一位用戶在使用windowsxp系統(tǒng)電腦過程中，發(fā)現(xiàn)電腦中突然多了幾個lpk.dll文件，這些文件大小都是一樣的，而且是隱藏文件。這是怎么回事呢？其實，這是計算機感染了lpk.dll病毒導(dǎo)致的。下面，就隨小編一起看看XP系統(tǒng)lpk.dll專殺方法。

　　lpk.dll是什么病毒

　　lpk.dll病毒的典型特征是感染存在可執(zhí)行文件的目錄，并隱藏自身，刪除后又再生成，當(dāng)同目錄中的exe文件運行時，lpk.dll就會被Windows動態(tài)鏈接，從而激活病毒，進而導(dǎo)致不能徹底清除。

　　所以當(dāng)發(fā)現(xiàn)磁盤很多文件夾中都存在lpk.dll文件時，那么基本可以肯定您的計算機已經(jīng)中招了。lpk.dll病毒是個惡意后門病毒，計算機染毒后會在后臺下載更多惡意程序，可造成用戶機器被遠(yuǎn)程控制、資料被盜等狀況。很多用戶在發(fā)現(xiàn)電腦中招后會習(xí)慣性地重裝系統(tǒng)，但重裝系統(tǒng)并不能清除非系統(tǒng)盤目錄下的lpk.dll文件，因此當(dāng)運行其他盤符目錄下的可執(zhí)行文件時又會激活病毒，再次全盤感染，令人十分頭疼。

　　一：lpk.dll病毒現(xiàn)象

　　1、通過文件夾選項的設(shè)置顯示出所有隱藏文件，包括操作系統(tǒng)文件，然后全盤搜索lpk.dll，這時會發(fā)現(xiàn)很多目錄下都存在lpk.dll文件，大小一致，屬性為隱藏。

　　注意：全盤搜索lpk.dll時要注意勾選“搜索隱藏的文件和文件夾”，如下圖所示：

　　2、C:\Documents and Settings\Administrator\Local Settings\Temp目錄下生成許多tmp格式的文件，大小一致，命名有一定規(guī)律。從文件后綴來看，這些文件似乎是臨時文件，但其實是PE格式，并不是普通的tmp文件。

　　3、使用XueTr查看系統(tǒng)進程 explorer.exe 等很多進程下加載了lpk.dll。

　　二：lpk.dll病毒專殺方法

　　1、把之前搜索到的lpk.dll文件全部刪除（不包括 C:WINDOWS\system32 和 C:WINDOWS\system32\dllcache 目錄）。刪除 C:\Documents and Settings\Administrator\Local Settings\Temp 目錄下大小為36KB的 hrlXX.tmp文件。

　　2、某些lpk.dll刪除時會出現(xiàn)系統(tǒng)報錯，如下圖。

　　這是由于病毒文件已經(jīng)被激活調(diào)用，普通方式無法直接刪除。這時通過XueTr可以看到刪除報錯的lpk.dll正掛在系統(tǒng)正在運行的進程下，逐一找到正加載的lpk.dll，右鍵選中將其刪除。

　　3、在用XueTr逐一檢查系統(tǒng)進程的過程中，發(fā)現(xiàn)其中一個svchost.exe進程下加載了一個十分可疑的模塊文件hra33.dll，且無數(shù)字簽名。

　　右鍵選中查看模塊文件屬性，可以看到該文件大小也是43KB，與lpk.dll相同，創(chuàng)建日期也與lpk.dll一致。另外有沒有覺得這個文件名很熟悉？再回想一下會發(fā)現(xiàn)該文件命名與temp目錄下的hrlXX.tmp文件命名方式有異曲同工之處。綜上所述，已經(jīng)可以確定該文件與lpk.dll性質(zhì)相同，直接用XueTr刪之。

　　4、上述刪除操作完成后，再全盤搜索一次，會發(fā)現(xiàn)剛剛刪除的lpk.dll病毒文件又出現(xiàn)了，真是“陰魂不散”。很明顯系統(tǒng)中還存在殘余病毒體不斷釋放lpk.dll文件，還需要進一步檢查將其徹底清除。通過XueTr檢查系統(tǒng)當(dāng)前服務(wù)，發(fā)現(xiàn)一個很可疑的服務(wù)，對應(yīng)的映像文件kkwgks.exe無數(shù)字簽名。

　　查看kkwgks.exe文件屬性發(fā)現(xiàn)該文件創(chuàng)建時間與lpk.dll一致，且文件大小與Temp目錄下的hrlXX.tmp文件相同，十分可疑，直接將其刪除。

　　5、刪除kkwgks.exe文件即結(jié)束了病毒服務(wù)，還需要執(zhí)行上面步驟1-3的刪除操作，把再次釋放的lpk.dll等文件全部清除，然后重啟電腦再全盤搜索檢查一遍，原來的病毒文件都不復(fù)存在了。

　　三：lpk.dll病毒行為分析

　　經(jīng)過了上面的手動處理過程后，可以逆向思維簡單分析一下病毒行為如下。

　　1、病毒運行后會把自己拷貝到系統(tǒng)system32目錄下以隨機數(shù)命名（就是上面的kkwgks.exe），并創(chuàng)建一個名為Nationalgnf的服務(wù)。

　　2、新的服務(wù)啟動后，利用特殊手段讓病毒映像替換svchost.exe，進程中看到的還是svchost.exe，似乎沒有什么異樣，但此時病毒已經(jīng)將自己隱藏在svchost.exe里運行，病毒在這里完成的功能包括：

　　（1）、完成病毒所有的后門任務(wù);

　　（2）、在系統(tǒng)system32目錄下生成hraXX.dll（XX是生成的隨機名）;

　　（3）、在系統(tǒng)臨時文件目錄下不斷釋放hrlXX.tmp文件（XX是生成的隨機名），這里的hrlXX.tmp文件其實是system32下kkwgks.exe文件的備份，非常危險，作用是恢復(fù)system32下被刪除的exe病毒文件;

　　（4）、在存在可執(zhí)行文件的目錄下生成假的lpk.dll，屬性為隱藏，當(dāng)同目錄下的exe運行時會自動加載，激活病毒。

　　因為系統(tǒng)本身也是存在lpk.dll文件的，不過該文件并非是隱藏文件，而lpk.dll病毒卻是隱藏的，這就給我們提供了一個有效的辨別方法。

看了上述小編的介紹，相信大家對lpk.dll病毒已經(jīng)有了一定的了解。如果你的電腦也感染了該病毒的話，不妨參考下小編的方法。