象“冰河”一样提供了自动卸载功能的木马程序并不多见，所以多数木马必须借助杀毒软件或通过手工来清除。手工清除木马程序的方法也不外乎以下几个步骤：1 ）检查注册表，删除HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run和HKEY_LOCAL_MACHINE\Software\Microsof t\Windows\CurrentVersion\RunServices两处的可疑程序（在对注册表操作前最好将注册表备份），检查常用的文件关联，如TXT、EXE、B MP等，如果发现关联为可疑程序，则改为相应的SHELL程序；2）检查WIN.INI文件的“windows\run=”项和SYSTEM.INI文件的“boot\ shell=”项，如有可疑程序则删除；3）使用Windows的“系统文件检查器”对系统文件进行校验，修复被替换或修改过的系统文件。至此，您的系统已经相对安全了，但不要忘记“道高一尺，魔高一丈”，各种新的技术和新漏洞往往最先被应用在有害程序中，所以剩下的工作已经不是普通用户能够胜任，只有依靠各种杀毒软件了。
下面详细介绍一下“冰河”的手工清除办法：
1． 以安全模式重新启动计算机；
2． 检查HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run和HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\RunServices两处是否有同名的可疑程序名（默认安装为KERNEL32.EXE），如果有则删除该键；
3． 检查HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command处的键值是否为“<winpath>\notepad.exe %1”（<winpath>是指您的WINDOWS所在目录，如“c:\windows”），“冰河”的默认设置是将该处键值修改为“sysexplr.exe %1”，请自行做相应修正；
4． 检查HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command处的键值是否为“"%1" %*”，如果不是则进行修正；
5． 删除上述找到的可疑程序（默认文件名是<system>目录下的“KERNEL32.EXE”和“SYSEXPLR.EXE”，如果“SYSEXPLR.EXE”因正在运行而无法删除，可以在第6 步完成之后立即删除）；
6． 直接按两次<Ctrl>+<Alt>+<Del>重新启动计算机。
需要注意的是，您应该在修改注册表之后再删除可疑程序，否则对方若将“冰河”设置为与EXE文件关联，那您就连运行REGEDIT的机会都没有了。另外在修改注册表时您可能已经启动了与E XE文件关联的“冰河”，而“冰河”在正常关闭时将会再次修改注册表，所以通过<Ctrl>+<Alt>+<Del>来重新启动计算机是至关重要的。
by 劳伦斯