流氓软件解决方法及防范zz

tonyboy

编辑这个帖子的目的是 让大家能够自己解决 ie浏览器弹出广告及其他因中招流氓软件，导致电脑使用中出现的各种问题
  c& O1 a2 y4 Y$ E: f一、清除方法
二、如何防范流氓软件及几款免费防间谍软件
三、hijackthis和SREng中常见修复项

一、清除方法
8 Q) l6 k, x/ Y! l5 S' f第一步  添加删除程序里卸载（有些不提供卸载或者卸载不完全）
" F8 n  s5 Z$ P    MMSAssist、winstdup、酷站导航、RichMedia、很棒小秘书、桌面传媒、桌面媒体、划词搜索、网络猪、青娱乐、搜搜地址栏搜索、中文上网、中文邮、网络实名、上网助手、雅虎助手
" @- N% i5 i" `8 o" B
! U5 H. I' ]8 S) U# m5 m( P2 W0 L* Z第二步  使用软件
1、恶意软件清理助手 & 超级兔子 & Windows清理助手 & 360安全卫士
    以上几个软件，基本可以清除大部分常见流氓软件，几点说明
    （1）软件定期更新 注意升级 另不能清除的 安全模式下 清理
    （2）超级兔子功能只推荐 超级兔子清理王 专业卸载 功能
. k" S, n( h* T6 T2 Z8 @& W# c" P    （3）清理前先备份注册表，虽然出现问题的人极少。这一步操作自己选择吧，方法见版内置底的 常用方法
5 x6 R/ U4 T( X  O6 ?
! U  A& l2 A. f4 s* i$ D1 r& T( \8 D  b恶意软件清理助手(绿色软件，最好安全模式下操作，本软件定期更新，注意升级）
7 p9 i, g4 }3 J# r! Xhttp://www.tommsoft.com/Products.aspx?pid=2
9 h3 {4 D+ L* y" l( \. x9 I附件1  恶意软件清理助手(版本2.19 2006-10-13)
超级兔子（主界面-->超级兔子清理王-->专业卸载，7.55a版开始有免安装版)
  f2 H+ Q' E$ X* V+ |附件2  超级兔子(版本7.85 2006-10-11) 附件是 超级兔子清理王，免安装版
http://www.pctutu.com/download.asp（超级兔子，安装版）
& i( T2 Z5 z+ v) H) ghttp://download5.pctutu.com/soft/magicset785.zip（超级兔子，免安装版）
http://download5.pctutu.com/soft/winspeed785.zip（超级兔子清理王，免安装版）
Windows清理助手
http://www.arswp.com/
! }7 `0 X2 n3 D: Z9 _7 t, k360安全卫士
http://www.360safe.com/
! l- e3 P& U# k
  K" }' G# T( O# ^2、hijackthis & SREng
    用hijackthi或者SREng找出问题项修复,这2个软件的用法见置底
1 t" C, Z$ m, T$ L! Q3 v
( I* w% D8 [& m9 R" d第三步  手动操作
    对于前边操作都无法删除的,进控制台或者第三方软件启动（需要能访问ntfs）删除相应文件
5 v7 A& s6 y2 E/ C. v- ~6 T! S' S
0 Q5 Q6 y( Z: o' Y! ^二、如何防范流氓软件及防间谍软件
1、如何防范流氓软件
    （1）操作系统及ie打好补丁
    （2）安装防病毒及防间谍软件
    （3）上网养成好习惯，不去不知名网站
7 \- l( v/ m4 H1 V$ Q, \( U    （4）不要随意安装共享软件、免费软件、汉化软件
0 k, S  S) u( O. @9 Y
! x7 w0 P, {$ W  i2、防间谍软件（后2个为微软推荐的防间谍软件）
  |% i7 \' g( {    目前很多杀毒软件都集成了防间谍组件，如诺顿2006、卡巴6、mcafee8（需要单独安装）等，以下几个软件是免费的防间谍软件。
（1）Windows Defender（微软开发的防间谍软件）
& L- @" k3 T: B7 v# \下载地址
http://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=en&SrcCategoryId=&SrcFamilyId=435BFCE7-DA2B-4A6A-AFA4-F7F14E605A0D&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2fe%2fd%2f0%2fed099d5e-dc60-4740-8747-1c72f053b800%2fWindowsDefender.msi

（2）Ad-Aware SE
下载地址:
9 h, u& ]5 \& n& Xhttp://www.lavasoft.de/ms/index.htm
' o" l1 g  K5 \6 d* U
（3）Spybot Search & Destroy (S&D)
/ U# ?/ u6 k3 x" \* m5 e下载地址
' B- ~9 @$ E/ J8 ghttp://www.safer-networking.org/microsoft.en.html

7 m( B; E8 b, a6 d7 d+ z0 \三、hijackthis和SREng中常见修复项
7 O6 W9 D  Y! z1 @. ]1、hijackthis
7 i' K( z; B( @5 W如何使用该软件参见置底 以下列出常见需要修复的项
. `5 y) V3 `* X
# ?- y$ {& n' Q  U9 u: X/ EF2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\ .exe
% M* r1 R- U4 _* O0 |0 C) Y（此项删除文件 C:\WINDOWS\ .exe）
* u) y6 o/ L1 p* o/ p9 `9 KF3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe
4 \, z- y% }. o
: S6 S9 d& O* P% D+ WO2 - BHO: AdFilter - {8F8B1318-72FE-412F-9FE3-9CF15B631575} - C:\WINDOWS\system32\AdFilter.dll
8 [1 C. j+ {8 h" @O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC.dll
, U) S7 P) L2 b& R+ U1 q3 J/ Q) A0 iO2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC32.dll
, x* Q  Y0 E2 g% t- K4 u8 @O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC64.dll
+ t/ y4 U' s' L- {  kO2 - BHO: ltmenu Class - {78C21EFD-53BA-406C-AF1A-33A38ABD3958} - C:\Program Files\LtUcx\1002\c0.dll
+ w& E- o# `$ l( FO2 - BHO: BHelper - {8A4280AD-9B37-4922-A51D-73F3C3A32AF7} - C:\WINDOWS\system32\msibm\cfsbho.dll
+ X7 K2 F8 r; |' A( \O2 - BHO: URLMonitor Class - {3ED9FFDA-79DB-4B2D-99B7-16EA3C4A3A92} - C:\WINDOWS\system32\hap.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\hbhelper.dll
O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application
( P) |& i% W& |" f8 pData\Microsoft\IEHelper\IEHelper200638_8576.dll
" r2 p  Q4 d: R! D; d* D（IEHelper****.dll都是 这个名字有变化）
O2 - BHO: MacroMediapd - {B8CCDD47-38E4-4CD2-B7FA-3B4B690F74BD} - C:\WINDOWS\system32\microapmddt.dll
O2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
O2 - BHO: IEHlprObj Class - {BA623AA0-9A82-4d0c-944C-0228CEA17780} - C:\Progra~1\Messenger\netshow.dll
O2 - BHO: IEHlprObj Class - {F5B3ECED-9BF3-4f7e-882B-A6E75343C499} - C:\Progra~1\NetMeeting\netinit.dll
O2 - BHO: IEHlprObj Class - {999ADFA2-8AD1-47ff-97FC-69FB847458F4} -  C:\Progra~1\NetMeeting\nmview.dll
- u' E( d9 G  ]* ?5 b9 J. G& a' sO2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
" y9 y" X$ I" @0 yO2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
/ Q! |; _/ \) b$ ~& bO2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\qylhelper.dll
O2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
O2 - BHO: WebMiscItem Class - {3CD4296F-6CC3-11D9-B888-000C299AA719} - C:\WINDOWS\system32\WebMisc.dll
, f: O: e3 P4 y8 V: J& U) DO2 - BHO: BrowserHelper Class - {2D99E8F4-56B7-457B-9A92-61B5D247D263} - C:\WINDOWS\system32\WinDefendor.dll
O2 - BHO: DownloadValue Class - {616D4040-5712-4F0F-BCF1-5C6420A99E14} - C:\WINDOWS\system32\winhtp.dll
O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll
" s$ q* C' x; X
O3 - IE工具栏增项: 系统标准按钮(&E) - {6B2455FD-3669-4555-8DF8-69FD5BC846F8} -
( }6 m; s) j5 b! P' m7 gC:\WINDOWS\system32\SystemToolbar.dll

* Y2 ^1 _4 g" NO4 - 启动项HKLM\\Run: [SCIntruder.dll] RUNDLL32.EXE C:\WINDOWS\system32\AdvSC.dll,Service                                       
, ]/ n# r. k- M9 F* D0 {( ^O4 - 启动项HKLM\\Run: [mscfs] RUNDLL32 C:\WINDOWS\system32\msibm\cfsys.dll,cfs
O4 - 启动项HKLM\\Run: [RichMedia] C:\WINDOWS\system32\Rundll32.exe "C:\PROGRA~1\HBClient\hbhelper.dll",WaitWindows
O4 - HKCU\..\Run: [LetsCool] C:\Program Files\LetsCool\LetsCool.exe
O4 - 启动项HKLM\\Run: [res] C:\WINDOWS\system32\res.exe
" r: \$ ~4 u  q) _& r) PO4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
O4 - 启动项HKLM\\Run: [supdate2.dll] RUNDLL32.EXE C:\WINDOWS\system32\supdate2.dll,Run
) v4 I5 `2 s+ gO4 - 启动项HKLM\\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
O4 - Global Startup: IE-BAR.lnk = ?

' f: s3 n; B5 I% fO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
0 s) [! U& ~) F* FO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
) L$ _# M' k1 J8 o& q# R* p' h4 nO7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System,
9 _/ }# q$ _! S& C5 |# ^DisableRegedit=1
" U* z! E3 Y; k2 \" A4 ~5 s
8 D8 H2 Z5 g  S0 M3 ]7 w" pO8 - IE右键菜单中的新增项目:   >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
! N, g  Z% U. yO9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O9 - 浏览器额外的“工具”菜单项: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll

O18 - Filter: text/html - {E7009873-0D40-45B1-8D59-5B9AE98C7D38} - C:\Program Files\Internet Explorer\Connection Wizard\icwnet.dll
/ o3 ]' t5 P. K: M
O21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} -
1 N7 V8 ?2 M5 d( MC:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -
C:\WINDOWS\SYSTEM32\stdup.dll
O21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} -
& w% p+ P0 o/ d( e7 w& kC:\PROGRA~1\winkld\winkld.dll

O23 - NT 服务: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
2 L; c& ]# k. P  cO23 - NT 服务: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
$ K  a3 s( ]# PO23 - NT 服务: Windows Print Controller (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\SAND\qqfacerclient.exe
, x$ ]1 r2 ?% e0 |9 l4 g1 r) p7 CO23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:\Program Files\Common Files\smartde\sde.exe
O23 - NT 服务: VIPTray - Unknown owner - C:\WINDOWS\System32\VIPTray.exe
' c9 U1 L% B: U$ [: QO23 - NT 服务: WinWrCup - MsWinCup - D:\WINDOWS\wincup\wincup.exe
: N( e& E0 G) M: V0 `/ E+ h) a
! _  B6 b- P2 `  x9 e* S. O) z2、SREng
如何使用该软件参见置底 以下列出常见需要修复的项
0 Y% s* I5 x8 g: |' R( t5 s
1 f  S# Y! T% B" I( q/ f* k注册表
: J% u8 \; @7 x, C- M- w4 o, w[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <load><C:\windows\system32\wincfgs.exe>  []

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
\Run]
    <SoundMix><rundll32.exe C:\WINDOWS\system32\soundmix.dll,Load>  []
    <CheckFaultKernel><C:\WINDOWS\system32\mswdm.exe>  []

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
6 ?& B/ l& x! y+ A" u8 u3 d    <Userinit><C:\WINNT\System32\userinit.exe,C:\WINNT\System32\cmmon.exe>  []
    <Userinit><userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\eklc.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\bcdffc.exe>  []
（这个 crypto文件夹下的几个文件会改变名字 通常还有一个 Microsoft Corporation属性的BHO
[IEHlprObj Class]
8 g! j+ S' V" ~, u+ E, ^: ?) y4 l  {D424FE4E-CAF9-4fdd-BC5F-E6E6B91D53BF} <C:\Progra~1\NetMeeting\conf.dll, Microsoft Corporation>）
+ E) R8 G0 p2 i4 V0 c, z  ~% q
; w5 z) P* l1 v- c- U* K+ e+ S3 @# m[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
; @& E0 t* L) G" C    <{B48F6409-4740-475B-A474-651F54CCE460}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll>  []
9 Y- }# P) |3 n0 |' h    <{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}><C:\WINDOWS\DOWNLO~1\BDPlugin.dll>[]
    <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><C:\WINDOWS\DOWNLO~1\CnsHook.dll>[北京三七二一科技有限公司]
$ [2 }; [4 g+ x
2 a0 U, @" c( h+ |[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
: i# R. r- L/ Y0 c% |    <{af3fd9a8-1287-4159-9212-9a5b4494af70}><C:\WINDOWS\system32\guxxa.dll>  []

$ V. x! V* N+ l1 v8 M1 i$ j[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
    <Vision><C:\PROGRA~1\MMSASS~1\Mmsass~1.dll>  []
# ]# B7 w1 c, a7 S# R, O& f- g    <DLMon><C:\WINDOWS\System32\DLMain.dll>  []
7 k, V  ], D; y' z; h0 u3 M" O
7 b9 K+ s  A" P7 s/ n% f服务
[Internet Protect Service / lDOMANE]
) ^. y7 Q$ d) s4 F  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export 1087><N/A>
* L5 C% t# I' p, A9 I. M[Internet Protect Service / BKMARKS]
+ m* y5 S& Q6 D8 |  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
[Performance Moniter / BARCASE]
$ [/ a' k8 \. e5 s6 {7 K  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
[JMediaService / JMediaService]
  <C:\WINNT\system32\rundll32.exe C:\PROGRA~1\MMSASS~1\MMSSVER.DLL,Service><N/A>
[StdService / StdService]
  <C:\WINNT\system32\rundll32.exe C:\WINNT\System32\STDSVER.DLL,Service><N/A>
; _3 {* t9 P& U2 V1 m% |% B[VIPTray / VIPTray]
  <C:\WINDOWS\System32\VIPTray.exe><N/A>
4 E; c* ?- e, g! t8 @. P# g[WinWrCup / WinWrCup]
" P6 T. N" g5 p3 o  <C:\WINNT\wincup\wincup.exe -R><MsWinCup>
+ E9 x# \, T  e, [9 V[WinKld / WinKld]
8 s8 L) R: W) w) c  V1 `  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\winkld\winkld.dll",Run -r><N/A>
[wint / wint]
  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\wint\wint.dll",Run -r><N/A>
4 z3 A2 r" _8 c3 }2 c) E[WinkldUP / WinkldUP]
  \, K7 o! U2 M- S3 R. W6 t  <C:\DOCUME~1\wq\LOCALS~1\Temp\wz\wz.exe -R><N/A>
[XDownloadService / XDownloadService]
4 ^9 }# [2 x3 n6 w8 y  <C:\WINDOWS\system32\Rundll32.exe "C:\WINDOWS\Downloader.dll",Run><N/A>

5 g1 H/ {& [( j8 c1 h8 q/ ^浏览器加载项
[NetAccelerate Class]
3 ~7 ^0 D  m9 p9 C3 i* e; G  {5673A7C0-95CC-4646-BB07-3BD71234CEF9} <C:\WINDOWS\system32\wuwebex.dll,
Microsoft Corporation>

armymanuse

顶一下……

rulingdanny

支持实用的帖子