上面是被挂钩函数

这个 C:\Windows\System32\Drivers\spkz.sys  每次重启电脑   文件名都会改变

该路径下也找不到相对应的驱动

C:\Windows\System32\drivers\etc

etc 文件夹也被改名了  改成了一串数字

spxx.sys不是病毒，是带毛兔子的sys，每次重启都会改掉自己名字的后两个字母。

我以前中过类似的, 用Linux cdrom/USB 开机可删.

http://blog.sina.com.cn/s/blog_59a0d4260100a098.html
一个小巧强大的Boot工具，无需BIOS支持实现U盘启动

2009 年 2 月写的:
推荐 PLoP Linux;
LiveCD, USB boot, PXE network boot, antivirus, rescue
http://www.plop.at/en/ploplinux.html

可以不用烧录 CD, 节省资源。

我之前是用 linux knoppix cdrom 开机:

输入 linux 2
(文字模式开机较快)

# cd /ramdisk
# fdisk -l

Disk /dev/sda: 164.6 GB, 164696555520 bytes
255 heads, 63 sectors/track, 20023 cylinders
Units = cylinders of 16065 * 512 = 8225280 bytes

   Device Boot Start End Blocks Id System
/dev/sda1 1 244 1959898+ 83 Linux
/dev/sda2 245 6324 48837600 83 Linux
/dev/sda3 6325 12404 48837600 83 Linux
/dev/sda4 12405 20023 61199617+ 83 Linux

System 是 HPFS/NTFS 或 FAT 的就是 windows.
我的 IBM notebook 是 /dev/hda1
而且 c:\i386 是 XP files.

所以
# cd /ramdisk
# mkdir /c
# mount /dev/hda1 /c
# wget http://dl.antivir.de/down/vdf/rescuecd/rescuecd.iso
# mkdir /ramdisk/r
# mount rescuecd.iso /ramdisk/r -o loop,ro
# cd /ramdisk/r/antivir
# ./antivir >& /ramdisk/virlog01.txt
或#./antivir -s /c/WINDOWS >& /ramdisk/virlogwindows.log

# mkdir /c/virinfo
# mv /ramdisk/virlog01.txt /c/virinfo

# cd /c/WINDOWS/system32/drivers
# ls -la > /c/virinfo/dirdriversinlinux.txt

# mkdir /c/vir

<% 假设中了 9aaa.com IE 首页病毒
http://baike.360.cn/4024037/18915635.html?page=2
%>

# mv /c/WINDOWS/system32/drivers/sarqlyku.sys /c/vir/

<% 看小红伞 scan log %>
# less -r /c/virinfo/virlog01.txt
# mv /c/WINDOWS/system32/xxxx /c/vir/

<%
linux 的 windows password/registry 工具
http://home.eunet.no/pnordahl/ntpasswd/chntpw-source-080526.zip
http://home.eunet.no/pnordahl/ntpasswd/

备分 registry
mkdir /c/bak
cp -Ra /c/WINDOWS/system32/config /c/bak/
%>

<%
mscompress
cabextract
www.cabextract.org.uk/

XP cdrom 上有 I386 目录.
%>

# cd /ramdisk/
# cp /c/I386/SVCHOST.EX_ /ramdisk
# cabextract SVCHOST.EX_
  extracting svchost.exe
# md5sum svchost.exe
ccfc400f3305a61cbd8ad2a6f5671e4b svchost.exe

# md5sum /c/WINDOWS/system32/svchost.exe
ccfc400f3305a61cbd8ad2a6f5671e4b /c/WINDOWS/system32/svchost.exe

<% http://file.ikaka.com/ %>

带毛兔子是什么啊？

哦
是不是虚拟光驱？

为什么每次启动都要改变名字呢

Daemon Tools