流氓软件解决方法及防范zz

tonyboy

编辑这个帖子的目的是 让大家能够自己解决 ie浏览器弹出广告及其他因中招流氓软件，导致电脑使用中出现的各种问题
, h* F/ I$ O8 b4 F一、清除方法
二、如何防范流氓软件及几款免费防间谍软件
4 o3 _$ `. m8 ^# l' o/ l' T5 D三、hijackthis和SREng中常见修复项

3 z; l7 l3 O1 ~2 S一、清除方法
- o: B' \& e1 q3 e  P第一步  添加删除程序里卸载（有些不提供卸载或者卸载不完全）
- ]8 L& L! S' |; W! [5 C% h    MMSAssist、winstdup、酷站导航、RichMedia、很棒小秘书、桌面传媒、桌面媒体、划词搜索、网络猪、青娱乐、搜搜地址栏搜索、中文上网、中文邮、网络实名、上网助手、雅虎助手
" }- @2 y" m+ i
第二步  使用软件
1、恶意软件清理助手 & 超级兔子 & Windows清理助手 & 360安全卫士
    以上几个软件，基本可以清除大部分常见流氓软件，几点说明
1 Z+ j. k5 [5 J# u8 g' Z4 n    （1）软件定期更新 注意升级 另不能清除的 安全模式下 清理
    （2）超级兔子功能只推荐 超级兔子清理王 专业卸载 功能
7 X5 n2 B6 W# F2 M. x1 H9 ~# _; k0 @/ @    （3）清理前先备份注册表，虽然出现问题的人极少。这一步操作自己选择吧，方法见版内置底的 常用方法

恶意软件清理助手(绿色软件，最好安全模式下操作，本软件定期更新，注意升级）
http://www.tommsoft.com/Products.aspx?pid=2
$ `9 m4 W1 g9 @% F) x附件1  恶意软件清理助手(版本2.19 2006-10-13)
0 y% R( M0 O7 [! o& Y. A+ p超级兔子（主界面-->超级兔子清理王-->专业卸载，7.55a版开始有免安装版)
! V' K* ~$ `4 T' u" U. w3 [附件2  超级兔子(版本7.85 2006-10-11) 附件是 超级兔子清理王，免安装版
http://www.pctutu.com/download.asp（超级兔子，安装版）
http://download5.pctutu.com/soft/magicset785.zip（超级兔子，免安装版）
http://download5.pctutu.com/soft/winspeed785.zip（超级兔子清理王，免安装版）
$ O. @) S4 b* G1 |7 E' @/ v/ `Windows清理助手
http://www.arswp.com/
2 r+ \, q3 e( Y. j360安全卫士
9 Z. G1 x; [, y  Vhttp://www.360safe.com/

2、hijackthis & SREng
    用hijackthi或者SREng找出问题项修复,这2个软件的用法见置底
" \7 x, l$ c& Y* L  Q7 W4 k, K
第三步  手动操作
; E: ?$ D4 e7 `% ?7 r+ d0 `    对于前边操作都无法删除的,进控制台或者第三方软件启动（需要能访问ntfs）删除相应文件
1 r+ U% q9 u4 ]8 D2 x7 ]9 i
5 I# y; ]* f7 O3 k" l! [1 ]+ @. o二、如何防范流氓软件及防间谍软件
5 n  n8 {0 w: M. v1、如何防范流氓软件
    （1）操作系统及ie打好补丁
    （2）安装防病毒及防间谍软件
    （3）上网养成好习惯，不去不知名网站
  W8 F, A. Y$ \# D2 v    （4）不要随意安装共享软件、免费软件、汉化软件

# i! x9 v$ R7 W% w0 [' C: h7 @2、防间谍软件（后2个为微软推荐的防间谍软件）
# l# n( o  R' c( L: s# p    目前很多杀毒软件都集成了防间谍组件，如诺顿2006、卡巴6、mcafee8（需要单独安装）等，以下几个软件是免费的防间谍软件。
. y# A' ~$ U' v; [$ \$ H/ q, Y& W  P（1）Windows Defender（微软开发的防间谍软件）
下载地址
http://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=en&SrcCategoryId=&SrcFamilyId=435BFCE7-DA2B-4A6A-AFA4-F7F14E605A0D&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2fe%2fd%2f0%2fed099d5e-dc60-4740-8747-1c72f053b800%2fWindowsDefender.msi

: l% Z; X; I; ~  ]$ D! G（2）Ad-Aware SE
1 }* @4 \. l8 `' C下载地址:
http://www.lavasoft.de/ms/index.htm

8 M7 h5 s2 W+ `" G9 J- Y2 ~（3）Spybot Search & Destroy (S&D)
下载地址
http://www.safer-networking.org/microsoft.en.html

三、hijackthis和SREng中常见修复项
1、hijackthis
如何使用该软件参见置底 以下列出常见需要修复的项

, g2 ]9 S7 M6 C5 |9 E4 |  t* HF2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\ .exe
, z0 ~2 S; K- W( Y1 J（此项删除文件 C:\WINDOWS\ .exe）
7 h( A. w6 [( zF3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe
% E0 d) U/ m- l7 d6 R) `  K3 ?# H
2 G" P# s9 f% g! g% H7 |' |O2 - BHO: AdFilter - {8F8B1318-72FE-412F-9FE3-9CF15B631575} - C:\WINDOWS\system32\AdFilter.dll
0 X: B' U  Z9 l* j2 E/ MO2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC32.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC64.dll
O2 - BHO: ltmenu Class - {78C21EFD-53BA-406C-AF1A-33A38ABD3958} - C:\Program Files\LtUcx\1002\c0.dll
& d& b  N* `' Y; o) I8 q; f; d, xO2 - BHO: BHelper - {8A4280AD-9B37-4922-A51D-73F3C3A32AF7} - C:\WINDOWS\system32\msibm\cfsbho.dll
4 q) f( b7 K( T7 T% I4 \O2 - BHO: URLMonitor Class - {3ED9FFDA-79DB-4B2D-99B7-16EA3C4A3A92} - C:\WINDOWS\system32\hap.dll
$ u) \% H% O! e: r! ?O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\hbhelper.dll
: p8 T. w; p: ~0 b$ e8 gO2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application
Data\Microsoft\IEHelper\IEHelper200638_8576.dll
（IEHelper****.dll都是 这个名字有变化）
/ R% _( l' u9 ?5 |; DO2 - BHO: MacroMediapd - {B8CCDD47-38E4-4CD2-B7FA-3B4B690F74BD} - C:\WINDOWS\system32\microapmddt.dll
% G9 U. Z/ g+ ^0 L% j7 NO2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
- z( I' ^2 w& e7 u4 s& V9 f, dO2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
8 S, \! k% r  s8 {1 `+ vO2 - BHO: IEHlprObj Class - {BA623AA0-9A82-4d0c-944C-0228CEA17780} - C:\Progra~1\Messenger\netshow.dll
" w9 ]& r$ T8 N0 Z8 c0 ]- \O2 - BHO: IEHlprObj Class - {F5B3ECED-9BF3-4f7e-882B-A6E75343C499} - C:\Progra~1\NetMeeting\netinit.dll
' h3 M* H, f: Q0 n5 R  CO2 - BHO: IEHlprObj Class - {999ADFA2-8AD1-47ff-97FC-69FB847458F4} -  C:\Progra~1\NetMeeting\nmview.dll
O2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
2 c; X4 Y7 B; V' L* G6 m0 RO2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
6 U3 T! P# ]) G: v, iO2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\qylhelper.dll
O2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
3 k/ F2 ?8 ?5 I4 G2 n2 @: T0 z. IO2 - BHO: WebMiscItem Class - {3CD4296F-6CC3-11D9-B888-000C299AA719} - C:\WINDOWS\system32\WebMisc.dll
O2 - BHO: BrowserHelper Class - {2D99E8F4-56B7-457B-9A92-61B5D247D263} - C:\WINDOWS\system32\WinDefendor.dll
O2 - BHO: DownloadValue Class - {616D4040-5712-4F0F-BCF1-5C6420A99E14} - C:\WINDOWS\system32\winhtp.dll
. y! N5 v2 U# Z# J- r5 R; T# ?O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll
' I9 S2 A" J; |9 a4 ^
1 H6 Z0 W' E# r  u; nO3 - IE工具栏增项: 系统标准按钮(&E) - {6B2455FD-3669-4555-8DF8-69FD5BC846F8} -
C:\WINDOWS\system32\SystemToolbar.dll
6 w1 ^2 }& m* A
5 q. S+ _, o' }1 ]1 b. B" y- HO4 - 启动项HKLM\\Run: [SCIntruder.dll] RUNDLL32.EXE C:\WINDOWS\system32\AdvSC.dll,Service                                       
$ e) Y! P4 X$ ~" w: P) k$ Q9 VO4 - 启动项HKLM\\Run: [mscfs] RUNDLL32 C:\WINDOWS\system32\msibm\cfsys.dll,cfs
. F# I4 T8 x  ?( @! f8 n6 {+ G% k4 hO4 - 启动项HKLM\\Run: [RichMedia] C:\WINDOWS\system32\Rundll32.exe "C:\PROGRA~1\HBClient\hbhelper.dll",WaitWindows
9 I4 [5 q' \$ \/ GO4 - HKCU\..\Run: [LetsCool] C:\Program Files\LetsCool\LetsCool.exe
0 B6 a5 H9 \* M0 ]O4 - 启动项HKLM\\Run: [res] C:\WINDOWS\system32\res.exe
O4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
O4 - 启动项HKLM\\Run: [supdate2.dll] RUNDLL32.EXE C:\WINDOWS\system32\supdate2.dll,Run
O4 - 启动项HKLM\\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
: j" A1 K: x: K$ p9 o) P/ V7 H/ \O4 - Global Startup: IE-BAR.lnk = ?

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
- G- E% t( l0 @O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System,
$ h$ {( ~9 Y# S7 q" p3 KDisableRegedit=1

O8 - IE右键菜单中的新增项目:   >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
1 L- r2 d! K7 b8 k! W6 |. PO9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
1 [1 |) k3 K! \* A/ U# NO9 - 浏览器额外的“工具”菜单项: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll

O18 - Filter: text/html - {E7009873-0D40-45B1-8D59-5B9AE98C7D38} - C:\Program Files\Internet Explorer\Connection Wizard\icwnet.dll

7 g/ t1 n: P+ ]; ], z: }! pO21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} -
" L8 J% X# q) K6 u+ y* YC:\PROGRA~1\MMSASS~1\Mmsass~1.dll
9 t% A3 C; y+ G2 YO21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -
C:\WINDOWS\SYSTEM32\stdup.dll
O21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} -
6 \4 Y! l' G8 v) `; j$ o& `) BC:\PROGRA~1\winkld\winkld.dll
* N2 Z4 j, L  |
O23 - NT 服务: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
2 y) s( o* ~& O1 F5 U$ {O23 - NT 服务: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
( Z, A& v1 P/ g7 p  I" _0 Z- r5 NO23 - NT 服务: Windows Print Controller (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\SAND\qqfacerclient.exe
1 s! `! S2 Z  {, oO23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:\Program Files\Common Files\smartde\sde.exe
' [$ p9 b  S5 d  WO23 - NT 服务: VIPTray - Unknown owner - C:\WINDOWS\System32\VIPTray.exe
O23 - NT 服务: WinWrCup - MsWinCup - D:\WINDOWS\wincup\wincup.exe

2、SREng
如何使用该软件参见置底 以下列出常见需要修复的项

# E4 A5 x/ l* u1 y4 i注册表
) |0 o$ a" J; i% O! B[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
+ V& X7 ~# k. b, ]% r    <load><C:\windows\system32\wincfgs.exe>  []

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
\Run]
  B7 H7 Q( m5 ~: t' u    <SoundMix><rundll32.exe C:\WINDOWS\system32\soundmix.dll,Load>  []
    <CheckFaultKernel><C:\WINDOWS\system32\mswdm.exe>  []

6 j& a( J  I" U! v0 l[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
' r' f1 J$ O0 a( x    <Userinit><C:\WINNT\System32\userinit.exe,C:\WINNT\System32\cmmon.exe>  []
8 J) U4 j4 ?3 y- k. h, p    <Userinit><userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe>  []
0 x1 K* C" z5 Z5 p    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\eklc.exe>  []
. q6 k. D0 b: I    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\bcdffc.exe>  []
（这个 crypto文件夹下的几个文件会改变名字 通常还有一个 Microsoft Corporation属性的BHO
( [; G. w7 x5 L[IEHlprObj Class]
! V# h  a7 l- |9 n' R& E  {D424FE4E-CAF9-4fdd-BC5F-E6E6B91D53BF} <C:\Progra~1\NetMeeting\conf.dll, Microsoft Corporation>）

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{B48F6409-4740-475B-A474-651F54CCE460}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll>  []
+ h1 |* W7 N! {( T: g; ~& v    <{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}><C:\WINDOWS\DOWNLO~1\BDPlugin.dll>[]
; Y# l  W3 f3 C7 t    <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><C:\WINDOWS\DOWNLO~1\CnsHook.dll>[北京三七二一科技有限公司]

3 j4 _; k, B, ~0 v[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
    <{af3fd9a8-1287-4159-9212-9a5b4494af70}><C:\WINDOWS\system32\guxxa.dll>  []

1 H/ U/ T( [3 @- R6 S( U[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
- ^* O/ m2 L0 e    <Vision><C:\PROGRA~1\MMSASS~1\Mmsass~1.dll>  []
8 d' Q1 [# J& w/ b: v    <DLMon><C:\WINDOWS\System32\DLMain.dll>  []
2 p+ E+ I% m1 i/ Q
服务
[Internet Protect Service / lDOMANE]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export 1087><N/A>
[Internet Protect Service / BKMARKS]
5 h: R$ [4 @; }4 r  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
[Performance Moniter / BARCASE]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
) ?! O- Z$ k' r6 @) p+ p% L& B1087><N/A>
9 T' S% D. {& I; j( O  N[JMediaService / JMediaService]
; K0 p7 \9 M' Q  <C:\WINNT\system32\rundll32.exe C:\PROGRA~1\MMSASS~1\MMSSVER.DLL,Service><N/A>
[StdService / StdService]
# R+ [4 w# ^0 G' a" `+ W5 |1 [: y  <C:\WINNT\system32\rundll32.exe C:\WINNT\System32\STDSVER.DLL,Service><N/A>
* h; E+ c! L+ C$ ]9 G7 k- V, j[VIPTray / VIPTray]
  <C:\WINDOWS\System32\VIPTray.exe><N/A>
[WinWrCup / WinWrCup]
  <C:\WINNT\wincup\wincup.exe -R><MsWinCup>
[WinKld / WinKld]
4 X) z) M/ {  b  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\winkld\winkld.dll",Run -r><N/A>
[wint / wint]
+ M; u0 ~$ r6 j7 H/ _  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\wint\wint.dll",Run -r><N/A>
[WinkldUP / WinkldUP]
  <C:\DOCUME~1\wq\LOCALS~1\Temp\wz\wz.exe -R><N/A>
/ A. {8 i7 Q, a/ [[XDownloadService / XDownloadService]
  <C:\WINDOWS\system32\Rundll32.exe "C:\WINDOWS\Downloader.dll",Run><N/A>
2 d4 T7 v& T6 d! O% T( i2 R) r0 J
0 c+ P8 H  J* M$ w) H' B浏览器加载项
* x3 y, Q0 U2 X2 z- G2 q8 U[NetAccelerate Class]
  {5673A7C0-95CC-4646-BB07-3BD71234CEF9} <C:\WINDOWS\system32\wuwebex.dll,
- Z# l6 o0 I' H2 F7 |0 JMicrosoft Corporation>

armymanuse

顶一下……

rulingdanny

支持实用的帖子