工程的目录如下：
E:\MyProject
 |- build
 |  |- classes
 |  |  |- app
 |  |     |- Main.class
 |  |- test
 |  |  |- app
 |        |- MainTest.class
 |
 |- src
 |  |- app
 |     |- Main.java
 |
 |- test
 |  |- app
 |     |- Main.Test.java
 |
 |- lib
 |  |- commons-lang-2.4.jar
 |
 |- conf
 |  |- default.properties
 |
 |- build.xml

build.xml部分内容如下：
<?xml version="1.0"?>

<project name="myproject" default="test" basedir=".">
  <property name="build.dir" value="build"/>
  <property name="src" value="src"/>
  <property name="test.src" value="test"/>
  <property name="lib.dir" value="lib"/>
  <property name="conf.dir" value="conf"/>

  <path id="lib.path">
    <fileset dir="${lib.dir}">
      <include name="**/*.jar"/>
    </fileset>
  </path>
 
  <path id="run.classpath">
    <pathelement location="${build.dir}/classes"/>
    <pathelement location="${conf.dir}"/> <!-- 已经添加了conf目录 -->
    <path refid="lib.path"/>
  </path>
 
  <!-- 测试default.properties是否存在 -->
  <available property="have.conf" resource="default.properties">
    <classpath refid="run.classpath"/>
  </available>
 
  <!-- 运行ant echo时，返回have.conf: true，证明可以找到文件 -->
  <target name="echo">
    <echo message="have.conf: ${have.conf}"/>
  </target>
 
  <!-- 运行ant run时，ClassLoader.getSystemResource("default.properties")返回却为null -->
  <target name="run" depends="compile">
    <java classname="app.Main">
      <classpath refid="run.classpath"/>
    </java>
  </target>
</project>

该木马一共有三个文件，分别是：
C:\WINNT\System32\LOADHW.EXE
C:\WINNT\System32\msitinit.dll
C:\WINNT\System32\drivers\npf.sys

LOADHW.EXE是一个安装文件，在会把自己注册在：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
如果它被删除掉，并不影响木马的运行，只是在开机时会报该文件不存在。

msitinit.dll是常驻内存的，但注册表中并没有记录它（很狡猾）。

npf.sys注册为一个服务程序，且在“控制面板->管理工具->服务”中看不到，要在注册表中才能看到：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Npf
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NTF
它负责在启动时将msitinit.dll调入内存，以及一些其它操作。

用WinPatrol软件中CAT将这三个文件都列入黑名单（不然msitinit.dll会在开机时驻进内存而无法删除），重启电脑，删除这些文件和相应的注册表记录，病毒就给删除了。

虽然病毒删除了，但也在注册表中留下了很多的垃圾键值，且我还不知道删除这些键值会不会对系统有什么影响，所以一直没有敢冒然清理：
例如，在Npf的注册项里有一个ClassGUID={8ECC055D-047F-11DI-A537-0000F8753ED1}
有不少地方都有对它的引用。另外，如果你用UltraEdit打开npf.sys，其中一部分是乱码，还有一部分可识别的文本中就有一些注册表键值，我也不清楚能否删除它们，所以只好保留着。

反正，与病毒的对抗中，永远不可能成为赢家！

后来我加了一根内存条，在运行Eclipse时经常在显示启动画面（初始化）时，跳出一个对话框报错：
  Eclipse: JVM terminated Exit code = 1
  C:\WINNT\system32\javaw.exe
  -Xms40m
  -Xmx256m
  -jar D:\eclipse\startup.jar
  -os win32
  -ws win32
  -arch x86
  -launcher D:\eclipse\eclipse.exe
  -name Eclipse
  -show splash 600
  -exitdata 784_90
  -vm C:\WINNT\system32\javaw.exe
  -vmargs
  -Xms40m
  -Xmx256m
  -jar D:\eclipse\startup.jar

随后，或者Eclipse自动退出；或者无法关闭启动画面，就死在那儿了，只能手动杀掉其进程。

并且有时候能成功启动Eclipse，但使用没一会儿又会报上面的错误，然后自动退出。

一开始，我以为是新加的内存不兼容，但运行其它程序都很好，唯独Eclipse不好用。于是，我开始检查与Eclipse相关的软件。先重装Eclipse和Tomcat，问题还是存在。因为报错的好象主要是C:\WINNT\system32\javaw.exe调用D:\eclipse\startup.jar出问题，最后我怀疑有可能是J2SE出问题了，重装J2SE，呵呵，好象问题解决了，用了一个小时左右的Eclipse，还没有报错。

但我有一点不明白，增加内存与J2SE有什么关系呢？