Windows登录进程，Windows NT用户登录程序，管理用户登录和注销。该进程的正常路径应该是C:\Windows\System32，并以系统用户身份运行。如果不是上面的路径，没有以系统用户身份运行，可能是W32。Netsky.D@mm蠕虫，通过邮件传播，打开病毒发送的附件就会被感染。
文件信息
软件大小：267KB
软件星级：2.5
语言：简体中文
发行人：主页
软件类别：国产软件
软件许可证：免费版本
更新时间：2010-02-0814:35:36
应用程序：9x/XP/2K/Vista[1]
msdtc
进程文件：winlogon或winlogon.exe
进程名称：Microsoft Windows登录进程
描述：
该病毒会在受害者的电脑上创建SMTP引擎，并发送大量电子邮件进行传播。要手动清除病毒，首先要结束病毒进程winlogon.exe，然后删除C:\Windows目录下的winlogon.exe、winlogon.dll、winlogon_hook.dll和winlogonkey.dll的文件。然后清除AOL instant messenger 7.0服务，aol7.0键位于注册表【HKEY _本地_机器\系统\当前控制集\服务】。
由微软公司生产
属于：微软视窗操作系统
流程：是
后台程序：是
使用网络：否
硬件相关：否
常见错误：目前未知。
内存使用情况：目前未知。
安全级别(0-5): 0
间谍软件：否
广告软件：没有
病毒：没有。
木马：没有。
检查Winlogon.exe是否正常。
因为Winlogon.exe是启动系统的必经过程，非常重要，所以目前很多木马都盯上了它！比如国内有个木马叫PcShare。当你感染它时，它会自动将自己的进程插入Winlogon.exe进程。将来一旦启动系统，PcShare就会和Winlogon.exe一起运行，可以逃过大部分网络防火墙的拦截。
因为Winlogon.exe特别容易感染病毒和木马，所以有必要注意Winlogon.exe是否被感染。那么如何检查Winlogon.exe是否正常呢？建议您从以下几点进行调查：
检查Winlogon.exe的名称和路径。
像其他系统流程(如SMSS.EXE、LSASS.EXE、CSRSS.EXE等。)，Winlogon.exe的名字不区分大小写。如果你在任务管理器中发现Winlogon.exe有时大写，有时小写，这是正常的！但是，你要仔细检查它名字中的‘O’是字母O还是数字0。如果是数字0，Winlog0n.exe一定是病毒！
其次，检查Winlogon.exe所在的路径。普通Winlogon.exe应该位于C:\Windows\System32目录中，并以系统用户身份运行。如果你在任务管理器中发现它以非系统用户的身份运行，或者它的路径是%Windows%，那么这个Winlogon.exe一定也感染了病毒！
Winlogon.exe不会自动要求连接到网络。
Winlogon.exe是一个本地进程，所以它永远不会自动要求连接到网络！如果你启动TCPView2.4，[2]你发现进程列表中有一个Winlogon.exe进程打开了端口监听并请求连接网络，那么这个Winlogon.exe一定是被木马劫持了，应该尽快清除。
此外，我建议你运行软件自动运行，然后选择Winlogon.exe，检查它启动哪些文件。正常情况下，Winlogon.exe应该启动一个执行文件logonui.exe和六个dll文件。具体名称如下。如果不是这些文件，那就很可疑了！
景案
最近，一种名为“落雪”的病毒出现了。这种病毒非常厉害，可以摧毁木马，让它无法正常运行。用VB编程语言编写，北斗外壳处理。木马文件图标一般是红色图案，伪装成网络游戏的刻录机。病毒运行后，在c盘和windows目录下的程序文件中生成了winlogon.exe、regedit.com等14个病毒文件，病毒文件数量之少实属罕见。其实这14个文件名不同的病毒文件是同一个文件，‘落雪’这个名字也可能来源于此。这个木马的另一个伎俩是创建一个名为winlogon.exe的进程，并将其路径指向c:\windows\winlogon.exe(正常的系统进程路径是C:\ windows \ system32 \ winlogon . exe)，以此来迷惑用户。
不可或缺的Winlogon
悟空问：‘教授，我们今天研究的是哪一个过程？’谭教授：‘悟空，你每天启动操作系统的时候，有没有想过哪些进程与系统的启动有关？’看着悟空搔着耳朵和脸颊，谭教授知道他一定没有注意到，于是他说：‘今天，让我们来解释一下——Winlogon.exe与系统启动有关的这个过程。'
小知识：Winlogon.exe是一个Windows NT登录管理器。用于处理用户系统的登录和登录过程，管理用户的登录和注销。当用户按Ctrl Alt Del时，Winlogon被激活，并显示一个安全对话框。这个过程在用户系统中的作用非常重要。
经常玩游戏的八戒看了前面的介绍后说，‘经过这些研究，我发现这些高危进程经常被病毒、木马、后门利用。特洛伊木马文件名被模拟为正常的系统工具名，但文件扩展名被更改为“”。' com '“为什么会这样，”
谭教授解释说：“这是因为windows操作系统执行的功能。com文件的优先级高于。exe文件。例如，特洛伊木马被命名为Regedit.com。当用户调用注册表编辑器Regedit.exe时，他们通常会输入Regedit，但执行的不是微软的Regedit.exe程序，而是特洛伊木马文件Regedit.com。由此可见，木马作者是有‘良苦用心’的。”
悟空马上接过来：‘难怪注册表加密后，人们把Regedit.com改成Regedit.com就可以解密了。’谭教授对悟空的表现非常满意。
悟空忽然又挠了挠头，道：‘通过前面的讲解，我已经知道一点这些病毒和木马是如何迷惑用户的了。那么除了用相似的名字，改变原有的路径以假乱真之外，经常听网友说进程名也可以通过它的大小写来区分吗？’
这个我也经常听说，但是我觉得这样区分不太科学，因为进程名的大小写是由文件名的大小写决定的。谭教授解释道。
