在win.ini文件中，在[WINDOWS]下面，“run=”和“load=”是可能加載“***”程序的途徑，必須仔細留心它們。一般情況下，它們的等號後面什麼都沒有，如果發現後面跟有路徑與文件名不是你熟悉的啓動文件，你的計算機就可能中上“***”了。當然你也得看清楚，因爲好多“***”，如“AOL Trojan***”，它把自身僞裝成command.exe文件，如果不注意可能不會發現它不是真正的系統啓動文件。
在system.ini文件中，在[BOOT]下面有個“shell=文件名”。正確的文件名應該是“explorer.exe”如果不是“explorer.exe”，而是“shell= explorer.exe 程序名”，那麼後面跟着的那個程序就是“***”程序，就是說你已經中“***”了。
在註冊表中的情況最複雜，通過regedit命令打開註冊表編輯器，在點擊至：“HKEY-LOCAL-MACHINE”目錄下，查看鍵值中有沒有自己不熟悉的自動啓動文件，擴展名爲EXE，這裏切記：有的“***”程序生成的文件很像系統自身文件，想通過僞裝矇混過關，如“Acid Battery v1.0***”，它將註冊表“HKEY-LOCAL-MACHINE”下的 Explorer 鍵值改爲Explorer=“C:.exe”，“***”程序與真正的Explorer之間只有“i”與“l”的差別。當然在註冊表中還有很多地方都可以隱藏“***”程序，如：“HKEY-CURRENT-USER”、“HKEY-USERS\u65290***”的目錄下都有可能，最好的辦法就是在“HKEY-LOCAL-MACHINE”下找到“***”程序的文件名，再在整個註冊表中搜索即可。
知道了“***”的工作原理，查殺“***”就變得很容易，如果發現有“***”存在，最安全也是最有效的方法就是馬上將計算機與網絡斷開，防止***通過網絡對你進行***。然後編輯win.ini文件，將[WINDOWS]下面，“run=“***”程序”或“load=“***”程序”更改爲“run=”和“load=”;編輯system.ini文件，將[BOOT]下面的“shell=‘***’文件”，更改爲：“shell=explorer.exe”;在註冊表中，用regedit對註冊表進行編輯，先在“HKEY-LOCAL-MACHINE”下找到“***”程序的文件名，再在整個註冊表中搜索並替換掉“***”程序，有時候還需注意的是：有的“***”程序並不是直接將HKEY-LOCAL-MACHINE”下的“***”鍵值刪除就行了，因爲有的“***”如：BladeRunner“***”，如果你刪除它，“***”會立即自動加上，你需要的是記下“***”的名字與目錄，然後退回到MS-DOS下，找到此“***”文件並刪除掉。重新啓動計算機，然後再到註冊表中將所有“***”文件的鍵值刪除。至此，我們就大功告成了