一、个人情况

        前段时间，我的电脑不知道为什么突然中病毒。症状包括：后台自动静默安装“小鸟壁纸”、“贪玩蓝月”、“全能文本编辑器”等一大批不需要的软件，甚至还会“贴心”地替我下载爱奇艺、腾讯视频等常用程序。

        在经过初步的手动卸载和杀毒后，仍然有一些顽固的病毒留下来了。最令人头疼的有两点：

• 弹窗广告：每次开机，屏幕右上角都会弹出无法追踪来源的广告窗口。即便只是点击“关闭”按钮，也会触发一个软件的自动下载与安装。
• 文件关联被劫持：这是最顽固的后遗症。系统的默认打开方式被恶意锁定，无法正常修改：文本文件（.txt）被强制用“全能文本编辑器”打开、压缩包文件因关联程序错误而无法识别。任何修改默认程序的尝试都会在之后被自动重置回病毒软件。

        其中对我影响最严重的是文本编辑器的篡改，导致我在打开vivado的时候直接显示“Failed to launch 'D:\Xilinx\Vivado\2021.1\bin\vivado.bat'，并且与vivado关联的软件全都打不开。原因在可直接跳转3.3节。
        目前，通过一系列深入的排查和修复，上述问题已基本得到解决。留存一些经验如下，希望能帮助到有类似遭遇的朋友。

---

二、 根源避免

        【首先】从根源上避免，尽量不要在浏览器下载软件，包括任何应用程序和专业软件的某某链接等。如果有在浏览器上下载软件的习惯，尽量注意鉴别地址是否是官网。很多时候搜索出来看起来像官网，实际仔细看地址，并非官网域名，这种很有可能会带来病毒隐患。

---

三、 解决办法

3.1初步解决与防护

1. 可以先下载一个病毒查杀工具，推荐我常用的软件【电脑管家】，综合用下来，个人认为电脑管家性能最好，一些普通的病毒都能解决掉。也可以下载自己常用的安全软件，进行一遍初步杀毒、防护与软件卸载。
2. 如果还有一些没有卸载掉的顽固病毒，打开任务管理器，浏览当前的应用和进程，观察有没有可以项目。点击可疑项目，右键打开文件位置，直接全部卸载与删除。
3. 对于被恶意更改的默认打开方式，这里以文本编辑器为例，右键单击打开文件<属性> ，然后点击<更改>，选择要打开的默认方式。选好以后再点<应用>和<确定>。其他所有软件默认更改方式都可以用这个办法。

图1 更改默认打开方式

        对于一般的情况可能就已经OK了，但我试了所有其他方法，都没有成功，每次还是会默认用“全能文本编辑器”打开。并且此时我已经经过全面的杀毒，电脑上也没有“全能文本编辑器”这个应用。此时就需要进行注册表的修改。

3.2注册表编辑

‼️【重要提示】  注册表修改有风险，如果对电脑实在是一窍不通，不建议自己瞎鼓捣注册表。

        如果有一些基本的电脑知识，并且也是文本编辑器被篡改了，可以根据以下步骤来：

1. 首先，可以借一个没有问题的电脑，在检查和修改通用软件的注册表时，和没有问题的电脑一 一对应，防止出错。
2. 其次，做好注册表备份。按 Win + R，输入 regedit 并按回车，打开注册表编辑器。点击左上角【文件】>【导出】，选择一个位置，保存一个完整的注册表备份。（这步一定要做！）
3. 注册表打开如下图2所示，图2红色框内是地址栏。如果注册表打开左侧内容显示不完整，可以拉中间的比例线，让左侧更宽一点就OK了。

   

   图2 注册表界面
4. 在注册表编辑器的地址栏中，直接粘贴以下路径并按回车：HKEY_CLASSES_ROOT\.txt。
5. 确保选中了 .txt 文件夹，然后看右侧的“默认”值的数据是什么。它可能是一个奇怪的名字，比如 XXXXFile。正常情况下，它应该是 txtfile。
6. 先不要修改它，记下你的默认名字（我的是txtflielegacy),在地址栏粘贴以下路径：HKEY_CLASSES_ROOT\txtfile\shell\open\txtflielegacy
7. 选中左侧的 command 文件夹，然后在右侧双击 (默认) 字符串值。将其“数值数据”修改为以下内容：%SystemRoot%\system32\NOTEPAD.EXE %1
8. 关闭注册表编辑器，重启电脑，应该就OK了。

图3.txt默认数据

---

       但是，如果上述第6步输入这个“HKEY_CLASSES_ROOT\txtfile\shell\open\txtflielegacy'没有打开任何文件，说明病毒并没有创建一个完整的关联链，它只是篡改了指向，指向了一个不完整或无效的注册表项。

        此时，在注册表页面按”Ctrl + F“，在弹出的框内搜索”全能文本编辑器“，或者你的对应恶意软件名称。如果搜不出来，就只输入部分关键词、或者把软件名称翻译成英文，输入部分英文关键词，增加搜到的几率。我的搜索结果如下：

        如图所示，我的editor.xx下的<shell>-<open>内的FriendlyAppName数据几乎都是全能文本编辑器。说明这里显示的所有后缀文件类型的打开方式都被纂改了。

        FriendlyAppName 是 Windows 用来在"打开方式"对话框中显示的程序友好名称。这个设置的意思是在"打开方式"列表中显示为"全能文本编辑器"。

        我直接将editor.txt整个文件删除，然后重启电脑，再打开重新设置默认方式，就OK了。

3.3vivado问题

        回到前面的vivado因此打不开的问题，就是因为editor.bat文件夹下面默认数据也是全能文本编辑，但我全能文本编辑器已经被卸载了，所以打开vivado时，程序找不到.bat的打开方式。这时候，把editor.bat文件全部删除，再重新设置以下默认数据为<%1" %*>，即可成功打开vivado 。