cmd.exe一直困扰着我！高手请帮忙解答！

Question

出状况时杀软提示：已删除 NT AUTHORITY\SYSTEM cmd.exe C:\WINDOWS\System32\i W32/Sdbot.worm!ftp (病毒)（我用的是正版咖啡），IE不能工作，ctrl+alt+del资源管理器不显示操作界面，只在右下显示图标，只能强行终止进程，扫端口发现好象是4308等端口显示等待连接，右下宽带图标一直在闪，上网查后，手动试了很多办法，无效，用了N多杀毒工具也不行，注册表我也是定期清理，实在没办法了，请高手赐教，想手动解决！
谢谢及时回答，我要补充一下，cmd大小447 KB (457,728 字节)占用空间448 KB (458,752 字节)不知道是否异常
郁闷！下面那位好心人说的我已经试过了，可是没有所说的文件。

Answer 1

出现这种情况，我来作两种分析

其一：病毒感染
据我所知的某些木马程序，通常会利用CMD.EXE这个命令行系统进行病毒加载或者是DLL插入，并且文件的大小会改变

CMD.EXE 大小：459 KB (470,016 字节)
占用空间：460 KB (471,040 字节)

若与该数字不太吻合，请注意，肯定是病毒感染了没错

解决办法：进入安全模式，删除CMD.EXE然后从windows\\servicespackfiles\\i386 文件夹中再复制一份到system32文件夹下。

其二：有启动项目是需要cmd.exe命令行支持运行的，若你的CMD.EX不能正常运行的话，会始终出现提示

解决办法：修复cmd.exe即可，参照第一种情况的解决办法！

回答完毕 By Sotary.Len

Answer 2

我终于解决了cmd.exe占我CPU空间的问题，有同样困扰进来看下
刚刚买新电脑，很兴奋，于是迫不及待的下了还多东东。可是冷不防就中了该死的木马，开始还不知道，就是发现我的CPU被一个名为cmd.exe的文件给占去了将近90%的使用率。开始以为cmd.exe就是病毒，就是罪魁祸首，准备把他给删掉，可后来上网看了看发现高手们都说cmd.exe是系统文件，删掉的话可能会是系统出现无法预知的问题，说它占了CPU空间可能是因为木马程序将其绑定造成的。搞的我又急又怕，后来我就用杀毒软件，木马检测软件都检查了一遍可是就是找不到那该死的病毒。无赖之下准备重装系统，可是想想不能就这样输给它啊。于是狠下心，一定要干掉它。
后来我又将我的防毒软件“卡巴斯基”升级更新到最新再查，结果就发现了有一个木马程序在以下路径：“C:\program files\internet explorer\plugins\”名为"new123.sys" 可是试着去找这个文件却找不到指定路径，我这才发现其实这个木马文件隐藏的还真够深的，只有用手动打开此文件夹，我气急败坏的想立即粉碎这个该死的木马可是怎么删也删不掉，后来只有进入安全模式，将它彻底的从我的电脑硬盘里驱逐出境。然后再开机就一切正常了。那个cmd.exe 就再也没出来捣乱了，电脑速度也快了不少。
如果你的电脑也出现和我同样的问题，而且用杀毒软件又找不出来毒的话可以试着打开这个路径看看：“C:\program files\internet explorer\plugins\”看里面是否有此文件"new123.sys"有就表明你中了此木马，在安全模式下删掉它就可以了。

作者： chenwen45 2006-9-8 15:33 回复此发言

2 回复：我终于解决了cmd.exe占我CPU空间的问题，有同样困扰进来看下
ok
去试一下
就是这破东东
看我把我给惹火了

作者： 221.10.43.* 2006-9-9 21:33 回复此发言

3 回复：我终于解决了cmd.exe占我CPU空间的问题，有同样困扰进来看下
如果出现这种情况，很不幸，你99％是中了木马了。不过不妨继续验证一下，假定你的windows安装盘位于C:\，并且需要你在文件查看选项中打开查看隐藏文件的选项和显示所有文件扩展名的选项，则

查看你的c:\Program Files\Internet Explorer\PLUGINS\目录，应该会发现有new123.bak和new123.sys两个文件；
查看你的C:\Documents and Settings\Administrator\Local Settings\Temp\目录，应该会发现有MicroSoft.bat这个文件；你可以用记事本打开MicroSoft.bat文件，发现其中提到一个exe文件（具体名称会有不同），你也会在该目录下发现这个exe文件；
如果以上两步你并未发现相应文件，请将你的文件查看改为不隐藏已知文件后缀，并在系统盘内进行文件搜索，确认是否的确没有相关的文件。

木马描述
该木马主要是因为用户安装了嵌入木马程序的安装程序所致，这些安装程序极有可能是你在一些不知名的下载网站上下载的一些应用程序（比如qq的一些版本等）。该木马利用安装程序在没有提醒用户的情况下在IE的插件中安装了实为木马的IE插件。使得一般的杀毒和杀马程序无法识别。并且当你运行一些需要调用IE的一些程序时自动调用该木马插件，所以才出现“症状描述”中所描述的情况。

该木马的母体就是new123.sys，属于Trojan-PSW.Win32.Delf.mc，可能会偷取你的一些应用的帐号和密码。

木马清除
该木马可以很方便的手工清除，过程如下：

打开“任务管理器”，在“进程”中结束cmd.exe的运行，此时CPU占用率会明显下降；
进入C:\Documents and Settings\Administrator\Local Settings\Temp\目录，删除MicroSoft.bat这个文件中所提到的exe文件和该bat文件；（这一步不做也没有问题，但最好清除掉）
进入c:\Program Files\Internet Explorer\PLUGINS\目录，删除new123.bak文件，但此时你无法删除new123.sys文件，因为系统正在使用，你有两种方式处理new123.sys文件：
重启机器并进入安全模式对new123.sys进行删除；
当前状态虽无法删除该文件，但可更改new123.sys的文件名为new123.sysdel，并且重启机器（无需进入安全模式）后，再把new123.sysdel进行删除。
处理完后，如果“症状描述”中的情况消失，则说明清除成功。

Answer 3

5知