在Windows环境下的CPU降温软件。它提供支持在Windows环境中最佳化CPU功能(支持AMD、Cyrics、Intel)和监视、显示主机版温度、风扇速度和电压(支持Intel、SIS、VIA、ALI等晶片组)。
C:\Program Files\Common 不清楚Files\Real\Update_OB\realsched.exe RealPlayer的自动更新及检测服务，这个服务可以从RealPlayer的服务器上获取一些版本更新等消息。
C:\Program Files\D-Tools\daemon.exe Daemon Tools是一个不错的模拟备份并且合并保护盘的软件，可以备份SafeDisc保护的软件，可以打开CUE, ISO, IMB, CCD, BWT, MDS, CDI, VCD等这些虚拟光驱的镜像文件。有了它，您就可以把光盘镜像直接变成一个光盘盘符，也就是说您可以不用把镜像释放到硬盘或者再刻出光盘就可以当做光驱一样用了。
C:\WINDOWS\system32\nvsvc32.exe NVIDIA Driver Helper Service，NVIDA显卡驱动相关程序。
C:\WINDOWS\system32\rundll32.exe Windows RUNDLL32 Helper，Windows Rundll32为了需要调用DLLs的程序。该文件可有被QQ白骨精病毒所感染，应该先结束此进程，然后删除%SysDri%\Rundll32.exe文件，再去找一个正常的Rundll32.exe恢复即可。QQ白骨精病毒是一种用VC编写的发送QQ尾巴和盗取信息的木马病毒，它通过在QQ上发送以诱惑性文字为名的EXE文件(如：超级MM，超级FLASH，请您笑纳.EXE)来传播。病毒会搜索QQ好友并自动发送病毒文件，并盗取被感染的电脑中的QQ密码。若中了此病毒请用KavQQ最新版杀毒。
C:\PROGRA~1\Yahoo!\ASSIST~1\YLive.exe 雅虎中国Yahoo China出品雅虎助手软件相关升级模块。
C:\WINDOWS\system32\RunDLL32.exe Windows RUNDLL32 Helper，Windows Rundll32为了需要调用DLLs的程序。该文件可有被QQ白骨精病毒所感染，应该先结束此进程，然后删除%SysDri%\Rundll32.exe文件，再去找一个正常的Rundll32.exe恢复即可。QQ白骨精病毒是一种用VC编写的发送QQ尾巴和盗取信息的木马病毒，它通过在QQ上发送以诱惑性文字为名的EXE文件(如：超级MM，超级FLASH，请您笑纳.EXE)来传播。病毒会搜索QQ好友并自动发送病毒文件，并盗取被感染的电脑中的QQ密码。若中了此病毒请用KavQQ最新版杀毒。
C:\PROGRA~1\Yahoo!\Assistant\yassistse.exe 雅虎助手，流氓软件
C:\Program Files\Rising\Rav\RavTask.exe 瑞星相关进程。
C:\Program Files\Rising\Rav\Ravmon.exe 瑞星实时监控SHELL程序(就是任务栏里的那个小绿伞)
C:\WINDOWS\system32\ctfmon.exe Alternative User Input Services，控制Alternative User Input Text Processor (TIP)和Microsoft Office语言条。Ctfmon.exe提供语音识别、手写识别、键盘、翻译和其它用户输入技术的支持。
C:\Program Files\Rising\Rav\Rav.exe 瑞星进程。
C:\WINDOWS\system32\rundll32.exe Windows RUNDLL32 Helper，Windows Rundll32为了需要调用DLLs的程序。该文件可有被QQ白骨精病毒所感染，应该先结束此进程，然后删除%SysDri%\Rundll32.exe文件，再去找一个正常的Rundll32.exe恢复即可。QQ白骨精病毒是一种用VC编写的发送QQ尾巴和盗取信息的木马病毒，它通过在QQ上发送以诱惑性文字为名的EXE文件(如：超级MM，超级FLASH，请您笑纳.EXE)来传播。病毒会搜索QQ好友并自动发送病毒文件，并盗取被感染的电脑中的QQ密码。若中了此病毒请用KavQQ最新版杀毒。
C:\Program Files\Thunder 迅雷号称是最快的下载工具，它是一款最新型的基于P2SP技术的下载软件，兼容传统的P2S和现在流行的P2P下载技术。尤其在下载游戏、工具、MP3音乐方面有着突出的效果。迅雷的最大特色就是其超群的下载速度，优于别的同类软件。迅雷针对宽带用户做了特别的优化，能够充分利用宽带上网的特点，带给用户高速下载的全新体验！而且在用户文件管理方面提供了比较完备的支持，尤其是对于用户比较关注的配置、代理服务器、文件类别管理、批量下载等方面进行了扩充和完善，使得迅雷可以满足中、高级下载用户的大部分专业需求。Network\Thunder\Thunder.exe 迅雷号称是最快的下载工具，它是一款最新型的基于P2SP技术的下载软件，兼容传统的P2S和现在流行的P2P下载技术。尤其在下载游戏、工具、MP3音乐方面有着突出的效果。迅雷的最大特色就是其超群的下载速度，优于别的同类软件。迅雷针对宽带用户做了特别的优化，能够充分利用宽带上网的特点，带给用户高速下载的全新体验！而且在用户文件管理方面提供了比较完备的支持，尤其是对于用户比较关注的配置、代理服务器、文件类别管理、批量下载等方面进行了扩充和完善，使得迅雷可以满足中、高级下载用户的大部分专业需求。
C:\DOCUME~1\cosml\LOCALS~1\Temp\HijackThis.exe Merijn Hijackthis程序，用于监视您的浏览器配置和插件。Hijackthis能够将绑架您浏览器的程序揪出来并且移除之。或许您只是浏览某个网站、安装了某个软件，就发现浏览器设定已经被绑架了，一般常见的绑架方式莫过于强制窜改您的浏览器首页设定、搜寻页设定，现在有了这个工具，可以将所有可疑的程序全抓出来，再让您判断哪个程序是“肇事者”，然后将其除去。
C:\WINDOWS\system32\Rundll32.exe Windows RUNDLL32 Helper，Windows Rundll32为了需要调用DLLs的程序。该文件可有被QQ白骨精病毒所感染，应该先结束此进程，然后删除%SysDri%\Rundll32.exe文件，再去找一个正常的Rundll32.exe恢复即可。QQ白骨精病毒是一种用VC编写的发送QQ尾巴和盗取信息的木马病毒，它通过在QQ上发送以诱惑性文字为名的EXE文件(如：超级MM，超级FLASH，请您笑纳.EXE)来传播。病毒会搜索QQ好友并自动发送病毒文件，并盗取被感染的电脑中的QQ密码。若中了此病毒请用KavQQ最新版杀毒。
C:\WINDOWS\system32\Rundll32.exe
中了木马不要着急，我来帮你：
木马的查杀，可以采用自动和手动两种方式。最简单的删除木马的方法是安装杀毒软件(自动)，现在很多杀毒软件能删除网络最猖獗的木马，建议安装金山毒霸或安全之星XP，它们在查杀木马方面很有一套！
由于杀毒软件的升级多数情况下慢于木马的出现，因此学会手工查杀非常必要。方法是：
1.)检查注册表
看HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼Curren Version和HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion下，所有以“Run”开头的键值名，其下有没有可疑的文件名。如果有，就需要删除相应的键值，再删除相应的应用程序。
2.)检查启动组
木马们如果隐藏在启动组虽然不是十分隐蔽，但这里的确是自动加载运行的好场所，因此还是有木马喜欢在这里驻留的。启动组对应的文件夹为：C:＼windows＼start menu＼programs＼startup，在注册表中的位置：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Explorer＼Shell
Folders Startup="C:＼windows＼start menu＼programs＼startup"。要注意经常检查这两个地方哦！
3.)Win.ini以及System.ini也是木马们喜欢的隐蔽场所，要注意这些地方
比方说，Win.ini的[Windows]小节下的load和run后面在正常情况下是没有跟什么程序的，如果有了那就要小心了，看看是什么；在System.ini的[boot]小节的Shell=Explorer.exe后面也是加载木马的好场所，因此也要注意这里了。当你看到变成这样：Shell=Explorer.exe wind0ws.exe，请注意那个wind0ws.exe很有可能就是木马服务端程序！赶快检查吧。
4.)对于下面所列文件也要勤加检查，木马们也很可能隐藏在那里
C:＼windows＼winstart.bat、C:＼windows＼wininit.ini、Autoexec.bat。
5.)如果是EXE文件启动，那么运行这个程序，看木马是否被装入内存，端口是否打开。如果是的话，则说明要么是该文件启动木马程序，要么是该文件捆绑了木马程序，只好再找一个这样的程序，重新安装一下了。
6.)万变不离其宗，木马启动都有一个方式，它只是在一个特定的情况下启动
所以，平时多注意一下你的端口，查看一下正在运行的程序，用此来监测大部分木马应该没问题的。
另外，你也可以试试用下面的办法来解决：
从网上下一个叫“冰刃”的软件。这是一个绿色免安装的小软件，可以放心使用。
这个是下载地址。
http://www.ttian.net/website/2005/0829/391.html
这个是它的详细用法。
http://www.ccw.com.cn/soft/review/htm2005/20050930_2107Z.htm
一般来说，不管是木马、病毒进入我们的机器后都是“三隐”的即隐进程、隐服务、隐文件的，利害的能将杀毒软件有实时监控给杀死！但在这个冰刃里，它是无法遁身的。开启的非法进程会以红色显示出来。
至于杀毒软件，应该说各人有各人的喜好，下面给出的链接上你看看比较一下：
六款主流杀毒软件横向评测
http://it.sohu.com/2004/05/19/39/article220183986.shtml
消费者该如何选择？六款杀毒软件横向评测(这个要详细些)
http://tech.tom.com/1380/1383/2005513-197230.html
手工查杀灰鸽子2005的关键是找到病毒注册的系统服务名及病毒文件X.exe所在位置。用HijackThis 1.99.0扫日志即可达到此目的（见附图）。HijackThis 1.99.0的下载地址：http://forum.ikaka.com/download.asp?id=5188960。这步操作在普通WINDOWS模式下即可完成，不一定非在“安全模式”下完成。
安全模式 删除
不行的话 你可以下个 木马专杀 杀木马 很有效果
加我QQ也可以 我把木马专杀 传给你 81891819
不用那么麻烦
我以前中过的
用金山毒霸就可以了
相关视频
我的电脑中了Backdoor Gpideon.rif病毒
[b]backdoor.graybird[\/b][color=red]"灰鸽子:变种,请选用专杀工具查杀.[\/color]Backdoor.Trojan是一个特洛伊木马病毒，瑞星无法检测，用Norton AntiVirus可以发现，总是提示W32_ss.exe携带Backdoor.Trojan,但无法清除,也无法删除该文件。查到W32_ss.exe的位置在windows\\s
我的电脑中了Backdoor.Win32.RemoteABC.rq这种病毒,用瑞星杀了还有,杀...
2）正常启动电脑，正常后运行“木马克星”，程序将会在系统内找到Backdoor.GPigeon.uac木马的可疑文件，我这次发现的是在c:\\windows文件夹下的“win32.exe”文件,木马克星会提醒你是否删除此文件，结果是不能被删除，为什么呢？我就在“文件夹选项”的“查看”面板中勾选“显示系统文件夹内容”、“显示...
我中了Backdoor.Gpigeon.ftq这个病毒,请问高手怎么清除
虽然杀毒软件会提示清除成功~~~但其实不然~~~该病毒还会死灰复燃~~~2~~~然后打开注册表~~~开始-运行~~输入regedit~~~然后~~Crrl + F~~搜索IEXPLORE.EXE~~~把搜出来的带有IEXPLORE.EXE的项删掉~~~3~~重新启动进入正常模式~~偶一开始以为这样就OK了~~~没想到~~~再次用瑞星一查~~~妈妈呀~~...
我的电脑中了Backdoor.Gpigeon6.ah病毒,
最新灰鸽子病毒，瑞星杀不掉的。目前大多数杀毒软件都是无能为力。你下载一个灰鸽子专杀试试，有木马杀客版的，有瑞星的，有B3。也可以到灰鸽子官方网站下载一个灰鸽子清除器。最简单有效地方法就是格了硬盘重装系统。
瑞星老是报有Backdoor.Win32.Agent.yoo病毒,杀不完了。怎么处理?_百度知...
用你的杀毒软件进安全模式杀杀看 如果还是不行那就重装吧
我的电脑近来老是反复中一种叫backdoor...的病毒,哪位告诉我这是怎么回...
backdoor后门病毒：除了给系统打补丁、装杀毒软件外，还要给系统设置足够复杂的密码，才能有效的防范后门病毒。（瑞星反病毒工程师的解释）我的建议 1.及时升级你的病毒库和防火墙 2.上网的时候开启防火墙和杀毒软件的实时监控 3.不要浏览一些垃圾网站 4.经常打系统补丁,防患未然 ...
