流氓软件解决方法及防范zz

tonyboy

编辑这个帖子的目的是 让大家能够自己解决 ie浏览器弹出广告及其他因中招流氓软件，导致电脑使用中出现的各种问题
一、清除方法
' o5 t; Y0 V0 K" j) r8 j二、如何防范流氓软件及几款免费防间谍软件
& j' j  Y, R5 s4 C' B三、hijackthis和SREng中常见修复项

一、清除方法
第一步  添加删除程序里卸载（有些不提供卸载或者卸载不完全）
7 Y5 m, A( U3 T3 W* M    MMSAssist、winstdup、酷站导航、RichMedia、很棒小秘书、桌面传媒、桌面媒体、划词搜索、网络猪、青娱乐、搜搜地址栏搜索、中文上网、中文邮、网络实名、上网助手、雅虎助手
% p) T- F) h& @
第二步  使用软件
  u# I/ W* L6 K* ?' a1、恶意软件清理助手 & 超级兔子 & Windows清理助手 & 360安全卫士
    以上几个软件，基本可以清除大部分常见流氓软件，几点说明
" G+ [, H. U$ O: s    （1）软件定期更新 注意升级 另不能清除的 安全模式下 清理
) d$ e4 z2 M. K5 E6 `2 }! F    （2）超级兔子功能只推荐 超级兔子清理王 专业卸载 功能
    （3）清理前先备份注册表，虽然出现问题的人极少。这一步操作自己选择吧，方法见版内置底的 常用方法

6 h/ A* S" T# ^$ D: I恶意软件清理助手(绿色软件，最好安全模式下操作，本软件定期更新，注意升级）
http://www.tommsoft.com/Products.aspx?pid=2
/ J0 _, ~1 M$ N6 j# z" J; U附件1  恶意软件清理助手(版本2.19 2006-10-13)
超级兔子（主界面-->超级兔子清理王-->专业卸载，7.55a版开始有免安装版)
# ~- h$ c- k  w, Y3 O1 _4 l附件2  超级兔子(版本7.85 2006-10-11) 附件是 超级兔子清理王，免安装版
+ k4 y0 P( U) o' Yhttp://www.pctutu.com/download.asp（超级兔子，安装版）
http://download5.pctutu.com/soft/magicset785.zip（超级兔子，免安装版）
http://download5.pctutu.com/soft/winspeed785.zip（超级兔子清理王，免安装版）
, {" o% ?. W6 T7 R0 IWindows清理助手
3 |; C$ T, E/ a6 O( ]! o0 G; T2 i) o* \' Ihttp://www.arswp.com/
360安全卫士
http://www.360safe.com/
) a( X" }  S+ ^+ y" Q
" t" o) Z& \! |' L2、hijackthis & SREng
    用hijackthi或者SREng找出问题项修复,这2个软件的用法见置底

7 j* H/ b- O7 F$ o第三步  手动操作
    对于前边操作都无法删除的,进控制台或者第三方软件启动（需要能访问ntfs）删除相应文件

+ r. s# v: J! f/ p3 H! B9 O二、如何防范流氓软件及防间谍软件
1、如何防范流氓软件
3 |& E; ~" \5 I% j    （1）操作系统及ie打好补丁
9 A, d3 v/ M2 {- n' ]* t4 w" m    （2）安装防病毒及防间谍软件
4 @$ d' O& `2 Q; {* S    （3）上网养成好习惯，不去不知名网站
* b/ C6 \, U' A* M    （4）不要随意安装共享软件、免费软件、汉化软件
" ]1 G% g1 M+ z
2、防间谍软件（后2个为微软推荐的防间谍软件）
    目前很多杀毒软件都集成了防间谍组件，如诺顿2006、卡巴6、mcafee8（需要单独安装）等，以下几个软件是免费的防间谍软件。
: P7 H8 i! e- P5 ]  {（1）Windows Defender（微软开发的防间谍软件）
; S! y$ p6 S+ J8 ^" K2 g下载地址
http://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=en&SrcCategoryId=&SrcFamilyId=435BFCE7-DA2B-4A6A-AFA4-F7F14E605A0D&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2fe%2fd%2f0%2fed099d5e-dc60-4740-8747-1c72f053b800%2fWindowsDefender.msi

4 g- g+ r1 Q! \. n（2）Ad-Aware SE
" c7 T0 Y$ t1 V# D6 l0 g8 u8 w下载地址:
http://www.lavasoft.de/ms/index.htm
5 n% n6 y6 h: Q
$ _" s- W" [- @, E（3）Spybot Search & Destroy (S&D)
, b8 O) a8 }& G  q2 j9 W/ R下载地址
! ^9 ?9 g4 N. a% A$ jhttp://www.safer-networking.org/microsoft.en.html
6 q" D. A' `! M
  W/ ~0 [8 C, q( d三、hijackthis和SREng中常见修复项
1、hijackthis
' E8 n4 r: n; j* f  I- u  J0 p) `如何使用该软件参见置底 以下列出常见需要修复的项
6 q' x' Y6 l# {$ B
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\ .exe
; t) P' d- h' X2 T# u, K（此项删除文件 C:\WINDOWS\ .exe）
$ Z8 w6 e# [2 ]: Y; v; [0 ~F3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe
' r; E$ G6 Y; d. q& o6 G( P2 ?
O2 - BHO: AdFilter - {8F8B1318-72FE-412F-9FE3-9CF15B631575} - C:\WINDOWS\system32\AdFilter.dll
& N5 U& y1 V+ Q( ^8 MO2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC.dll
7 p$ T# k8 s2 \1 R# t! T4 mO2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC32.dll
! U: `8 K. Q1 V6 ~O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC64.dll
O2 - BHO: ltmenu Class - {78C21EFD-53BA-406C-AF1A-33A38ABD3958} - C:\Program Files\LtUcx\1002\c0.dll
% Q1 V0 j2 \( \. y, V" \! bO2 - BHO: BHelper - {8A4280AD-9B37-4922-A51D-73F3C3A32AF7} - C:\WINDOWS\system32\msibm\cfsbho.dll
5 `6 O7 p6 |. ^  o) c: I  BO2 - BHO: URLMonitor Class - {3ED9FFDA-79DB-4B2D-99B7-16EA3C4A3A92} - C:\WINDOWS\system32\hap.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\hbhelper.dll
O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application
Data\Microsoft\IEHelper\IEHelper200638_8576.dll
（IEHelper****.dll都是 这个名字有变化）
* ^5 S- `; ~0 DO2 - BHO: MacroMediapd - {B8CCDD47-38E4-4CD2-B7FA-3B4B690F74BD} - C:\WINDOWS\system32\microapmddt.dll
O2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
- Q" T( D* J" n- V6 i& W( iO2 - BHO: IEHlprObj Class - {BA623AA0-9A82-4d0c-944C-0228CEA17780} - C:\Progra~1\Messenger\netshow.dll
O2 - BHO: IEHlprObj Class - {F5B3ECED-9BF3-4f7e-882B-A6E75343C499} - C:\Progra~1\NetMeeting\netinit.dll
5 |: L. l; C3 FO2 - BHO: IEHlprObj Class - {999ADFA2-8AD1-47ff-97FC-69FB847458F4} -  C:\Progra~1\NetMeeting\nmview.dll
O2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
( x7 Y6 e4 u6 L2 _. f" j; bO2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
O2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\qylhelper.dll
O2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
6 G! _8 a( H0 \# Z5 S7 Y" o; J; hO2 - BHO: WebMiscItem Class - {3CD4296F-6CC3-11D9-B888-000C299AA719} - C:\WINDOWS\system32\WebMisc.dll
/ X5 C8 @, Y* h" JO2 - BHO: BrowserHelper Class - {2D99E8F4-56B7-457B-9A92-61B5D247D263} - C:\WINDOWS\system32\WinDefendor.dll
9 ?- G, `# \5 Y+ `1 OO2 - BHO: DownloadValue Class - {616D4040-5712-4F0F-BCF1-5C6420A99E14} - C:\WINDOWS\system32\winhtp.dll
  z. k% c+ N" W2 y! D: iO2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll
# @4 \" L( f( q9 M& a4 h1 P
O3 - IE工具栏增项: 系统标准按钮(&E) - {6B2455FD-3669-4555-8DF8-69FD5BC846F8} -
# g4 b; I) U8 F  vC:\WINDOWS\system32\SystemToolbar.dll
/ c2 x: Q" e# Z6 s3 ?
: Y$ l$ L* N$ e" p/ i/ ?O4 - 启动项HKLM\\Run: [SCIntruder.dll] RUNDLL32.EXE C:\WINDOWS\system32\AdvSC.dll,Service                                       
O4 - 启动项HKLM\\Run: [mscfs] RUNDLL32 C:\WINDOWS\system32\msibm\cfsys.dll,cfs
O4 - 启动项HKLM\\Run: [RichMedia] C:\WINDOWS\system32\Rundll32.exe "C:\PROGRA~1\HBClient\hbhelper.dll",WaitWindows
O4 - HKCU\..\Run: [LetsCool] C:\Program Files\LetsCool\LetsCool.exe
9 i, h  R2 c7 y: z+ k3 iO4 - 启动项HKLM\\Run: [res] C:\WINDOWS\system32\res.exe
O4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
0 n% R$ U1 b  Q& a9 r: I& IO4 - 启动项HKLM\\Run: [supdate2.dll] RUNDLL32.EXE C:\WINDOWS\system32\supdate2.dll,Run
# M& f) u5 Z6 a1 H" O, kO4 - 启动项HKLM\\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
/ D3 h( g0 U/ Y& U9 ^O4 - Global Startup: IE-BAR.lnk = ?

! F4 w1 m3 B4 r+ w; {O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System,
DisableRegedit=1
+ q  l6 b- b% x8 D/ z, a  g6 B! W" b
O8 - IE右键菜单中的新增项目:   >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
% D& U6 J3 b9 w7 ?O9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O9 - 浏览器额外的“工具”菜单项: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
; H1 [% a  R  L& H: |
5 S" R5 g$ e" n. E# e7 \8 SO18 - Filter: text/html - {E7009873-0D40-45B1-8D59-5B9AE98C7D38} - C:\Program Files\Internet Explorer\Connection Wizard\icwnet.dll
7 r/ v9 W4 k8 q$ |  Y6 ~
O21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} -
C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
: B8 n1 ]$ j! O; n3 s* w  UO21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -
( Q7 J/ o5 `2 e. a9 Y& Q1 Q( f+ qC:\WINDOWS\SYSTEM32\stdup.dll
( B5 W% o% I: G3 nO21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} -
C:\PROGRA~1\winkld\winkld.dll

O23 - NT 服务: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
& |& m7 G- p9 s4 t; R7 o/ pO23 - NT 服务: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
: [# P* O5 a) dO23 - NT 服务: Windows Print Controller (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\SAND\qqfacerclient.exe
O23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:\Program Files\Common Files\smartde\sde.exe
, ]. i2 d* o* C; V% A" R/ MO23 - NT 服务: VIPTray - Unknown owner - C:\WINDOWS\System32\VIPTray.exe
6 D% x" \3 ?  ?( @3 `- l) wO23 - NT 服务: WinWrCup - MsWinCup - D:\WINDOWS\wincup\wincup.exe
" V4 T4 u6 x" |' V- R
2、SREng
如何使用该软件参见置底 以下列出常见需要修复的项
+ `; I8 |/ g6 E8 U
注册表
  c7 M8 g( Z8 o  C/ s9 }) `' G[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
/ i1 w# p$ M. O( s$ f    <load><C:\windows\system32\wincfgs.exe>  []

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
\Run]
( h8 B* m) R: g1 a# p/ y    <SoundMix><rundll32.exe C:\WINDOWS\system32\soundmix.dll,Load>  []
) f: h! a; h+ |( f* i) j; ~    <CheckFaultKernel><C:\WINDOWS\system32\mswdm.exe>  []
( E- B  K4 t) L4 ]& c/ \
! _- w2 N0 x# H0 c. D- C" O2 m[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
: f# Z( y: v$ e6 `    <Userinit><C:\WINNT\System32\userinit.exe,C:\WINNT\System32\cmmon.exe>  []
1 F+ x, P! ?' C    <Userinit><userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe>  []
3 S$ y% J0 X: b3 |9 \* R9 _    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\eklc.exe>  []
- M: q% r1 p. K2 f1 E: J$ k    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\bcdffc.exe>  []
（这个 crypto文件夹下的几个文件会改变名字 通常还有一个 Microsoft Corporation属性的BHO
4 y- g. {6 K0 u* R[IEHlprObj Class]
  {D424FE4E-CAF9-4fdd-BC5F-E6E6B91D53BF} <C:\Progra~1\NetMeeting\conf.dll, Microsoft Corporation>）
" d: Q2 W& W$ Q
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
  }) C# Q8 _6 }    <{B48F6409-4740-475B-A474-651F54CCE460}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll>  []
# o$ Z; m) Y6 `( B9 V( e    <{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}><C:\WINDOWS\DOWNLO~1\BDPlugin.dll>[]
    <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><C:\WINDOWS\DOWNLO~1\CnsHook.dll>[北京三七二一科技有限公司]
. b* r5 C. ~! ?
- j$ {) U; E) v8 l[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
: i  ^' U3 w- O9 I4 P    <{af3fd9a8-1287-4159-9212-9a5b4494af70}><C:\WINDOWS\system32\guxxa.dll>  []

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
    <Vision><C:\PROGRA~1\MMSASS~1\Mmsass~1.dll>  []
    <DLMon><C:\WINDOWS\System32\DLMain.dll>  []
3 g* U0 [6 U7 x5 g+ G8 ~" `; L
服务
[Internet Protect Service / lDOMANE]
1 i) W/ u9 V& X, G& @6 v0 c  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export 1087><N/A>
[Internet Protect Service / BKMARKS]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
  o- I# T0 l- M! r$ u1087><N/A>
% S" B& P7 F  `, G[Performance Moniter / BARCASE]
) [& H  n# X2 E* L2 }( _3 }( i  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
[JMediaService / JMediaService]
( n/ h6 u9 c4 E  I  <C:\WINNT\system32\rundll32.exe C:\PROGRA~1\MMSASS~1\MMSSVER.DLL,Service><N/A>
[StdService / StdService]
6 R4 s) c5 H+ J8 z0 q  <C:\WINNT\system32\rundll32.exe C:\WINNT\System32\STDSVER.DLL,Service><N/A>
[VIPTray / VIPTray]
4 p$ O0 e9 ^, K5 L' p. \  <C:\WINDOWS\System32\VIPTray.exe><N/A>
[WinWrCup / WinWrCup]
  <C:\WINNT\wincup\wincup.exe -R><MsWinCup>
[WinKld / WinKld]
  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\winkld\winkld.dll",Run -r><N/A>
[wint / wint]
& _( n! m7 j3 G& c  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\wint\wint.dll",Run -r><N/A>
[WinkldUP / WinkldUP]
  <C:\DOCUME~1\wq\LOCALS~1\Temp\wz\wz.exe -R><N/A>
[XDownloadService / XDownloadService]
7 m5 |8 q6 V# R5 f( [) |& R; |, Q9 ?5 X  <C:\WINDOWS\system32\Rundll32.exe "C:\WINDOWS\Downloader.dll",Run><N/A>

1 w( F' K4 N& b/ i% `浏览器加载项
. |  h9 @1 r8 ~4 f! O[NetAccelerate Class]
  {5673A7C0-95CC-4646-BB07-3BD71234CEF9} <C:\WINDOWS\system32\wuwebex.dll,
8 E& I; S7 R4 D3 w/ dMicrosoft Corporation>

armymanuse

顶一下……

rulingdanny

支持实用的帖子