流氓软件解决方法及防范zz

tonyboy

编辑这个帖子的目的是 让大家能够自己解决 ie浏览器弹出广告及其他因中招流氓软件，导致电脑使用中出现的各种问题
9 k: @  b( F; z0 R  G一、清除方法
* F8 m6 i+ A3 c! r- V二、如何防范流氓软件及几款免费防间谍软件
$ ]! v; O3 Q' \5 N三、hijackthis和SREng中常见修复项
' g* P; n  s) W) m) j" {) `
; w8 q  w; B8 X一、清除方法
第一步  添加删除程序里卸载（有些不提供卸载或者卸载不完全）
4 F  k" `5 G5 X5 l    MMSAssist、winstdup、酷站导航、RichMedia、很棒小秘书、桌面传媒、桌面媒体、划词搜索、网络猪、青娱乐、搜搜地址栏搜索、中文上网、中文邮、网络实名、上网助手、雅虎助手

! H4 g" R: X$ Q- M0 w第二步  使用软件
/ ?  }+ w8 n; Y7 A1、恶意软件清理助手 & 超级兔子 & Windows清理助手 & 360安全卫士
    以上几个软件，基本可以清除大部分常见流氓软件，几点说明
    （1）软件定期更新 注意升级 另不能清除的 安全模式下 清理
6 F$ H3 S( p( s) [6 P    （2）超级兔子功能只推荐 超级兔子清理王 专业卸载 功能
3 S- x# T# e6 l- g% j/ P    （3）清理前先备份注册表，虽然出现问题的人极少。这一步操作自己选择吧，方法见版内置底的 常用方法
5 K4 }% c' R; X: u5 }
恶意软件清理助手(绿色软件，最好安全模式下操作，本软件定期更新，注意升级）
http://www.tommsoft.com/Products.aspx?pid=2
9 {7 }' D* W& b+ j. n) u4 @$ b0 f9 P附件1  恶意软件清理助手(版本2.19 2006-10-13)
% p+ q' i, v  f' q# B) U( h7 h8 d超级兔子（主界面-->超级兔子清理王-->专业卸载，7.55a版开始有免安装版)
+ ?; _! O6 L4 s/ n% k/ Y附件2  超级兔子(版本7.85 2006-10-11) 附件是 超级兔子清理王，免安装版
& o1 L+ a# m0 V; phttp://www.pctutu.com/download.asp（超级兔子，安装版）
. i$ w: x9 r" m' e. q5 khttp://download5.pctutu.com/soft/magicset785.zip（超级兔子，免安装版）
; k' O% m- m; h0 X" V" Jhttp://download5.pctutu.com/soft/winspeed785.zip（超级兔子清理王，免安装版）
  s' f/ j2 |7 iWindows清理助手
  I4 I: P" Q% J* U- Yhttp://www.arswp.com/
$ c2 H# J+ r# g4 R1 z( Z/ v360安全卫士
, I7 V' W) H( Y6 O; y! a* ^http://www.360safe.com/

) l  n: h- Y. I/ j# R/ u4 o2、hijackthis & SREng
& L3 z/ C. ^6 v# r. Q8 u    用hijackthi或者SREng找出问题项修复,这2个软件的用法见置底

第三步  手动操作
    对于前边操作都无法删除的,进控制台或者第三方软件启动（需要能访问ntfs）删除相应文件

- O7 g! h" C  u二、如何防范流氓软件及防间谍软件
1、如何防范流氓软件
+ s' W, ~1 z* x7 X    （1）操作系统及ie打好补丁
3 U6 ~/ r* z9 ?0 t6 x  U    （2）安装防病毒及防间谍软件
    （3）上网养成好习惯，不去不知名网站
, v' d5 s- D5 a    （4）不要随意安装共享软件、免费软件、汉化软件

2、防间谍软件（后2个为微软推荐的防间谍软件）
    目前很多杀毒软件都集成了防间谍组件，如诺顿2006、卡巴6、mcafee8（需要单独安装）等，以下几个软件是免费的防间谍软件。
（1）Windows Defender（微软开发的防间谍软件）
0 [# {: |4 ~: M$ e下载地址
4 T  B1 q" w% T' C, X( Whttp://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=en&SrcCategoryId=&SrcFamilyId=435BFCE7-DA2B-4A6A-AFA4-F7F14E605A0D&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2fe%2fd%2f0%2fed099d5e-dc60-4740-8747-1c72f053b800%2fWindowsDefender.msi
( z( [, C( z5 \/ b6 a* j
7 e7 T0 D$ N$ u（2）Ad-Aware SE
下载地址:
http://www.lavasoft.de/ms/index.htm
& J) C' \9 _9 s! z; j5 P9 M
（3）Spybot Search & Destroy (S&D)
下载地址
http://www.safer-networking.org/microsoft.en.html

三、hijackthis和SREng中常见修复项
1、hijackthis
. D8 Z; ~+ m& S' N如何使用该软件参见置底 以下列出常见需要修复的项
: Y' I8 y0 O$ ^. b7 N; H! o; }/ _+ }
6 A8 z* ~2 o4 I' `; Y2 U$ VF2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\ .exe
（此项删除文件 C:\WINDOWS\ .exe）
F3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe

/ q! A  b" z& l9 T2 CO2 - BHO: AdFilter - {8F8B1318-72FE-412F-9FE3-9CF15B631575} - C:\WINDOWS\system32\AdFilter.dll
+ J4 \9 x/ B/ S& I2 [O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC.dll
) s, t# n+ }$ {" o" ]1 |! DO2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC32.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC64.dll
( Y" E2 n+ q9 Q6 ~" t' H& oO2 - BHO: ltmenu Class - {78C21EFD-53BA-406C-AF1A-33A38ABD3958} - C:\Program Files\LtUcx\1002\c0.dll
O2 - BHO: BHelper - {8A4280AD-9B37-4922-A51D-73F3C3A32AF7} - C:\WINDOWS\system32\msibm\cfsbho.dll
O2 - BHO: URLMonitor Class - {3ED9FFDA-79DB-4B2D-99B7-16EA3C4A3A92} - C:\WINDOWS\system32\hap.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\hbhelper.dll
O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application
: }) l7 n2 L; [. q) WData\Microsoft\IEHelper\IEHelper200638_8576.dll
: M+ A+ Z# v+ [9 B（IEHelper****.dll都是 这个名字有变化）
1 _( `" b/ `/ O# h5 O% C1 \O2 - BHO: MacroMediapd - {B8CCDD47-38E4-4CD2-B7FA-3B4B690F74BD} - C:\WINDOWS\system32\microapmddt.dll
! M! ?. g( f" x! M; I3 QO2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
8 T: P3 H# X4 N3 h8 sO2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
1 Q; ]: S. N8 P0 h" i% y% ^O2 - BHO: IEHlprObj Class - {BA623AA0-9A82-4d0c-944C-0228CEA17780} - C:\Progra~1\Messenger\netshow.dll
O2 - BHO: IEHlprObj Class - {F5B3ECED-9BF3-4f7e-882B-A6E75343C499} - C:\Progra~1\NetMeeting\netinit.dll
. j$ \8 r  j& ?) AO2 - BHO: IEHlprObj Class - {999ADFA2-8AD1-47ff-97FC-69FB847458F4} -  C:\Progra~1\NetMeeting\nmview.dll
2 D, f, p, @4 I/ n4 I: {, H8 lO2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
O2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
O2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\qylhelper.dll
9 {5 t8 m5 }6 q! [- P+ Q  oO2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
O2 - BHO: WebMiscItem Class - {3CD4296F-6CC3-11D9-B888-000C299AA719} - C:\WINDOWS\system32\WebMisc.dll
: S1 p; [! n5 [( R% x$ G9 N) C. ]) UO2 - BHO: BrowserHelper Class - {2D99E8F4-56B7-457B-9A92-61B5D247D263} - C:\WINDOWS\system32\WinDefendor.dll
O2 - BHO: DownloadValue Class - {616D4040-5712-4F0F-BCF1-5C6420A99E14} - C:\WINDOWS\system32\winhtp.dll
+ U+ `! t! q- v9 yO2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll

O3 - IE工具栏增项: 系统标准按钮(&E) - {6B2455FD-3669-4555-8DF8-69FD5BC846F8} -
C:\WINDOWS\system32\SystemToolbar.dll
6 B# h6 n2 y  Q9 p1 l
O4 - 启动项HKLM\\Run: [SCIntruder.dll] RUNDLL32.EXE C:\WINDOWS\system32\AdvSC.dll,Service                                       
8 o" c$ A2 _7 M; D1 zO4 - 启动项HKLM\\Run: [mscfs] RUNDLL32 C:\WINDOWS\system32\msibm\cfsys.dll,cfs
9 C! N% S: h' v( t4 W( |O4 - 启动项HKLM\\Run: [RichMedia] C:\WINDOWS\system32\Rundll32.exe "C:\PROGRA~1\HBClient\hbhelper.dll",WaitWindows
O4 - HKCU\..\Run: [LetsCool] C:\Program Files\LetsCool\LetsCool.exe
O4 - 启动项HKLM\\Run: [res] C:\WINDOWS\system32\res.exe
O4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
6 `2 y% i' N) ZO4 - 启动项HKLM\\Run: [supdate2.dll] RUNDLL32.EXE C:\WINDOWS\system32\supdate2.dll,Run
! W+ a% z. V" V" uO4 - 启动项HKLM\\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
- E8 h* I1 I) @3 fO4 - Global Startup: IE-BAR.lnk = ?
/ }  {/ r4 D! g& p3 B4 i
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
& h* P  j) B0 ~, x2 A+ f) ZO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System,
% X2 h/ }7 _9 l& F6 Q8 m/ p. l; [DisableRegedit=1
+ x- d+ `9 N" T  t: q
O8 - IE右键菜单中的新增项目:   >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
O9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O9 - 浏览器额外的“工具”菜单项: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
: p; T# A: x3 v$ h: Z
O18 - Filter: text/html - {E7009873-0D40-45B1-8D59-5B9AE98C7D38} - C:\Program Files\Internet Explorer\Connection Wizard\icwnet.dll

O21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} -
C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -
C:\WINDOWS\SYSTEM32\stdup.dll
O21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} -
C:\PROGRA~1\winkld\winkld.dll

5 O' ^% n6 g1 M0 {6 l: S% EO23 - NT 服务: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
O23 - NT 服务: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
O23 - NT 服务: Windows Print Controller (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\SAND\qqfacerclient.exe
8 i! J& Q+ o8 S( v; |O23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:\Program Files\Common Files\smartde\sde.exe
' s, u3 A, |. {O23 - NT 服务: VIPTray - Unknown owner - C:\WINDOWS\System32\VIPTray.exe
O23 - NT 服务: WinWrCup - MsWinCup - D:\WINDOWS\wincup\wincup.exe
% r" x4 G8 l* h* ^
2、SREng
如何使用该软件参见置底 以下列出常见需要修复的项

注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
+ v. L( D3 A5 a- `  D/ O  R! X    <load><C:\windows\system32\wincfgs.exe>  []

6 C7 Z% K- n2 a9 q  Y4 b[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
\Run]
    <SoundMix><rundll32.exe C:\WINDOWS\system32\soundmix.dll,Load>  []
    <CheckFaultKernel><C:\WINDOWS\system32\mswdm.exe>  []

2 J* Q. {3 L" o" B+ E[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <Userinit><C:\WINNT\System32\userinit.exe,C:\WINNT\System32\cmmon.exe>  []
    <Userinit><userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\eklc.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\bcdffc.exe>  []
" v( N: z" e! `# k（这个 crypto文件夹下的几个文件会改变名字 通常还有一个 Microsoft Corporation属性的BHO
[IEHlprObj Class]
  {D424FE4E-CAF9-4fdd-BC5F-E6E6B91D53BF} <C:\Progra~1\NetMeeting\conf.dll, Microsoft Corporation>）

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{B48F6409-4740-475B-A474-651F54CCE460}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll>  []
    <{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}><C:\WINDOWS\DOWNLO~1\BDPlugin.dll>[]
    <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><C:\WINDOWS\DOWNLO~1\CnsHook.dll>[北京三七二一科技有限公司]
% M5 |# j: y" C4 v/ G& u
" h# q- i0 Z: A3 m! f( Y[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
, h" q3 J# K8 G% q" a    <{af3fd9a8-1287-4159-9212-9a5b4494af70}><C:\WINDOWS\system32\guxxa.dll>  []
  L" @' ~8 c& z2 y5 Y* _( d
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
. _  Y3 T& |2 R! F( E* @2 Z4 W    <Vision><C:\PROGRA~1\MMSASS~1\Mmsass~1.dll>  []
6 b; a4 [. m  N3 g0 ^    <DLMon><C:\WINDOWS\System32\DLMain.dll>  []

服务
1 h7 j1 K1 H9 y4 C; b[Internet Protect Service / lDOMANE]
! @' V$ J: n3 o# l. U! p$ T  X  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export 1087><N/A>
[Internet Protect Service / BKMARKS]
; L$ G1 q) }3 q9 H! w0 x$ ]  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
6 n& I! [9 W; p8 c% \1087><N/A>
[Performance Moniter / BARCASE]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
[JMediaService / JMediaService]
  <C:\WINNT\system32\rundll32.exe C:\PROGRA~1\MMSASS~1\MMSSVER.DLL,Service><N/A>
# B/ f6 L- r. g( u$ z[StdService / StdService]
0 B; u* y' [2 E  |, J' ?  <C:\WINNT\system32\rundll32.exe C:\WINNT\System32\STDSVER.DLL,Service><N/A>
[VIPTray / VIPTray]
; h6 Y' t- H0 L6 u2 L7 P9 Z9 y; ?0 M2 {; R  <C:\WINDOWS\System32\VIPTray.exe><N/A>
3 [5 i) Z9 h, q" @: k$ h[WinWrCup / WinWrCup]
# Q; E3 q" ?- G0 `  <C:\WINNT\wincup\wincup.exe -R><MsWinCup>
& o& z; n5 L' O7 m[WinKld / WinKld]
' L8 D) H4 e8 u4 q  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\winkld\winkld.dll",Run -r><N/A>
# x& K' y/ k& m& U[wint / wint]
/ i  W3 ^( Y$ ^  }  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\wint\wint.dll",Run -r><N/A>
4 S$ W, b* _* B0 K# Z[WinkldUP / WinkldUP]
( e: r8 `: e" Z7 d9 d1 X  <C:\DOCUME~1\wq\LOCALS~1\Temp\wz\wz.exe -R><N/A>
[XDownloadService / XDownloadService]
$ }" i: l7 P  a, [! D" r  <C:\WINDOWS\system32\Rundll32.exe "C:\WINDOWS\Downloader.dll",Run><N/A>

" M* v% R1 K) u1 ~) L7 D, ]6 j- i浏览器加载项
[NetAccelerate Class]
: p# C, C4 s2 u) `% `# k8 v  {5673A7C0-95CC-4646-BB07-3BD71234CEF9} <C:\WINDOWS\system32\wuwebex.dll,
" }* l, [9 h6 x6 T9 }$ J3 H9 _Microsoft Corporation>

armymanuse

顶一下……

rulingdanny

支持实用的帖子