流氓软件解决方法及防范zz

tonyboy

编辑这个帖子的目的是 让大家能够自己解决 ie浏览器弹出广告及其他因中招流氓软件，导致电脑使用中出现的各种问题
一、清除方法
二、如何防范流氓软件及几款免费防间谍软件
三、hijackthis和SREng中常见修复项

. o6 i' \6 e2 [/ p2 \0 u5 ~; d2 |一、清除方法
3 H$ B6 Q+ A: t6 Q. Y第一步  添加删除程序里卸载（有些不提供卸载或者卸载不完全）
    MMSAssist、winstdup、酷站导航、RichMedia、很棒小秘书、桌面传媒、桌面媒体、划词搜索、网络猪、青娱乐、搜搜地址栏搜索、中文上网、中文邮、网络实名、上网助手、雅虎助手

第二步  使用软件
1、恶意软件清理助手 & 超级兔子 & Windows清理助手 & 360安全卫士
' t) _9 ~7 ~2 G* w    以上几个软件，基本可以清除大部分常见流氓软件，几点说明
    （1）软件定期更新 注意升级 另不能清除的 安全模式下 清理
+ R+ z7 n- I+ w7 m3 a* W+ M    （2）超级兔子功能只推荐 超级兔子清理王 专业卸载 功能
    （3）清理前先备份注册表，虽然出现问题的人极少。这一步操作自己选择吧，方法见版内置底的 常用方法

, w# n  n3 A8 b恶意软件清理助手(绿色软件，最好安全模式下操作，本软件定期更新，注意升级）
4 I3 X! \- Z  y2 Hhttp://www.tommsoft.com/Products.aspx?pid=2
附件1  恶意软件清理助手(版本2.19 2006-10-13)
) Z+ j" L& M/ ^/ x  A3 e, q超级兔子（主界面-->超级兔子清理王-->专业卸载，7.55a版开始有免安装版)
附件2  超级兔子(版本7.85 2006-10-11) 附件是 超级兔子清理王，免安装版
- G4 d) ]. H; a5 L2 D% g+ Y& J1 @http://www.pctutu.com/download.asp（超级兔子，安装版）
http://download5.pctutu.com/soft/magicset785.zip（超级兔子，免安装版）
http://download5.pctutu.com/soft/winspeed785.zip（超级兔子清理王，免安装版）
) D' D3 t. Z' t0 m' mWindows清理助手
http://www.arswp.com/
: e, r  \6 S  g1 c9 _360安全卫士
- [8 Y& G1 _. D) r. j+ Ohttp://www.360safe.com/

2、hijackthis & SREng
    用hijackthi或者SREng找出问题项修复,这2个软件的用法见置底
/ m. v  E" H, g$ X
4 ~5 A4 E! G! J+ s第三步  手动操作
& u* r! j/ P2 r; V2 q) n# w    对于前边操作都无法删除的,进控制台或者第三方软件启动（需要能访问ntfs）删除相应文件

二、如何防范流氓软件及防间谍软件
1、如何防范流氓软件
' C% N4 s3 j# J- r: m( [    （1）操作系统及ie打好补丁
; {& R& X$ |* ^) X8 E    （2）安装防病毒及防间谍软件
    （3）上网养成好习惯，不去不知名网站
& w; z2 p7 c$ L% `, e6 T    （4）不要随意安装共享软件、免费软件、汉化软件

4 V! K6 x! i2 K/ t- q2、防间谍软件（后2个为微软推荐的防间谍软件）
5 Y8 ^7 ^# U4 _- e; v1 e    目前很多杀毒软件都集成了防间谍组件，如诺顿2006、卡巴6、mcafee8（需要单独安装）等，以下几个软件是免费的防间谍软件。
（1）Windows Defender（微软开发的防间谍软件）
# i, C. L8 |- \9 T6 T下载地址
$ s: }+ g$ ?7 B) d& f8 Z; ohttp://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=en&SrcCategoryId=&SrcFamilyId=435BFCE7-DA2B-4A6A-AFA4-F7F14E605A0D&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2fe%2fd%2f0%2fed099d5e-dc60-4740-8747-1c72f053b800%2fWindowsDefender.msi

（2）Ad-Aware SE
下载地址:
8 x  W# p* q/ ehttp://www.lavasoft.de/ms/index.htm

( V" `4 l4 w% m( G, |, E5 h- t（3）Spybot Search & Destroy (S&D)
下载地址
http://www.safer-networking.org/microsoft.en.html

+ i0 Z9 ~) C, v9 F$ |三、hijackthis和SREng中常见修复项
1、hijackthis
% @1 g, ~$ {% L7 l2 u如何使用该软件参见置底 以下列出常见需要修复的项
: l$ X# i4 D7 A2 f$ I0 l$ W" y
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\ .exe
8 W3 L& D1 Z, p9 T) B: ~: M（此项删除文件 C:\WINDOWS\ .exe）
F3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe
& c, x7 L, P% n1 l
O2 - BHO: AdFilter - {8F8B1318-72FE-412F-9FE3-9CF15B631575} - C:\WINDOWS\system32\AdFilter.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC32.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC64.dll
6 y# m' `* ?% i- y$ vO2 - BHO: ltmenu Class - {78C21EFD-53BA-406C-AF1A-33A38ABD3958} - C:\Program Files\LtUcx\1002\c0.dll
4 K' a: |5 C  LO2 - BHO: BHelper - {8A4280AD-9B37-4922-A51D-73F3C3A32AF7} - C:\WINDOWS\system32\msibm\cfsbho.dll
. ^4 x2 c  ^/ u2 a& T2 PO2 - BHO: URLMonitor Class - {3ED9FFDA-79DB-4B2D-99B7-16EA3C4A3A92} - C:\WINDOWS\system32\hap.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\hbhelper.dll
4 `, H* C" U% }) A8 X) oO2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application
Data\Microsoft\IEHelper\IEHelper200638_8576.dll
3 f% k. u7 S' m- M/ l( c4 g（IEHelper****.dll都是 这个名字有变化）
$ X$ m+ r$ }# r2 N. ?4 W5 F' T  V8 e/ RO2 - BHO: MacroMediapd - {B8CCDD47-38E4-4CD2-B7FA-3B4B690F74BD} - C:\WINDOWS\system32\microapmddt.dll
O2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
7 s5 N2 R- a5 R4 r3 ?O2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
# e+ V: O5 D. f3 C# {. J. W1 NO2 - BHO: IEHlprObj Class - {BA623AA0-9A82-4d0c-944C-0228CEA17780} - C:\Progra~1\Messenger\netshow.dll
# }9 @% t/ I9 @O2 - BHO: IEHlprObj Class - {F5B3ECED-9BF3-4f7e-882B-A6E75343C499} - C:\Progra~1\NetMeeting\netinit.dll
# H; S$ Z* q5 Q7 EO2 - BHO: IEHlprObj Class - {999ADFA2-8AD1-47ff-97FC-69FB847458F4} -  C:\Progra~1\NetMeeting\nmview.dll
O2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
$ s) S, c# E( C; v& NO2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
4 e! q$ t) v8 }$ K! I8 w7 iO2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\qylhelper.dll
O2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
O2 - BHO: WebMiscItem Class - {3CD4296F-6CC3-11D9-B888-000C299AA719} - C:\WINDOWS\system32\WebMisc.dll
9 ]0 G: @1 r( P! KO2 - BHO: BrowserHelper Class - {2D99E8F4-56B7-457B-9A92-61B5D247D263} - C:\WINDOWS\system32\WinDefendor.dll
) x4 q" \- H6 n$ MO2 - BHO: DownloadValue Class - {616D4040-5712-4F0F-BCF1-5C6420A99E14} - C:\WINDOWS\system32\winhtp.dll
) \7 w: ^2 D6 F; TO2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll
) e) b% X$ t/ d0 V
O3 - IE工具栏增项: 系统标准按钮(&E) - {6B2455FD-3669-4555-8DF8-69FD5BC846F8} -
/ G8 N& Q: k+ M. R3 ZC:\WINDOWS\system32\SystemToolbar.dll
/ Y. Q- |6 M8 M7 b8 u
; ~6 t/ a" e; q3 P) E+ }. OO4 - 启动项HKLM\\Run: [SCIntruder.dll] RUNDLL32.EXE C:\WINDOWS\system32\AdvSC.dll,Service                                       
; Y. Q, }2 |7 J0 b) [6 kO4 - 启动项HKLM\\Run: [mscfs] RUNDLL32 C:\WINDOWS\system32\msibm\cfsys.dll,cfs
O4 - 启动项HKLM\\Run: [RichMedia] C:\WINDOWS\system32\Rundll32.exe "C:\PROGRA~1\HBClient\hbhelper.dll",WaitWindows
O4 - HKCU\..\Run: [LetsCool] C:\Program Files\LetsCool\LetsCool.exe
O4 - 启动项HKLM\\Run: [res] C:\WINDOWS\system32\res.exe
  L3 H, S" R  @6 AO4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
O4 - 启动项HKLM\\Run: [supdate2.dll] RUNDLL32.EXE C:\WINDOWS\system32\supdate2.dll,Run
: U% h, a4 q) B- RO4 - 启动项HKLM\\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
O4 - Global Startup: IE-BAR.lnk = ?

2 s4 ^8 Q! b) u! r+ x. Z' K1 E: o; DO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
/ x2 ?& F% }, f* k  @) q9 BO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System,
( `" k) v" g0 ~5 lDisableRegedit=1
. P9 s) {; T* L: X4 _! U
O8 - IE右键菜单中的新增项目:   >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
: _5 @1 ?* Q4 K( U2 d" v9 M; |O9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
9 b5 f( N/ e+ A# i& e1 iO9 - 浏览器额外的“工具”菜单项: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
: l$ f6 i. p3 Y* B) I: |
% L/ [- ^7 \) i  ?# b" ~O18 - Filter: text/html - {E7009873-0D40-45B1-8D59-5B9AE98C7D38} - C:\Program Files\Internet Explorer\Connection Wizard\icwnet.dll

" G; j8 Z( Z8 Q# GO21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} -
0 n2 f% L4 |( m+ ?! IC:\PROGRA~1\MMSASS~1\Mmsass~1.dll
2 c* ~7 b. U9 F- O6 @. oO21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -
5 g" U! `& R7 q! m! i7 Z! C. d$ TC:\WINDOWS\SYSTEM32\stdup.dll
O21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} -
/ y  j+ c% a1 i! [% `: l  ~/ WC:\PROGRA~1\winkld\winkld.dll
% I& N1 ]# u4 k  Q+ y
O23 - NT 服务: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
O23 - NT 服务: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
5 N" s- \5 p2 d: ~O23 - NT 服务: Windows Print Controller (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\SAND\qqfacerclient.exe
5 N' H2 v# H0 O, k2 ]" hO23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:\Program Files\Common Files\smartde\sde.exe
O23 - NT 服务: VIPTray - Unknown owner - C:\WINDOWS\System32\VIPTray.exe
7 L' m0 h" s1 M; U6 @  wO23 - NT 服务: WinWrCup - MsWinCup - D:\WINDOWS\wincup\wincup.exe

2、SREng
如何使用该软件参见置底 以下列出常见需要修复的项

, N) Y3 S0 Z8 n9 l注册表
9 a/ d! o# i4 f6 _7 m* H: Q  A[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
9 M% x& v. I. ]" f! E: Z    <load><C:\windows\system32\wincfgs.exe>  []
) ^9 }! c( V# z) c% ]9 r- B
# O, C/ Z% T( Q$ I) y3 X2 g[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
\Run]
    <SoundMix><rundll32.exe C:\WINDOWS\system32\soundmix.dll,Load>  []
, |6 @0 G9 m( P    <CheckFaultKernel><C:\WINDOWS\system32\mswdm.exe>  []
/ `& c+ Z- u$ D  t
" b/ y- B; N8 V& p[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
2 m- X7 H2 ?1 R( C    <Userinit><C:\WINNT\System32\userinit.exe,C:\WINNT\System32\cmmon.exe>  []
    <Userinit><userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\eklc.exe>  []
7 V! y/ c2 r* k    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\bcdffc.exe>  []
（这个 crypto文件夹下的几个文件会改变名字 通常还有一个 Microsoft Corporation属性的BHO
) o; T4 Z4 F* ~7 J# ~' f0 n% ~[IEHlprObj Class]
% _  o: B- r0 [* i: A  {D424FE4E-CAF9-4fdd-BC5F-E6E6B91D53BF} <C:\Progra~1\NetMeeting\conf.dll, Microsoft Corporation>）

) o' i/ j/ @; c0 w1 ]& _+ C[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
/ a& K' g; O& t9 }: J( o    <{B48F6409-4740-475B-A474-651F54CCE460}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll>  []
% a& M6 F" e$ j5 @4 T    <{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}><C:\WINDOWS\DOWNLO~1\BDPlugin.dll>[]
6 L/ B  O  A  G2 ]& @- @    <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><C:\WINDOWS\DOWNLO~1\CnsHook.dll>[北京三七二一科技有限公司]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
3 [/ ]5 N& {1 [* O) n3 o    <{af3fd9a8-1287-4159-9212-9a5b4494af70}><C:\WINDOWS\system32\guxxa.dll>  []
1 i' Q, j& J! i! K1 h* x7 w2 K. P
, a" h! B; |+ x' i5 F+ |[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
    <Vision><C:\PROGRA~1\MMSASS~1\Mmsass~1.dll>  []
4 z5 e! C) W% N    <DLMon><C:\WINDOWS\System32\DLMain.dll>  []
1 r9 p* S7 k. w5 j. Y* O5 q7 f
  G6 v. M6 f2 K9 H服务
[Internet Protect Service / lDOMANE]
2 R$ u  i( |( v3 M# i( }  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export 1087><N/A>
: z7 V+ ]0 |, J4 J! o[Internet Protect Service / BKMARKS]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
2 L' J7 Q9 h: ]7 _3 D2 _# ~  N1087><N/A>
  p+ P- N4 W+ C2 h- n[Performance Moniter / BARCASE]
7 H. X. {) s+ g4 \3 r" w& k8 H, o  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
4 B& B" C& I! B0 T/ J[JMediaService / JMediaService]
8 b! K3 e" s/ {. a: Q' S% y- O  <C:\WINNT\system32\rundll32.exe C:\PROGRA~1\MMSASS~1\MMSSVER.DLL,Service><N/A>
4 N) r1 q; h+ \[StdService / StdService]
* X- a0 J6 c# _: G  {2 L  <C:\WINNT\system32\rundll32.exe C:\WINNT\System32\STDSVER.DLL,Service><N/A>
[VIPTray / VIPTray]
( b% y/ z# n& V" I- @  <C:\WINDOWS\System32\VIPTray.exe><N/A>
" a  p" m& n* r/ y[WinWrCup / WinWrCup]
  <C:\WINNT\wincup\wincup.exe -R><MsWinCup>
! T% o1 K1 M3 O! ]3 q- E, H[WinKld / WinKld]
  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\winkld\winkld.dll",Run -r><N/A>
[wint / wint]
7 m: E# p; ]) R$ y0 Q  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\wint\wint.dll",Run -r><N/A>
[WinkldUP / WinkldUP]
4 t7 l* y+ M: I& c! B5 \6 o  <C:\DOCUME~1\wq\LOCALS~1\Temp\wz\wz.exe -R><N/A>
4 T  ]8 [  a4 c" c/ z* t- g[XDownloadService / XDownloadService]
  <C:\WINDOWS\system32\Rundll32.exe "C:\WINDOWS\Downloader.dll",Run><N/A>
+ N8 I; f6 a9 i3 P" [; F/ J
' J7 k1 F9 C0 i浏览器加载项
[NetAccelerate Class]
. n3 L9 |, V( [- x8 ]# w. x  {5673A7C0-95CC-4646-BB07-3BD71234CEF9} <C:\WINDOWS\system32\wuwebex.dll,
Microsoft Corporation>

armymanuse

顶一下……

rulingdanny

支持实用的帖子