現在使用破解版的傳家寶51會產生壹個帶有正常WINLOGON.EXE進程的winlogon系統進程，用戶名是“SYSTEM”，程序名是小寫的winlogon.exe。
偽裝成這個進程的特洛伊的用戶名是當前系統用戶名，程序名是大寫的WINLOGON.exe。
通過ctrl+alt+del查看該進程，然後選擇該進程。正常情況下，只有壹個winlogon.exe進程，其用戶名為“SYSTEM”。如果有兩個winlogon.exe，並且其中壹個大寫，用戶名是當前系統用戶，則表明可能有壹匹特洛伊馬。
這個特洛伊非常強大，可以摧毀特洛伊克星，讓它無法正常運作。目前用其他殺毒軟件查不出來。
那個WINDOWS下的WINLOGON.EXE真的是壹個病毒，但她只是這個病毒中的壹個小角色。我們打開D盤看看有沒有pagefile的DOS指向文件和autorun.inf文件。呵呵，當然是隱藏了。刪除這些文件是沒用的，因為她和很多東西都有關聯，即使是安全模式下，只要妳運行任何程序。或者雙擊打開D盤，她會被重裝。呵呵，很多人就是因為這個破解的傳家寶被盜的，殺毒軟件也查不到。有人稱這種病毒為“落雪”，是壹匹專門竊取傳奇世界的特洛伊馬。至於會不會盜用QQ等其他賬號，網銀就看她開心了。呵呵，估計要壹起錄了。如果妳不怕毒品，想減少損失，除了幾個妳信任的常用任務，最好打開防火墻阻止妳外出。當然，妳最好盡快備份，然後關上門殺毒。
包括方鑫修改的51pywg傳家寶和他們破解的其他所有插件，這次最有嫌疑的是51PYWG。至於其他合作的網站，估計也難逃壹劫，尤其是方鑫的網站，已經被證實多次被黑。雖然他解釋說是被黑了，但也不能排除其他可能。特別註意那些啟動後連接網站的插件，不排除啟動器本身有毒。反正壹句話，這種連接網站的破解軟件是最容易放毒的。至於什麽時候發布，怎麽發布，比如看多酷，盡量用完全本地破解驗證版。雖然看起來被鏈接的聯盟還沒有發現是自己放的還是自己放的，但是壹定要小心。最近傳奇世界有N多人被黑，目標直指這些網站。以下是清除最近特別毒的WINLOGON.EXE黑客病毒的方法。註意，這個假WINLOGON.EXE是在WINDOWS下，進程顯示為當前用戶或管理員。另壹個系統的winlogon.exe是正常的，不要亂刪。請讀清楚。第壹個大寫，最後壹個小寫，並且已經有網友確認這個文件的連接目的地是河南。
“落雪”病毒的解決方案
癥狀:雙擊D盤打不開。裏面有autorun.inf和pagefile.com文件。
制造這個病毒的人太強了，不能像管理員壹樣用安全模式解決！經過壹下午的奮戰，才勉強解決。
我沒有用任何軟件查殺木馬。我只是手動把它們壹個壹個拉出來刪除。與之關聯的文件如下，大部分顯示為系統文件，隱藏。
因此，有必要在文件夾選項中打開和顯示隱藏文件。
D盤只有兩個，不能雙擊打開D盤，c盤還有更多！
D:\autorun.inf
D:\pagefile.com
c:\ Program Files \ Internet Explorer \ ie xplore . com
c:\ Program Files \ Common Files \ ie xplore . com
C:\WINDOWS\1.com
C:\WINDOWS\iexplore.com
C:\WINDOWS\finder.com
C:\WINDOWS\Exeroud.exe(不知道是不是名字，紅色圖標有傳說世界圖標)。
C: \ Windows \ Debug \ * *程序。Exe(也是上面的圖標，名字已經忘了-_-很棒，明顯沒有隱藏)。
c:\ Windows \ system32 \ command . com
這個不要輕易刪除，看看是不是和下面的日期不壹樣但是和其他文件壹樣。如果和其他大部分文件壹樣，就不能刪除。當然，系統文件肯定不是這個時期的。
c:\ Windows \ system32 \ msconfig . com
c:\ Windows \ system32 \ regedit . com
C:\Windows\system32\dxdiag.com
c:\ Windows \ system32 \ rundll32 . com
C:\Windows\system32\finder.com
C:\Windows\system32\a.exe
順便看壹下這些文件的日期，看看有沒有時間相同的文件或者結尾可疑的文件。其他地方的COM。註意不要運行任何程序或再次啟動它們，包括雙擊磁盤。
還有壹個壹號文件！WINLOGON.EXE！所有這些都是為了殺了她！！！
C:\Windows\WINLOGON。可執行程序的擴展名
這個在過程中可以看出來，有兩個，壹個是真的，壹個是假的。
真的是小寫的winlogon.exe，(不知道妳的是不是)，用戶名是SYSTEM。
假的是大寫的WINLOGON.EXE，用戶名是妳自己的用戶名。
這個文件在過程中是停不下來的，說關鍵過程停不下來，還真像！即使在安全模式下，它也會留在您的進程中！
我現在就知道這麽多。如果妳不信任我，妳最好看看其中壹個文件的修改日期，然後用“搜索”搜索當天修改的文件。很多文件肯定會同時出來，甚至在系統還原文件夾裏！！
這些文件將與其自身相關聯。如果妳刪除了壹個部分，不小心運行了壹個，或者在開始運行中運行msconfig，command，regedit，這些文件都是妳自己補的！
知道了這些文件，先關閉所有可以關閉的程序，打開程序附件中的WINDOWS資源管理器，在上面的工具中設置文件夾中的視圖選項顯示所有文件和文件夾，取消隱藏受保護的操作系統文件，然後打開開始菜單，輸入命令regedit，進入註冊表，進入HKEY_LOCAL_MACHINE\SOFTWARE\在Microsoft \ WINDOWS \ current version \ run中，有壹個Torjan程序，很明顯是“我是特洛伊馬”，刪除！！
然後註銷！重新進入系統後，打開“任務管理器”看看有沒有rundll32。如果有，先停。不知道這是真是假，要小心。
轉到d盤(註意不要雙擊進入！否則會再次激活病毒。右鍵選擇“打開”刪除autorun.inf和pagefile.com，然後轉到c盤刪除上面列出的所有文件！註意不要雙擊其中壹個文件，否則所有的步驟都要重復！然後註銷。
在我掙紮的過程中，刪除了那些文件後，所有的exe文件都打不開，也無法運行cmd。
然後，轉到C:\Windows\system32，將cmd.exe文件復制到桌面，並將其重命名為cmd.com呵呵。
我也會用com文件，然後雙擊這個COM文件，然後動作就可以進入DOS下的命令提示符了。
然後鍵入以下命令:
Assoc.exe = exefile(Assoc和之間有壹個空格。Exe)
ftype exefile="%1" %*
因此exe文件可以運行。如果妳不能命令，就打開CMD.COM，復制上面兩行，粘貼兩次執行。
但是我做完這些之後，開機用戶輸入用戶會有點慢，會彈出壹個警告框，說找不到文件“1”。(應該是Windows下的1.com文件。)，最後用上網助手等軟件徹底修復IE設置。
最後，如何解決開機時找不到文件“1.com”的問題:
在運行程序中運行“regedit”，打開[HKEY _本地_機器\軟件\微軟\ Windows NT \當前版本\ Winlogon]中的註冊表。
將“Shell”=“explorer . exe 1”還原為“Shell”=“explorer . exe”。
妳完了！大家分享壹下吧！