流氓软件解决方法及防范zz

tonyboy

编辑这个帖子的目的是 让大家能够自己解决 ie浏览器弹出广告及其他因中招流氓软件，导致电脑使用中出现的各种问题
) U5 |9 N) Q( g2 g4 F0 c' G一、清除方法
二、如何防范流氓软件及几款免费防间谍软件
8 `9 p* k5 f) a, M- d# T三、hijackthis和SREng中常见修复项

$ F1 K5 p0 r. w/ f一、清除方法
第一步  添加删除程序里卸载（有些不提供卸载或者卸载不完全）
/ a2 ~  p, w' o& V; A    MMSAssist、winstdup、酷站导航、RichMedia、很棒小秘书、桌面传媒、桌面媒体、划词搜索、网络猪、青娱乐、搜搜地址栏搜索、中文上网、中文邮、网络实名、上网助手、雅虎助手
) [: a& w" }6 u- G  k/ T  z
第二步  使用软件
! s1 A7 X7 m" ~1、恶意软件清理助手 & 超级兔子 & Windows清理助手 & 360安全卫士
, M' ~' i# l- N1 p5 j. M    以上几个软件，基本可以清除大部分常见流氓软件，几点说明
9 m( P0 e. b% y% f: U5 w' K3 u, s    （1）软件定期更新 注意升级 另不能清除的 安全模式下 清理
    （2）超级兔子功能只推荐 超级兔子清理王 专业卸载 功能
) [3 S2 U; |. G. W  z3 _& p    （3）清理前先备份注册表，虽然出现问题的人极少。这一步操作自己选择吧，方法见版内置底的 常用方法
$ u3 \, t: b: x  U& M6 \
恶意软件清理助手(绿色软件，最好安全模式下操作，本软件定期更新，注意升级）
http://www.tommsoft.com/Products.aspx?pid=2
5 F6 x! y& L" K# N5 `6 j附件1  恶意软件清理助手(版本2.19 2006-10-13)
  [! P) n* H0 D# D( F超级兔子（主界面-->超级兔子清理王-->专业卸载，7.55a版开始有免安装版)
1 R% \! p. S* x6 P* @附件2  超级兔子(版本7.85 2006-10-11) 附件是 超级兔子清理王，免安装版
http://www.pctutu.com/download.asp（超级兔子，安装版）
0 l2 ]7 w/ ^0 y! `: Zhttp://download5.pctutu.com/soft/magicset785.zip（超级兔子，免安装版）
http://download5.pctutu.com/soft/winspeed785.zip（超级兔子清理王，免安装版）
' ?' J0 i. j4 i' y# q( {Windows清理助手
http://www.arswp.com/
. C. v5 i+ J) @$ S, X360安全卫士
9 o: y' a8 I- l: `2 C. e7 Q+ vhttp://www.360safe.com/
' B6 {' E+ I+ b$ u
7 O. B: J0 t% c2、hijackthis & SREng
/ h0 i  K0 F  x& k! r0 @' d2 X, w  p    用hijackthi或者SREng找出问题项修复,这2个软件的用法见置底
/ Y( t) c% x% D6 C$ I, X
! K6 k7 ~0 V9 f  V* Z第三步  手动操作
    对于前边操作都无法删除的,进控制台或者第三方软件启动（需要能访问ntfs）删除相应文件

二、如何防范流氓软件及防间谍软件
5 k% z7 v: g6 O$ i1、如何防范流氓软件
    （1）操作系统及ie打好补丁
    （2）安装防病毒及防间谍软件
. l' |* m4 e' Y- ]7 l' F    （3）上网养成好习惯，不去不知名网站
7 E: ]) A( ?2 _1 _1 h: O$ d    （4）不要随意安装共享软件、免费软件、汉化软件
# L8 T/ L5 q6 f
8 L) q4 a) R4 b; D. T8 B- {2、防间谍软件（后2个为微软推荐的防间谍软件）
- w" Y. A, r* a& A    目前很多杀毒软件都集成了防间谍组件，如诺顿2006、卡巴6、mcafee8（需要单独安装）等，以下几个软件是免费的防间谍软件。
6 a+ s: b7 q# V0 Y（1）Windows Defender（微软开发的防间谍软件）
下载地址
# Q3 v3 z7 U+ x* V2 K* H( b0 a* ?http://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=en&SrcCategoryId=&SrcFamilyId=435BFCE7-DA2B-4A6A-AFA4-F7F14E605A0D&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2fe%2fd%2f0%2fed099d5e-dc60-4740-8747-1c72f053b800%2fWindowsDefender.msi

（2）Ad-Aware SE
下载地址:
http://www.lavasoft.de/ms/index.htm

（3）Spybot Search & Destroy (S&D)
下载地址
& o  L3 r' M1 K, j' y. k# [http://www.safer-networking.org/microsoft.en.html
! r' i  ^. a/ O* d
' `1 D! u  G% Z, x5 @% y9 {4 U三、hijackthis和SREng中常见修复项
; A: g9 x* E8 i. G/ R0 q' c& c# I1、hijackthis
& T+ S; Q/ m8 _7 A1 k2 D" W- K0 y3 N1 I如何使用该软件参见置底 以下列出常见需要修复的项
4 h# m$ @. T+ ^2 H% o7 ~1 @
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\ .exe
1 _, w: J0 V) S+ i+ S（此项删除文件 C:\WINDOWS\ .exe）
. q; k7 G" f1 \3 i" m  C1 lF3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe

O2 - BHO: AdFilter - {8F8B1318-72FE-412F-9FE3-9CF15B631575} - C:\WINDOWS\system32\AdFilter.dll
& j; p- k! r" B4 I  [O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC.dll
- K) n  Z* x9 X! T3 K/ u& [O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC32.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC64.dll
( }% L" d+ m- f! u' ^8 B! YO2 - BHO: ltmenu Class - {78C21EFD-53BA-406C-AF1A-33A38ABD3958} - C:\Program Files\LtUcx\1002\c0.dll
O2 - BHO: BHelper - {8A4280AD-9B37-4922-A51D-73F3C3A32AF7} - C:\WINDOWS\system32\msibm\cfsbho.dll
O2 - BHO: URLMonitor Class - {3ED9FFDA-79DB-4B2D-99B7-16EA3C4A3A92} - C:\WINDOWS\system32\hap.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\hbhelper.dll
O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application
Data\Microsoft\IEHelper\IEHelper200638_8576.dll
（IEHelper****.dll都是 这个名字有变化）
O2 - BHO: MacroMediapd - {B8CCDD47-38E4-4CD2-B7FA-3B4B690F74BD} - C:\WINDOWS\system32\microapmddt.dll
O2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
$ l& m/ F/ R' LO2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
O2 - BHO: IEHlprObj Class - {BA623AA0-9A82-4d0c-944C-0228CEA17780} - C:\Progra~1\Messenger\netshow.dll
O2 - BHO: IEHlprObj Class - {F5B3ECED-9BF3-4f7e-882B-A6E75343C499} - C:\Progra~1\NetMeeting\netinit.dll
O2 - BHO: IEHlprObj Class - {999ADFA2-8AD1-47ff-97FC-69FB847458F4} -  C:\Progra~1\NetMeeting\nmview.dll
. W# ]/ T. g) m/ QO2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
& t! X- W# ^: ]O2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
$ O" m; W! h6 T4 QO2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\qylhelper.dll
( n" b* q* s; a- u1 B; ^" VO2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
O2 - BHO: WebMiscItem Class - {3CD4296F-6CC3-11D9-B888-000C299AA719} - C:\WINDOWS\system32\WebMisc.dll
O2 - BHO: BrowserHelper Class - {2D99E8F4-56B7-457B-9A92-61B5D247D263} - C:\WINDOWS\system32\WinDefendor.dll
5 m( a; P! `# x0 E$ D* mO2 - BHO: DownloadValue Class - {616D4040-5712-4F0F-BCF1-5C6420A99E14} - C:\WINDOWS\system32\winhtp.dll
O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll
& D, [) x! {+ R# m% [' b2 g
' ]5 t, [, L, ^" sO3 - IE工具栏增项: 系统标准按钮(&E) - {6B2455FD-3669-4555-8DF8-69FD5BC846F8} -
C:\WINDOWS\system32\SystemToolbar.dll
& k; c! d; g! _* f1 V2 h. U* Z
- b1 D- J1 {9 o# {# \) nO4 - 启动项HKLM\\Run: [SCIntruder.dll] RUNDLL32.EXE C:\WINDOWS\system32\AdvSC.dll,Service                                       
- |" x# l+ B& G7 w, w* b& oO4 - 启动项HKLM\\Run: [mscfs] RUNDLL32 C:\WINDOWS\system32\msibm\cfsys.dll,cfs
O4 - 启动项HKLM\\Run: [RichMedia] C:\WINDOWS\system32\Rundll32.exe "C:\PROGRA~1\HBClient\hbhelper.dll",WaitWindows
, h3 T6 t: }& i$ \8 AO4 - HKCU\..\Run: [LetsCool] C:\Program Files\LetsCool\LetsCool.exe
O4 - 启动项HKLM\\Run: [res] C:\WINDOWS\system32\res.exe
O4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
' r& B2 M7 \$ ?2 \, Y$ _& a" IO4 - 启动项HKLM\\Run: [supdate2.dll] RUNDLL32.EXE C:\WINDOWS\system32\supdate2.dll,Run
$ w# ]: Z" w% t- cO4 - 启动项HKLM\\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
3 e7 R( G- n# N0 z/ CO4 - Global Startup: IE-BAR.lnk = ?

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
; _  r% Y  r! {. m# p- h6 iO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
+ t6 F3 s7 N+ x8 R9 I. k/ ?O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System,
DisableRegedit=1

* j$ Z' T0 C' \1 X: mO8 - IE右键菜单中的新增项目:   >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
! a$ Z  \7 i# `% _# }1 _7 n2 oO9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
) ^& b& N. N1 |# O8 s0 d% }% _2 SO9 - 浏览器额外的“工具”菜单项: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
) o& R/ d9 Q) ~, W3 ^
( C& E% e, y  PO18 - Filter: text/html - {E7009873-0D40-45B1-8D59-5B9AE98C7D38} - C:\Program Files\Internet Explorer\Connection Wizard\icwnet.dll
8 Q. v6 T, n& }, G3 ^
O21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} -
& z, l5 W8 i) FC:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -
C:\WINDOWS\SYSTEM32\stdup.dll
O21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} -
3 b4 K2 M: V$ W. t' P3 X3 |C:\PROGRA~1\winkld\winkld.dll
* |- j: l) ^1 {! R0 f. s9 l$ G
O23 - NT 服务: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
4 t9 X# r! P& B7 {7 R- |O23 - NT 服务: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
O23 - NT 服务: Windows Print Controller (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\SAND\qqfacerclient.exe
O23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:\Program Files\Common Files\smartde\sde.exe
0 w+ r/ U3 F3 QO23 - NT 服务: VIPTray - Unknown owner - C:\WINDOWS\System32\VIPTray.exe
O23 - NT 服务: WinWrCup - MsWinCup - D:\WINDOWS\wincup\wincup.exe

- D& E$ P1 z; \7 Z3 x2、SREng
! ]; V6 `* o- d9 a  H9 D+ d+ R% w3 L8 O如何使用该软件参见置底 以下列出常见需要修复的项

, J( t+ w( M' _9 }1 R; B; z; P注册表
/ y" Y' ?. j$ V- \[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
9 o! c4 y0 ?' o2 a* t& `    <load><C:\windows\system32\wincfgs.exe>  []

" O1 I- _( r' {. H3 a# B2 u+ l[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
' Z  g  c3 v; ~8 c' I0 ?% Z\Run]
    <SoundMix><rundll32.exe C:\WINDOWS\system32\soundmix.dll,Load>  []
1 a3 D$ G6 Q$ [" [$ a, p    <CheckFaultKernel><C:\WINDOWS\system32\mswdm.exe>  []
' L. Y. ~. G+ E' j! f, A2 i, E
0 x2 R! p" z( @) s[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
9 n6 N* A- r: T; W! t' V! f) Z    <Userinit><C:\WINNT\System32\userinit.exe,C:\WINNT\System32\cmmon.exe>  []
    <Userinit><userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe>  []
, e! d& I, z, ]: m& e    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\eklc.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\bcdffc.exe>  []
（这个 crypto文件夹下的几个文件会改变名字 通常还有一个 Microsoft Corporation属性的BHO
[IEHlprObj Class]
5 O2 J) R  w8 `2 J6 i; M  {D424FE4E-CAF9-4fdd-BC5F-E6E6B91D53BF} <C:\Progra~1\NetMeeting\conf.dll, Microsoft Corporation>）
1 b) v8 M0 W: Y+ R2 g! X: o) ^2 }
5 U) F6 }. Y0 I/ h; p5 o6 K[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{B48F6409-4740-475B-A474-651F54CCE460}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll>  []
2 D$ U" S/ d# r    <{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}><C:\WINDOWS\DOWNLO~1\BDPlugin.dll>[]
2 T1 W# n9 @4 L( ]    <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><C:\WINDOWS\DOWNLO~1\CnsHook.dll>[北京三七二一科技有限公司]
. a; f0 r9 I! j8 `
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
+ S8 x7 @! ?. J% K% {: @$ [    <{af3fd9a8-1287-4159-9212-9a5b4494af70}><C:\WINDOWS\system32\guxxa.dll>  []

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
    <Vision><C:\PROGRA~1\MMSASS~1\Mmsass~1.dll>  []
, p! Y# N9 [8 ?$ R3 c    <DLMon><C:\WINDOWS\System32\DLMain.dll>  []
7 T: _" M8 X8 y$ k+ y
: m8 t% f- H3 d8 U; Q服务
* K: a6 b, V! L) t. x[Internet Protect Service / lDOMANE]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export 1087><N/A>
[Internet Protect Service / BKMARKS]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
9 U. f# O$ T5 g+ o  y4 }6 S" ][Performance Moniter / BARCASE]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
9 P% ~2 B& ~" i2 d, {. B6 k6 |1087><N/A>
[JMediaService / JMediaService]
. `4 U2 E8 W% R5 D6 W  <C:\WINNT\system32\rundll32.exe C:\PROGRA~1\MMSASS~1\MMSSVER.DLL,Service><N/A>
; `, Z2 \- }8 h( i[StdService / StdService]
  <C:\WINNT\system32\rundll32.exe C:\WINNT\System32\STDSVER.DLL,Service><N/A>
  r. s0 D& s- ?1 M  \9 y9 L[VIPTray / VIPTray]
& A+ w2 ~. _+ V4 ^7 E9 `2 E  <C:\WINDOWS\System32\VIPTray.exe><N/A>
" Y; n' C+ k# q! q2 b4 r[WinWrCup / WinWrCup]
  <C:\WINNT\wincup\wincup.exe -R><MsWinCup>
8 g: j$ M8 w/ Z8 \5 }, @[WinKld / WinKld]
  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\winkld\winkld.dll",Run -r><N/A>
8 ^% A! `5 W& H5 m% [/ E0 m3 Y[wint / wint]
7 P' |  S: ]% W* P. q$ v  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\wint\wint.dll",Run -r><N/A>
[WinkldUP / WinkldUP]
  <C:\DOCUME~1\wq\LOCALS~1\Temp\wz\wz.exe -R><N/A>
[XDownloadService / XDownloadService]
  <C:\WINDOWS\system32\Rundll32.exe "C:\WINDOWS\Downloader.dll",Run><N/A>
8 L# o! @$ S! ^% s; q# \
浏览器加载项
[NetAccelerate Class]
. J4 E: L* m9 _/ X6 M! d  {5673A7C0-95CC-4646-BB07-3BD71234CEF9} <C:\WINDOWS\system32\wuwebex.dll,
Microsoft Corporation>

armymanuse

顶一下……

rulingdanny

支持实用的帖子