流氓软件解决方法及防范zz

tonyboy

编辑这个帖子的目的是 让大家能够自己解决 ie浏览器弹出广告及其他因中招流氓软件，导致电脑使用中出现的各种问题
一、清除方法
  Q2 z) |7 C; Z) m$ ^) }+ N二、如何防范流氓软件及几款免费防间谍软件
! A  u+ J3 G6 p8 O三、hijackthis和SREng中常见修复项

一、清除方法
7 {5 D7 N& W# t; Y2 w第一步  添加删除程序里卸载（有些不提供卸载或者卸载不完全）
* K5 r* {7 z2 ?: t$ L    MMSAssist、winstdup、酷站导航、RichMedia、很棒小秘书、桌面传媒、桌面媒体、划词搜索、网络猪、青娱乐、搜搜地址栏搜索、中文上网、中文邮、网络实名、上网助手、雅虎助手
5 g0 T6 y8 e5 t0 z$ Q+ o
8 t! r1 ?2 y  r" ~. O( H% B' e第二步  使用软件
1、恶意软件清理助手 & 超级兔子 & Windows清理助手 & 360安全卫士
    以上几个软件，基本可以清除大部分常见流氓软件，几点说明
    （1）软件定期更新 注意升级 另不能清除的 安全模式下 清理
9 z5 k4 ]: t9 p+ {! t, K    （2）超级兔子功能只推荐 超级兔子清理王 专业卸载 功能
/ W* t8 o2 _, P/ h    （3）清理前先备份注册表，虽然出现问题的人极少。这一步操作自己选择吧，方法见版内置底的 常用方法

) y; F6 U$ O$ B6 o恶意软件清理助手(绿色软件，最好安全模式下操作，本软件定期更新，注意升级）
& _  B: I& G- c( ahttp://www.tommsoft.com/Products.aspx?pid=2
附件1  恶意软件清理助手(版本2.19 2006-10-13)
超级兔子（主界面-->超级兔子清理王-->专业卸载，7.55a版开始有免安装版)
附件2  超级兔子(版本7.85 2006-10-11) 附件是 超级兔子清理王，免安装版
http://www.pctutu.com/download.asp（超级兔子，安装版）
; v$ @2 Y; ?; A7 D3 O* Uhttp://download5.pctutu.com/soft/magicset785.zip（超级兔子，免安装版）
1 P+ m7 v) z. @; Q1 e% @http://download5.pctutu.com/soft/winspeed785.zip（超级兔子清理王，免安装版）
- y4 x" L% s9 V( K/ ^Windows清理助手
" h4 L% F: u7 b+ M8 Dhttp://www.arswp.com/
; k" O7 o( ^" U+ J% k360安全卫士
http://www.360safe.com/
* C" H; A0 P- a; [; c
2、hijackthis & SREng
    用hijackthi或者SREng找出问题项修复,这2个软件的用法见置底
) Q; w! W" ~$ s8 ]
第三步  手动操作
2 M. b3 u3 @( I( r8 L( z    对于前边操作都无法删除的,进控制台或者第三方软件启动（需要能访问ntfs）删除相应文件
) c% n/ C, F. |
/ C, l7 ~  A: e4 b, m二、如何防范流氓软件及防间谍软件
1、如何防范流氓软件
    （1）操作系统及ie打好补丁
5 |# n1 |/ U3 D* i4 k    （2）安装防病毒及防间谍软件
5 O/ U  S/ d% V2 f    （3）上网养成好习惯，不去不知名网站
    （4）不要随意安装共享软件、免费软件、汉化软件
  B) }; r& [- c3 q0 \" b; `0 y1 O
% w# X* C% K* H) ~) F2、防间谍软件（后2个为微软推荐的防间谍软件）
    目前很多杀毒软件都集成了防间谍组件，如诺顿2006、卡巴6、mcafee8（需要单独安装）等，以下几个软件是免费的防间谍软件。
（1）Windows Defender（微软开发的防间谍软件）
下载地址
http://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=en&SrcCategoryId=&SrcFamilyId=435BFCE7-DA2B-4A6A-AFA4-F7F14E605A0D&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2fe%2fd%2f0%2fed099d5e-dc60-4740-8747-1c72f053b800%2fWindowsDefender.msi

（2）Ad-Aware SE
下载地址:
% t* u- s! Y2 o) dhttp://www.lavasoft.de/ms/index.htm
" g% P) W3 [2 i7 x% d: }+ F% j% j" \3 @: h
（3）Spybot Search & Destroy (S&D)
$ |6 {5 I' v; Q下载地址
http://www.safer-networking.org/microsoft.en.html

0 \3 i. d% e7 _# T1 ^. Y5 P0 E5 C; I" |三、hijackthis和SREng中常见修复项
5 P& I" O6 h& c) Y1、hijackthis
如何使用该软件参见置底 以下列出常见需要修复的项

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\ .exe
（此项删除文件 C:\WINDOWS\ .exe）
) y9 h5 X1 O) @! ?' }/ }+ _) BF3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe
* ]& G$ H% g: O- P& q0 d
) V0 t& E2 u/ u1 }O2 - BHO: AdFilter - {8F8B1318-72FE-412F-9FE3-9CF15B631575} - C:\WINDOWS\system32\AdFilter.dll
' N5 \, ~& G( M6 a% @( t$ W# cO2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC.dll
; _( ~1 C8 J6 i+ x* UO2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC32.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC64.dll
- u8 j. f% {! j/ S$ qO2 - BHO: ltmenu Class - {78C21EFD-53BA-406C-AF1A-33A38ABD3958} - C:\Program Files\LtUcx\1002\c0.dll
O2 - BHO: BHelper - {8A4280AD-9B37-4922-A51D-73F3C3A32AF7} - C:\WINDOWS\system32\msibm\cfsbho.dll
; D* I9 t- j7 s- g% l2 `O2 - BHO: URLMonitor Class - {3ED9FFDA-79DB-4B2D-99B7-16EA3C4A3A92} - C:\WINDOWS\system32\hap.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\hbhelper.dll
; y* \3 X7 i4 d( }) ]; eO2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application
Data\Microsoft\IEHelper\IEHelper200638_8576.dll
（IEHelper****.dll都是 这个名字有变化）
O2 - BHO: MacroMediapd - {B8CCDD47-38E4-4CD2-B7FA-3B4B690F74BD} - C:\WINDOWS\system32\microapmddt.dll
1 O# h3 K5 @1 d9 ^8 R% E3 G+ Y# zO2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
' V/ A% Q6 c) Z$ W# ~O2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
O2 - BHO: IEHlprObj Class - {BA623AA0-9A82-4d0c-944C-0228CEA17780} - C:\Progra~1\Messenger\netshow.dll
$ Q6 t. |. e! ?! u* y' U( S2 W) bO2 - BHO: IEHlprObj Class - {F5B3ECED-9BF3-4f7e-882B-A6E75343C499} - C:\Progra~1\NetMeeting\netinit.dll
7 _3 I% I  }2 V4 jO2 - BHO: IEHlprObj Class - {999ADFA2-8AD1-47ff-97FC-69FB847458F4} -  C:\Progra~1\NetMeeting\nmview.dll
5 D, x1 {" g' p0 t, w: E( y: xO2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
& S- T2 v- T9 O- b5 w6 w9 iO2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
8 S; E; [$ @2 O; A& p# h- uO2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\qylhelper.dll
+ [& V3 A; V/ {2 sO2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
& e# U+ v  ^* z% PO2 - BHO: WebMiscItem Class - {3CD4296F-6CC3-11D9-B888-000C299AA719} - C:\WINDOWS\system32\WebMisc.dll
O2 - BHO: BrowserHelper Class - {2D99E8F4-56B7-457B-9A92-61B5D247D263} - C:\WINDOWS\system32\WinDefendor.dll
O2 - BHO: DownloadValue Class - {616D4040-5712-4F0F-BCF1-5C6420A99E14} - C:\WINDOWS\system32\winhtp.dll
6 v8 S& K2 c* d1 N7 o5 XO2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll

O3 - IE工具栏增项: 系统标准按钮(&E) - {6B2455FD-3669-4555-8DF8-69FD5BC846F8} -
. u* c  T* s0 `C:\WINDOWS\system32\SystemToolbar.dll

* D8 z/ m: g2 W+ b( ]: ^O4 - 启动项HKLM\\Run: [SCIntruder.dll] RUNDLL32.EXE C:\WINDOWS\system32\AdvSC.dll,Service                                       
O4 - 启动项HKLM\\Run: [mscfs] RUNDLL32 C:\WINDOWS\system32\msibm\cfsys.dll,cfs
, |/ u# O2 s3 g$ K) H8 ^9 ~  `O4 - 启动项HKLM\\Run: [RichMedia] C:\WINDOWS\system32\Rundll32.exe "C:\PROGRA~1\HBClient\hbhelper.dll",WaitWindows
2 k1 L+ I' K% `: H) Z$ o3 LO4 - HKCU\..\Run: [LetsCool] C:\Program Files\LetsCool\LetsCool.exe
0 N9 |2 k. m. s2 U/ b' GO4 - 启动项HKLM\\Run: [res] C:\WINDOWS\system32\res.exe
5 H5 Z3 z+ G) D% J& x4 NO4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
3 H0 l* p8 `2 R6 KO4 - 启动项HKLM\\Run: [supdate2.dll] RUNDLL32.EXE C:\WINDOWS\system32\supdate2.dll,Run
7 L5 K6 s/ E8 _4 i' H+ b' NO4 - 启动项HKLM\\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
O4 - Global Startup: IE-BAR.lnk = ?

+ y, I5 a2 h7 ]4 r( {2 f0 O6 B) V0 ]O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
  q, v' ^: g- UO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
3 o* o2 J! G/ e+ x- @+ z, zO7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System,
DisableRegedit=1

0 `$ x3 W) V% W! @6 [5 }4 y3 |O8 - IE右键菜单中的新增项目:   >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
  d8 I: e+ [# P/ U: O; BO9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
6 S5 n9 I9 A+ \) X, PO9 - 浏览器额外的“工具”菜单项: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll

+ p. o, |, M" `  V/ f! DO18 - Filter: text/html - {E7009873-0D40-45B1-8D59-5B9AE98C7D38} - C:\Program Files\Internet Explorer\Connection Wizard\icwnet.dll
, r. H- O' s8 o; X0 x
O21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} -
C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
3 k; z, p/ c  ]9 \. Y- _O21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -
C:\WINDOWS\SYSTEM32\stdup.dll
O21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} -
0 s! w' e2 Q* l& aC:\PROGRA~1\winkld\winkld.dll
6 ?0 q" Z. \! F, X/ W
O23 - NT 服务: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
O23 - NT 服务: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
: Z' o# h: E: m* _% V7 D! I+ TO23 - NT 服务: Windows Print Controller (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\SAND\qqfacerclient.exe
' p6 V$ h9 H* Y/ I1 [O23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:\Program Files\Common Files\smartde\sde.exe
5 J9 n& d7 s, f; X( ]O23 - NT 服务: VIPTray - Unknown owner - C:\WINDOWS\System32\VIPTray.exe
O23 - NT 服务: WinWrCup - MsWinCup - D:\WINDOWS\wincup\wincup.exe
2 z: a3 X* \! M2 i0 |6 ]' X, H
- ^3 |! V+ b- b& ?$ d2、SREng
如何使用该软件参见置底 以下列出常见需要修复的项

注册表
) D4 d! L5 o+ H! ~+ i[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <load><C:\windows\system32\wincfgs.exe>  []

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
\Run]
8 Q  V1 @( r8 J& D0 a    <SoundMix><rundll32.exe C:\WINDOWS\system32\soundmix.dll,Load>  []
    <CheckFaultKernel><C:\WINDOWS\system32\mswdm.exe>  []

. R" C# Z, P% v  s7 w[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <Userinit><C:\WINNT\System32\userinit.exe,C:\WINNT\System32\cmmon.exe>  []
' D3 o8 J4 k' j    <Userinit><userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\eklc.exe>  []
: d6 j/ a1 U) |4 \) A4 `: m    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\bcdffc.exe>  []
# q4 W# X) |/ D9 M4 @（这个 crypto文件夹下的几个文件会改变名字 通常还有一个 Microsoft Corporation属性的BHO
3 O* ]9 D1 Z) X* E2 q5 S6 r1 [[IEHlprObj Class]
  {D424FE4E-CAF9-4fdd-BC5F-E6E6B91D53BF} <C:\Progra~1\NetMeeting\conf.dll, Microsoft Corporation>）
1 @9 g/ H3 B5 i* P' A, Y* o! B
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{B48F6409-4740-475B-A474-651F54CCE460}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll>  []
    <{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}><C:\WINDOWS\DOWNLO~1\BDPlugin.dll>[]
! Y2 \. p- f& ^% ?' @0 @! k. m/ b& y    <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><C:\WINDOWS\DOWNLO~1\CnsHook.dll>[北京三七二一科技有限公司]

6 b- c; ?- Y; M  ]7 Y: Y[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
/ s. V7 K6 {; Y7 K1 K" h    <{af3fd9a8-1287-4159-9212-9a5b4494af70}><C:\WINDOWS\system32\guxxa.dll>  []
: x8 ^% l6 o( W# D) v; L: I
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
1 e* ^" J! a" Y1 V, z! H    <Vision><C:\PROGRA~1\MMSASS~1\Mmsass~1.dll>  []
    <DLMon><C:\WINDOWS\System32\DLMain.dll>  []

" t# J  t9 m* H1 L5 O8 o3 A服务
* f0 ]& q1 L4 O& ^$ c[Internet Protect Service / lDOMANE]
8 L' Z* I' J& P1 ?( Y  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export 1087><N/A>
. i! A) ^) ~, ~4 d[Internet Protect Service / BKMARKS]
. Q3 M* r* x2 B9 S; E- f1 l5 a5 l  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
9 @1 f: r7 g, q/ Q[Performance Moniter / BARCASE]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
! f8 l3 D) n7 e. G# Y& O6 T1087><N/A>
[JMediaService / JMediaService]
' b( n3 J& j3 _/ I7 b  <C:\WINNT\system32\rundll32.exe C:\PROGRA~1\MMSASS~1\MMSSVER.DLL,Service><N/A>
/ y% ~0 u& e' {  h1 f# [[StdService / StdService]
! k! H4 i+ ~4 t4 q4 o- W8 v  <C:\WINNT\system32\rundll32.exe C:\WINNT\System32\STDSVER.DLL,Service><N/A>
* X8 T1 N. i7 c# |& U[VIPTray / VIPTray]
" a: c& q1 t! S# Z( G' K  <C:\WINDOWS\System32\VIPTray.exe><N/A>
' M4 O  @: u2 [0 q6 N0 b[WinWrCup / WinWrCup]
; U0 j6 W0 m5 ]: k  <C:\WINNT\wincup\wincup.exe -R><MsWinCup>
[WinKld / WinKld]
4 E3 N6 W3 |3 x$ w0 b1 e  s  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\winkld\winkld.dll",Run -r><N/A>
( u. C/ l! P+ G7 \6 P8 Q[wint / wint]
/ h0 J7 E3 S' J% G  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\wint\wint.dll",Run -r><N/A>
[WinkldUP / WinkldUP]
1 v1 _% v5 q2 I3 {5 `3 d  <C:\DOCUME~1\wq\LOCALS~1\Temp\wz\wz.exe -R><N/A>
( d% C) H* Q4 r+ U4 ^. h[XDownloadService / XDownloadService]
  <C:\WINDOWS\system32\Rundll32.exe "C:\WINDOWS\Downloader.dll",Run><N/A>

9 i5 O  b$ S6 K9 W% Z) D浏览器加载项
[NetAccelerate Class]
* }2 h2 ~' ~" f+ v  {5673A7C0-95CC-4646-BB07-3BD71234CEF9} <C:\WINDOWS\system32\wuwebex.dll,
Microsoft Corporation>

armymanuse

顶一下……

rulingdanny

支持实用的帖子