我以前跟的记不太清了，好象是查找
CreateProcessA/ShellExecuteA
会有一个sub 专门处理copyso

跟后的结果就是找
E8-9C FC FF FF 83 C4 04 33 C0
将
E8-9C FC FF FF
换成
90 90 90 90 90

谢谢 醉狐 。
已解决了。但又出现新问题。再请教请教

输入法界面上仍残留一些有关COPYSO的提示：
如1-所示：而且其显示内容是变化的
如2-所示：鼠标移动到该位置时，会显示如2-所示的提示。


请问这些怎么才能去除呢？

谢谢 谢谢！

去掉自动安装Copyso

0040248C  |.  E8 08F30300   call wnwb.00441799
00402491  |.  E8 D10D0400   call wnwb.00443267
00402496  |>  833D C86D4A00>/cmp dword ptr ds:[4A6DC8],0
0040249D  |.  74 3D         |je short wnwb.004024DC

0040248C     /EB 4E         jmp short wnwb.004024DC    //改。。。。。。。。。。。。。
0040248E     |90            nop
0040248F     |90            nop
00402490     |90            nop

去掉自动运行selectso.exe
00401C81  |.  68 347A4800   push wnwb.00487A34                                                     ; |Key = "run_selectso"
00401C86  |.  68 447A4800   push wnwb.00487A44                                                     ; |Section = "Option"
00401C8B  |.  FF15 2CD24700 call dword ptr ds:[<&KERNEL32.GetPrivateProfileIntA>]                  ; \GetPrivateProfileIntA
00401C91  |.  A3 946D4A00   mov dword ptr ds:[4A6D94],eax
00401C96  |.  833D 946D4A00>cmp dword ptr ds:[4A6D94],1
00401C9D  |.  0F85 B0000000 jnz wnwb.00401D53

00401C81  |.  68 347A4800   push wnwb.00487A34                                                     ; |Key = "run_selectso"
00401C86  |.  68 447A4800   push wnwb.00487A44                                                     ; |Section = "Option"
00401C8B  |.  FF15 2CD24700 call dword ptr ds:[<&KERNEL32.GetPrivateProfileIntA>]                  ; \GetPrivateProfileIntA
00401C91  |.  A3 946D4A00   mov dword ptr ds:[4A6D94],eax
00401C96  |.  833D 946D4A00>cmp dword ptr ds:[4A6D94],1
00401C9D      E9 B1000000   jmp wnwb.00401D53      //改。。。。。。。。。。。。。
00401CA2      90            nop

去搜索功能。。。
00442735  /$  55                    push ebp
//改：C3  retn