陕西话起：东方红，太阳升，老汉起床看本本……
话说周六早晨，老汉一扫之前每逢休息日必萎靡赖床之积习，神清气爽地开始了新一天的战斗。翻开我的笔记本一看，嗯？怎么有个叫什么 Kuco 的东东要让我安装？如果没有记错的话，这个玩意儿不是下载音乐用的吗，可是我没有下载它的安装包啊。再仔细一看，惨了，连雅虎助手都起来了，而且，进程列表里还有个 ravmon.exe 很可疑，因为我并没有安装瑞星杀毒软件，另外还有一个 VIPTray.exe 更是眼生的很，想必是我老人家中招了。
先把 Kuco 的安装程序退出，把安装文件删除。把 Ravmon.exe 进程杀掉，把磁盘上的文件删除。在进入临时目录的途中，发现 Documents and Settings\用户名\ 目录下有好几个可执行文件，一看就不是好东西，一并删除。
接下来的活儿老汉有点发憷，就是雅虎助手这个王八蛋，向来是请鬼容易送鬼难，而且会往系统里安装驱动程序，手工清除还真不容易。不过这个王八蛋为了堵天下大众悠悠之口，好歹也算提供了卸载程序，试试看吧。系统的卸载列表里“雅虎助手”与臭名昭著的“网络实命”赫然在目，先卸载雅虎助手，这龟儿子导航到了网页上，仔细看清楚各个选项，卸载。再卸载网络实名。咦，怎么雅虎助手还在啊？再来一遍，乖乖，这回消失了。总听人说雅虎助手是卸载不掉的，老汉怎么总能卸掉啊？建议说卸不掉的人多卸载几回试试。
雅虎助手不见了，心放了一大半，剩下个 VIPTray.exe 还不是小菜。先把进程杀掉，再把文件删除，这孙子，文件都写在 System32 里。我的神啊，不是老汉眼花了吧，怎么又出来了？看来现有的某个进程里一定被注入守护线程了。把 FileMon 拿出来，我倒要看看哪只母鸡在下蛋。晕，瞬间 FileMon 输出无数条记录，看得我老人家眼都花了，看来这一招不怎么好使。到网上查一查吧，看看有没有人遇到过这个丧门星，一看，呵呵，难兄难弟还真不少，而且又有新收获，说 System32 下的 wmpdrm.dll 和 windefendor.dll 也是坏种之列。各位，像我这样的高手看到这两个文件名都不敢轻易动刀子啊，前者像极了媒体播放器的数字版权管理库，后者则与微软新的 Windows Defender 极其相似。下载了一个别人推荐的 KV_VIPTray.exe 的专杀工具试了一下，娘西匹，人家该活蹦乱跳还是活蹦乱跳。
怎么办？老汉念两句咒语先：Calm down, calm down. 你还别说，办法一下子就来了。眼看着这帮丫挺的紧着往系统目录里写东西，嘿嘿，那老汉就给你们来一招绝户计！动手，先创建个受限帐户。再用受限帐户登录之前，又把法宝 Autoruns 祭了出来，看看有没有什么暗藏的机关。不看不知道，一看吓一跳啊，注册表中但凡能启动程序的地方几乎都做了手脚。HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit 里多加了两项，但是很奇怪，找不到对应的文件，删除之；HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 里也加了两项，一个是 ravmon.exe，一个是 system32\spoolsv\spoolsv.exe，奶奶的，伪装的太像系统的打印服务了；而且发现 VIPTray.exe 竟然是个服务程序，还堂而皇之地写着洋洋洒洒的描述信息。
注销当前用户，以受限用户登录。为了防止开图形程序给这帮贼挂钩子的机会，直接起了个命令行窗口。现在权限太低（受限用户嘛），用 runas 命令新建一个命令提示符窗口，当然这次就是用管理员权限了。再次启动 Autoruns，把上述那些相关的项统统死啦死啦地。在命令行上停止 VIPTray 服务，到 System32 下把文件删除，当然 spoolsv\sploosv.exe 也是依葫芦画瓢搞定。小样儿，看你们再出来？！接着收拾 wmpdrm.dll，靠，竟然删不掉！查看一下谁在使用 wmpdrm.dll，结果显示是 explorer.exe，而且这次又有发现，explorer.exe 进程中还有几个陌生的动态库，文件全部位于 System32\msicn 路径下。决不手软，立马把 explorer.exe 咔嚓掉，wmpdrm.dll 倒了霉，再也支持不住我老人家的进攻了。
轮到 msicn 目录了，在命令行下 del msicn /s /q，我倒，又是一个惊喜，人家纹丝不动。procexp 又来救驾了，逐个检查进程，发现 conime.exe、ctfmon.exe、daemon.exe 这三个进程中都加载了该目录下的模块。斩草不除根，春风吹又生，手起刀落，人头委地。这回再 del，哈哈，服帖了！其实中间还有一个插曲，就是 Program Files 下还有一个 DoDoorRSSFinder 的目录也应该删除，篇幅关系，不赘述。
最后再用 procexp 和 autoruns 检查一遍，没有可疑之处了。好，注销此受限用户，以管理员用户登录，观察一下 System32 目录，也没有再生出别的文件来。
再一看表，十点了。两个钟头的战斗以老汉的彻底胜利完美结束。
我终于知道我二哥为什么总是宁可重装系统了……
注：以上均为回忆，非实时记录，可能与史实有出入。