流氓软件解决方法及防范zz

tonyboy

编辑这个帖子的目的是 让大家能够自己解决 ie浏览器弹出广告及其他因中招流氓软件，导致电脑使用中出现的各种问题
一、清除方法
二、如何防范流氓软件及几款免费防间谍软件
. v  h2 b; c, r) |三、hijackthis和SREng中常见修复项

- e$ `6 k- N8 a; a5 O6 L一、清除方法
( h1 s3 g, N& r5 E第一步  添加删除程序里卸载（有些不提供卸载或者卸载不完全）
    MMSAssist、winstdup、酷站导航、RichMedia、很棒小秘书、桌面传媒、桌面媒体、划词搜索、网络猪、青娱乐、搜搜地址栏搜索、中文上网、中文邮、网络实名、上网助手、雅虎助手
8 i5 w' \9 i5 T  R% W
第二步  使用软件
1、恶意软件清理助手 & 超级兔子 & Windows清理助手 & 360安全卫士
    以上几个软件，基本可以清除大部分常见流氓软件，几点说明
0 b; a/ C/ z: K' S4 Y1 j1 q6 t6 {    （1）软件定期更新 注意升级 另不能清除的 安全模式下 清理
! |3 O5 k3 v( m$ @    （2）超级兔子功能只推荐 超级兔子清理王 专业卸载 功能
8 u$ B, |6 B' ^" ]# S6 A  h    （3）清理前先备份注册表，虽然出现问题的人极少。这一步操作自己选择吧，方法见版内置底的 常用方法
9 a7 R& h) [& [4 l! t/ g
恶意软件清理助手(绿色软件，最好安全模式下操作，本软件定期更新，注意升级）
http://www.tommsoft.com/Products.aspx?pid=2
6 C+ ?1 h6 ?% ]附件1  恶意软件清理助手(版本2.19 2006-10-13)
超级兔子（主界面-->超级兔子清理王-->专业卸载，7.55a版开始有免安装版)
9 B7 g: y6 A5 {5 L3 g附件2  超级兔子(版本7.85 2006-10-11) 附件是 超级兔子清理王，免安装版
1 r5 n& T7 e& x# P6 c% [http://www.pctutu.com/download.asp（超级兔子，安装版）
http://download5.pctutu.com/soft/magicset785.zip（超级兔子，免安装版）
, b& V2 h- E9 g' T- A& shttp://download5.pctutu.com/soft/winspeed785.zip（超级兔子清理王，免安装版）
Windows清理助手
0 P/ ?# R2 u# Dhttp://www.arswp.com/
360安全卫士
http://www.360safe.com/

2、hijackthis & SREng
) E% B9 N1 M: `! P/ n    用hijackthi或者SREng找出问题项修复,这2个软件的用法见置底
( J% f4 s; z' e- _4 k
第三步  手动操作
% H6 |; o, i5 z    对于前边操作都无法删除的,进控制台或者第三方软件启动（需要能访问ntfs）删除相应文件
2 a8 y1 ^* a; h# ~
2 X6 U) O; N; t  l7 b( g! y二、如何防范流氓软件及防间谍软件
) J! a. \7 k0 Z# y1、如何防范流氓软件
3 W/ ]4 j3 f( \    （1）操作系统及ie打好补丁
    （2）安装防病毒及防间谍软件
    （3）上网养成好习惯，不去不知名网站
    （4）不要随意安装共享软件、免费软件、汉化软件

7 U' p* |1 C4 O$ O" e2、防间谍软件（后2个为微软推荐的防间谍软件）
8 F0 n& \3 Y- D  ~# [4 T# z    目前很多杀毒软件都集成了防间谍组件，如诺顿2006、卡巴6、mcafee8（需要单独安装）等，以下几个软件是免费的防间谍软件。
: t2 w5 o) n0 }（1）Windows Defender（微软开发的防间谍软件）
下载地址
http://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=en&SrcCategoryId=&SrcFamilyId=435BFCE7-DA2B-4A6A-AFA4-F7F14E605A0D&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2fe%2fd%2f0%2fed099d5e-dc60-4740-8747-1c72f053b800%2fWindowsDefender.msi

（2）Ad-Aware SE
6 N, l" ~( O3 b" F% C$ w5 R# n下载地址:
http://www.lavasoft.de/ms/index.htm
! D' t! A$ d8 R5 _
（3）Spybot Search & Destroy (S&D)
下载地址
4 K7 q+ ?  L" v0 S8 K9 Hhttp://www.safer-networking.org/microsoft.en.html
& ]! y* K/ T# q0 \& q
三、hijackthis和SREng中常见修复项
1、hijackthis
' e5 P9 G( U5 w" K! k. h如何使用该软件参见置底 以下列出常见需要修复的项
  K7 A7 F& v3 j% B+ @& F: d6 x: c/ l  ]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\ .exe
$ C& @* o2 @. \! q* z（此项删除文件 C:\WINDOWS\ .exe）
F3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe

O2 - BHO: AdFilter - {8F8B1318-72FE-412F-9FE3-9CF15B631575} - C:\WINDOWS\system32\AdFilter.dll
3 Y5 i+ I( G, {7 C% X) [O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC.dll
3 Q! s4 Q1 }* X4 t' y0 ~+ gO2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC32.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC64.dll
- i0 n* J" N9 `+ oO2 - BHO: ltmenu Class - {78C21EFD-53BA-406C-AF1A-33A38ABD3958} - C:\Program Files\LtUcx\1002\c0.dll
0 N" ]. x3 I& s. C' ~O2 - BHO: BHelper - {8A4280AD-9B37-4922-A51D-73F3C3A32AF7} - C:\WINDOWS\system32\msibm\cfsbho.dll
O2 - BHO: URLMonitor Class - {3ED9FFDA-79DB-4B2D-99B7-16EA3C4A3A92} - C:\WINDOWS\system32\hap.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\hbhelper.dll
O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application
2 z/ ~2 u1 y7 L/ r5 qData\Microsoft\IEHelper\IEHelper200638_8576.dll
# E; Y9 W3 y* y+ N4 C+ Q（IEHelper****.dll都是 这个名字有变化）
" P( [* W' w: Q( v  H/ mO2 - BHO: MacroMediapd - {B8CCDD47-38E4-4CD2-B7FA-3B4B690F74BD} - C:\WINDOWS\system32\microapmddt.dll
O2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
) A7 r7 q; i0 Y9 cO2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
O2 - BHO: IEHlprObj Class - {BA623AA0-9A82-4d0c-944C-0228CEA17780} - C:\Progra~1\Messenger\netshow.dll
# ^- B0 ]. M, M4 [6 o' y5 \3 ^% s: mO2 - BHO: IEHlprObj Class - {F5B3ECED-9BF3-4f7e-882B-A6E75343C499} - C:\Progra~1\NetMeeting\netinit.dll
0 e% T. Y6 T! O( u: p& VO2 - BHO: IEHlprObj Class - {999ADFA2-8AD1-47ff-97FC-69FB847458F4} -  C:\Progra~1\NetMeeting\nmview.dll
8 O4 Z* y! s7 N, lO2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
O2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
  S- m' x% E" E7 I# iO2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\qylhelper.dll
$ s. }- m1 q7 e8 @1 aO2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
O2 - BHO: WebMiscItem Class - {3CD4296F-6CC3-11D9-B888-000C299AA719} - C:\WINDOWS\system32\WebMisc.dll
O2 - BHO: BrowserHelper Class - {2D99E8F4-56B7-457B-9A92-61B5D247D263} - C:\WINDOWS\system32\WinDefendor.dll
O2 - BHO: DownloadValue Class - {616D4040-5712-4F0F-BCF1-5C6420A99E14} - C:\WINDOWS\system32\winhtp.dll
O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll
: v! o1 C9 d1 y2 \! C" [! N- ^
9 ?4 r6 @: N8 J8 C  q7 mO3 - IE工具栏增项: 系统标准按钮(&E) - {6B2455FD-3669-4555-8DF8-69FD5BC846F8} -
& L! P* i8 F; b9 r1 p* j9 fC:\WINDOWS\system32\SystemToolbar.dll
; I% `  C  @! F% h9 l$ c7 S" z) V
) I; A1 L& b' w$ DO4 - 启动项HKLM\\Run: [SCIntruder.dll] RUNDLL32.EXE C:\WINDOWS\system32\AdvSC.dll,Service                                       
O4 - 启动项HKLM\\Run: [mscfs] RUNDLL32 C:\WINDOWS\system32\msibm\cfsys.dll,cfs
O4 - 启动项HKLM\\Run: [RichMedia] C:\WINDOWS\system32\Rundll32.exe "C:\PROGRA~1\HBClient\hbhelper.dll",WaitWindows
O4 - HKCU\..\Run: [LetsCool] C:\Program Files\LetsCool\LetsCool.exe
O4 - 启动项HKLM\\Run: [res] C:\WINDOWS\system32\res.exe
% O. K" y# `% IO4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
( Q& M* W5 l; X: rO4 - 启动项HKLM\\Run: [supdate2.dll] RUNDLL32.EXE C:\WINDOWS\system32\supdate2.dll,Run
! C2 o# E4 \; V) u4 C( CO4 - 启动项HKLM\\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
O4 - Global Startup: IE-BAR.lnk = ?

$ s5 x2 e$ z8 e& V0 p- ?% U7 g6 DO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
4 e( Y/ C  ^( t; bO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
* l2 H. @. \2 M# A* J( G8 OO7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System,
DisableRegedit=1

1 r& O8 Q/ R2 v) g) o, uO8 - IE右键菜单中的新增项目:   >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
5 U8 H/ \8 S- p/ p/ s( G/ eO9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O9 - 浏览器额外的“工具”菜单项: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll

O18 - Filter: text/html - {E7009873-0D40-45B1-8D59-5B9AE98C7D38} - C:\Program Files\Internet Explorer\Connection Wizard\icwnet.dll

6 W& v& {- x; D0 XO21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} -
+ |+ Z+ x, S) Z: `2 d- n. SC:\PROGRA~1\MMSASS~1\Mmsass~1.dll
4 m/ U0 V6 W  {+ L* jO21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -
  `( m, m0 U- q4 H* q  R2 \C:\WINDOWS\SYSTEM32\stdup.dll
O21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} -
C:\PROGRA~1\winkld\winkld.dll

- \+ F# V' H& j! h! VO23 - NT 服务: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
7 l' u, C7 |/ ~+ ^" V3 ~7 _0 o! xO23 - NT 服务: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
( ?5 M/ U  B" w9 RO23 - NT 服务: Windows Print Controller (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\SAND\qqfacerclient.exe
7 _' i0 T& }. e- SO23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:\Program Files\Common Files\smartde\sde.exe
0 }& k: a( }9 c: Z4 jO23 - NT 服务: VIPTray - Unknown owner - C:\WINDOWS\System32\VIPTray.exe
6 j0 ~* E# x) x, ~6 cO23 - NT 服务: WinWrCup - MsWinCup - D:\WINDOWS\wincup\wincup.exe

$ F% k% B2 E5 Q6 D2 u+ H2、SREng
如何使用该软件参见置底 以下列出常见需要修复的项
9 T6 Y' ?! b, x: _: e
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
2 T) }% C4 X! M! H    <load><C:\windows\system32\wincfgs.exe>  []

& f, M( [5 f0 k0 [8 m# c, K, @[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
\Run]
6 z+ m* Y! K) Y( m& T. V    <SoundMix><rundll32.exe C:\WINDOWS\system32\soundmix.dll,Load>  []
' }+ L2 `8 b( M$ ~    <CheckFaultKernel><C:\WINDOWS\system32\mswdm.exe>  []

* I: ?3 t% l( a" _5 C[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <Userinit><C:\WINNT\System32\userinit.exe,C:\WINNT\System32\cmmon.exe>  []
    <Userinit><userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\eklc.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\bcdffc.exe>  []
$ h7 ^* m) D  s& R（这个 crypto文件夹下的几个文件会改变名字 通常还有一个 Microsoft Corporation属性的BHO
9 M+ I" E3 ^( t$ m[IEHlprObj Class]
; B6 }" ^1 F* K  {D424FE4E-CAF9-4fdd-BC5F-E6E6B91D53BF} <C:\Progra~1\NetMeeting\conf.dll, Microsoft Corporation>）

" u8 L* p8 H* J6 f9 c- h[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
% a/ p  i. T* E: A5 x' t    <{B48F6409-4740-475B-A474-651F54CCE460}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll>  []
6 i) K% u- {5 v. p    <{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}><C:\WINDOWS\DOWNLO~1\BDPlugin.dll>[]
' v9 ^- `8 U. {8 j9 C3 K: g+ y    <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><C:\WINDOWS\DOWNLO~1\CnsHook.dll>[北京三七二一科技有限公司]
2 ?& v2 r. O# k/ p& X
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
    <{af3fd9a8-1287-4159-9212-9a5b4494af70}><C:\WINDOWS\system32\guxxa.dll>  []
/ x9 o4 C3 \0 Z! j. W. p+ A- s0 P
5 R6 q4 s$ X) q9 `2 m3 w+ @[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
9 v  B5 U  ]4 u& C0 _4 m    <Vision><C:\PROGRA~1\MMSASS~1\Mmsass~1.dll>  []
0 O+ `; Y4 k, Z1 N! z" ~    <DLMon><C:\WINDOWS\System32\DLMain.dll>  []

服务
' b9 M1 ^; K! K7 A3 `$ E2 j[Internet Protect Service / lDOMANE]
1 ^0 ~/ M8 a, t- K  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export 1087><N/A>
/ h4 F" ^) K  p; k) ]$ y  j[Internet Protect Service / BKMARKS]
0 W$ ~( l. k: `, L  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
[Performance Moniter / BARCASE]
# P4 w( Q; r6 k  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
# s: H) h; ?/ q' j8 ]5 R1087><N/A>
[JMediaService / JMediaService]
  <C:\WINNT\system32\rundll32.exe C:\PROGRA~1\MMSASS~1\MMSSVER.DLL,Service><N/A>
[StdService / StdService]
  <C:\WINNT\system32\rundll32.exe C:\WINNT\System32\STDSVER.DLL,Service><N/A>
' U0 u* b0 w: x: e[VIPTray / VIPTray]
  <C:\WINDOWS\System32\VIPTray.exe><N/A>
+ m% f0 _( z/ Q[WinWrCup / WinWrCup]
  <C:\WINNT\wincup\wincup.exe -R><MsWinCup>
[WinKld / WinKld]
8 R8 U/ B& H* i9 K& ~, g- q  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\winkld\winkld.dll",Run -r><N/A>
% D" m. C9 k) z9 w[wint / wint]
/ ~7 Z& l. b5 ?7 [& q) X$ ?$ r  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\wint\wint.dll",Run -r><N/A>
, Q/ l; X9 e1 w2 a[WinkldUP / WinkldUP]
  <C:\DOCUME~1\wq\LOCALS~1\Temp\wz\wz.exe -R><N/A>
[XDownloadService / XDownloadService]
1 k0 U1 f6 }* k  ^  <C:\WINDOWS\system32\Rundll32.exe "C:\WINDOWS\Downloader.dll",Run><N/A>

7 T+ ?2 q# v0 d! z6 W9 @- w浏览器加载项
[NetAccelerate Class]
  {5673A7C0-95CC-4646-BB07-3BD71234CEF9} <C:\WINDOWS\system32\wuwebex.dll,
0 m8 p8 M; J0 `/ G, r8 Q8 QMicrosoft Corporation>

armymanuse

顶一下……

rulingdanny

支持实用的帖子