jwgkvsq.vmx
jwgkvsq.vmx为蠕虫病毒，名称为Net-Worm.Win32.Kido.ih。
中了jwgkvsq.vmx病毒的症状
1、在移动U盘或者移动硬盘上，会形成以下两个隐藏只读文件：
（1）autorun.inf文件，打开后全是乱码，但是在文件的后半部分发现了一些可疑的信息，那就是 shelLExECUte=RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290（和谐）-8240758988（和谐）-879315005-3665 \jwgkvsq.vmx,ahaezedrn
（2）RECYCLER文件夹，它和硬盘上的回收站的文件名只差一个字母，那就是最后一个不是D而是R。在这个文件夹里面还有一个文件夹，名字是S- 5-3-42-2819952290（和谐）-8240758988（和谐）-879315005-3665，再里面是一个关键性的文件：jwgkvsq.vmx。
2、无法查看隐藏文件。
即使在资源管理器的“文件夹选项”－“查看”中，选中“查看所有文件”，也会自动恢复到不显示隐藏文件，修改注册表后，能够显示所有文件，就会在移动 U盘上看到这两个隐藏文件和文件夹。即便删除，那么在下次插上U盘时还会出现这两个文件（主机已感染）。
3、无法给自己的杀毒软件升级，提示网络设置错误等。
4、无法连接到杀毒网站。
5、无法使用“冰刃”这款进程查看和终止软件，一旦启动冰刃电脑立刻重启。
病毒启动的方式主要有几种方式：
1）通过加载到系统启动项，使用户在登录系统时，自动运行该病毒；
2）通过修改系统文件，使系统启动时，自动加载病毒；
3）将病毒加载为驱动程序，让系统在启动时加载并运行该病毒；
4）将病毒注册为系统服务，让系统在启动时加载并运行病毒。
这几种方法中，以第三、四中方法较为隐蔽，也较难处理。
手动清除
1.当优盘插进染毒的电脑后，优盘会自动生成两个文件，autorun.inf和RECYLER文件夹，RECYLER下面是一个回收站图标，再下面一层目录里是jwgkvsq.vmx文件。特点是autorun.inf 文件和jwgkvsq.vmx 的大小都是161k 字节 ，修改时间是安装系统的时间。
2.通过修改注册表的方法，打开查看隐藏文件的选项，在C:WindowsSystem32文件夹下发现一个隐藏的.dll 文件，大小161k ，名字是随机的，特点是只读、隐藏，无法删除，没有微软的备注信息。虽然创建时间和修改时间都是系统安装的时间，但是还是可以一下子找到。用unlock 或者360安全卫士的文件粉碎功能，反注册该dll文件，删除并重启。
3.搜索注册表，就以360检查出的异常服务项目为关键字。搜索到几处，特点是无法删除，因为这几个键值的权限只开放给了System，没有开放给其他用户组，而且System用户组没有修改权限。下面就是针对这几个键值，添加Administrators用户组，并给其修改权限，然后删除这几个键值。
手工完全清除
================================
1.关闭相应svchost.exe卸载%systemroot%\system32\.dll(rnd为随机字母)并删除之。
如何精确锁定被注入的svchost.exe进程ID？
用autoruns查看系统服务，很容易锁定病毒的DLL文件 %systemroot%\system32\.dll (rnd 是随机字母)
执行第3步的第一项操作将ShowAll的CheckValue值设为1后，显示系统、隐藏文件。
打开%systemroot%\system32\找到.dll (rnd 是随机字母)文件用Unlocker解锁时会发现进程ID
解锁Dll，关闭相应进程，删除.dll (rnd 是随机字母)即可。
2.删除"C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content（和谐）IE5"下及下级目录与.dll相同大小的病毒文件。该文件后缀可能是*.bmp,*.gif等。
3.恢复注册表
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL: CheckedValue (设置值为 1 )
HKLM\system\CurrentControlSet\Services\BITS: Start (设置值为 0x00000003 )
HKLM\system\CurrentControlSet\Services\ERSvc: Start (设置值为 0x00000002 )
HKLM\system\CurrentControlSet\Services\wscsvc: Start (设置值为 0x00000002 )
HKLM\system\CurrentControlSet\Services\wuauserv: Start (设置值为 0x00000002 )
打开注册项HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost下的netsvcs值，将病毒注册的服务项 (rnd2 是随机字母)
删除（不要乱删，防止系统崩溃）
删除HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下的病毒服务项 (rnd2 是随机字母)
4.重启，病毒不会再次生成，这样这个毒便算是完全清除了。
注意:若处在局域网环境中，该病毒还会利用MS08-067漏洞主动攻击，所以域中若有其它电脑感染，有可能会重复感染，所以清除时应先断网。清除后应及时打好MS08-067对应补丁 。
jwgkvsq.vmx为蠕虫病毒，名称为Net-Worm.Win32.Kido.ih。
中了jwgkvsq.vmx病毒的症状
1、在移动U盘或者移动硬盘上，会形成以下两个隐藏只读文件：
（1）autorun.inf文件，打开后全是乱码，但是在文件的后半部分发现了一些可疑的信息，那就是 shelLExECUte=RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290（和谐）-8240758988（和谐）-879315005-3665 \jwgkvsq.vmx,ahaezedrn
（2）RECYCLER文件夹，它和硬盘上的回收站的文件名只差一个字母，那就是最后一个不是D而是R。在这个文件夹里面还有一个文件夹，名字是S- 5-3-42-2819952290（和谐）-8240758988（和谐）-879315005-3665，再里面是一个关键性的文件：jwgkvsq.vmx。
2、无法查看隐藏文件。
即使在资源管理器的“文件夹选项”－“查看”中，选中“查看所有文件”，也会自动恢复到不显示隐藏文件，修改注册表后，能够显示所有文件，就会在移动 U盘上看到这两个隐藏文件和文件夹。即便删除，那么在下次插上U盘时还会出现这两个文件（主机已感染）。
3、无法给自己的杀毒软件升级，提示网络设置错误等。
4、无法连接到杀毒网站。
5、无法使用“冰刃”这款进程查看和终止软件，一旦启动冰刃电脑立刻重启。
病毒启动的方式主要有几种方式：
1）通过加载到系统启动项，使用户在登录系统时，自动运行该病毒；
2）通过修改系统文件，使系统启动时，自动加载病毒；
3）将病毒加载为驱动程序，让系统在启动时加载并运行该病毒；
4）将病毒注册为系统服务，让系统在启动时加载并运行病毒。
这几种方法中，以第三、四中方法较为隐蔽，也较难处理。
手动清除
1.当优盘插进染毒的电脑后，优盘会自动生成两个文件，autorun.inf和RECYLER文件夹，RECYLER下面是一个回收站图标，再下面一层目录里是jwgkvsq.vmx文件。特点是autorun.inf 文件和jwgkvsq.vmx 的大小都是161k 字节 ，修改时间是安装系统的时间。
2.通过修改注册表的方法，打开查看隐藏文件的选项，在C:WindowsSystem32文件夹下发现一个隐藏的.dll 文件，大小161k ，名字是随机的，特点是只读、隐藏，无法删除，没有微软的备注信息。虽然创建时间和修改时间都是系统安装的时间，但是还是可以一下子找到。用unlock 或者360安全卫士的文件粉碎功能，反注册该dll文件，删除并重启。
3.搜索注册表，就以360检查出的异常服务项目为关键字。搜索到几处，特点是无法删除，因为这几个键值的权限只开放给了System，没有开放给其他用户组，而且System用户组没有修改权限。下面就是针对这几个键值，添加Administrators用户组，并给其修改权限，然后删除这几个键值。
手工完全清除
================================
1.关闭相应svchost.exe卸载%systemroot%\system32\.dll(rnd为随机字母)并删除之。
如何精确锁定被注入的svchost.exe进程ID？
用autoruns查看系统服务，很容易锁定病毒的DLL文件 %systemroot%\system32\.dll (rnd 是随机字母)
执行第3步的第一项操作将ShowAll的CheckValue值设为1后，显示系统、隐藏文件。
打开%systemroot%\system32\找到.dll (rnd 是随机字母)文件用Unlocker解锁时会发现进程ID
解锁Dll，关闭相应进程，删除.dll (rnd 是随机字母)即可。
2.删除"C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content（和谐）IE5"下及下级目录与.dll相同大小的病毒文件。该文件后缀可能是*.bmp,*.gif等。
3.恢复注册表
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL: CheckedValue (设置值为 1 )
HKLM\system\CurrentControlSet\Services\BITS: Start (设置值为 0x00000003 )
HKLM\system\CurrentControlSet\Services\ERSvc: Start (设置值为 0x00000002 )
HKLM\system\CurrentControlSet\Services\wscsvc: Start (设置值为 0x00000002 )
HKLM\system\CurrentControlSet\Services\wuauserv: Start (设置值为 0x00000002 )
打开注册项HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost下的netsvcs值，将病毒注册的服务项 (rnd2 是随机字母)
删除（不要乱删，防止系统崩溃）
删除HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下的病毒服务项 (rnd2 是随机字母)
4.重启，病毒不会再次生成，这样这个毒便算是完全清除了。
注意:若处在局域网环境中，该病毒还会利用MS08-067漏洞主动攻击，所以域中若有其它电脑感染，有可能会重复感染，所以清除时应先断网。清除后应及时打好MS08-067对应补丁 。
