流氓软件解决方法及防范zz

tonyboy

编辑这个帖子的目的是 让大家能够自己解决 ie浏览器弹出广告及其他因中招流氓软件，导致电脑使用中出现的各种问题
一、清除方法
二、如何防范流氓软件及几款免费防间谍软件
三、hijackthis和SREng中常见修复项

3 c' _3 X- z/ ~! d( L5 q' Y; R一、清除方法
第一步  添加删除程序里卸载（有些不提供卸载或者卸载不完全）
& v& ~- z& S' v    MMSAssist、winstdup、酷站导航、RichMedia、很棒小秘书、桌面传媒、桌面媒体、划词搜索、网络猪、青娱乐、搜搜地址栏搜索、中文上网、中文邮、网络实名、上网助手、雅虎助手
, t7 E5 @( @' c$ a" O
第二步  使用软件
: B2 f8 i% b1 i" R! u1、恶意软件清理助手 & 超级兔子 & Windows清理助手 & 360安全卫士
4 o' @- e- C4 V/ P% P" t3 G: `6 P; S    以上几个软件，基本可以清除大部分常见流氓软件，几点说明
    （1）软件定期更新 注意升级 另不能清除的 安全模式下 清理
9 p! C+ X4 f( x    （2）超级兔子功能只推荐 超级兔子清理王 专业卸载 功能
! v( p. d% V1 r1 \) b; Q  k. O    （3）清理前先备份注册表，虽然出现问题的人极少。这一步操作自己选择吧，方法见版内置底的 常用方法

恶意软件清理助手(绿色软件，最好安全模式下操作，本软件定期更新，注意升级）
) C: j+ H1 K. [9 `; J( G3 uhttp://www.tommsoft.com/Products.aspx?pid=2
附件1  恶意软件清理助手(版本2.19 2006-10-13)
5 M! R5 q" D+ f4 ?超级兔子（主界面-->超级兔子清理王-->专业卸载，7.55a版开始有免安装版)
附件2  超级兔子(版本7.85 2006-10-11) 附件是 超级兔子清理王，免安装版
" ~0 I  T4 V9 X+ }2 _+ E0 w, X# fhttp://www.pctutu.com/download.asp（超级兔子，安装版）
http://download5.pctutu.com/soft/magicset785.zip（超级兔子，免安装版）
' V% ^: D* T0 [# f- ?) _2 T! hhttp://download5.pctutu.com/soft/winspeed785.zip（超级兔子清理王，免安装版）
Windows清理助手
http://www.arswp.com/
360安全卫士
http://www.360safe.com/

% a) u5 w: k4 H' r2、hijackthis & SREng
0 Z! g7 I/ o" k# v3 k6 B    用hijackthi或者SREng找出问题项修复,这2个软件的用法见置底

第三步  手动操作
; q# t' i5 ?' s+ R, y3 d+ |4 C    对于前边操作都无法删除的,进控制台或者第三方软件启动（需要能访问ntfs）删除相应文件
6 o- s, W0 g7 i# I" J
二、如何防范流氓软件及防间谍软件
1、如何防范流氓软件
    （1）操作系统及ie打好补丁
4 z! c% M% I! A    （2）安装防病毒及防间谍软件
( A1 ]6 b  G6 t2 z    （3）上网养成好习惯，不去不知名网站
    （4）不要随意安装共享软件、免费软件、汉化软件
& C2 j. ?9 u; ]. M4 [
2、防间谍软件（后2个为微软推荐的防间谍软件）
" r7 L3 G1 p6 V5 W  I1 n9 T5 g8 |    目前很多杀毒软件都集成了防间谍组件，如诺顿2006、卡巴6、mcafee8（需要单独安装）等，以下几个软件是免费的防间谍软件。
- d  j: Q& {& e（1）Windows Defender（微软开发的防间谍软件）
& |9 ^9 n9 |( n, F9 Z下载地址
http://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=en&SrcCategoryId=&SrcFamilyId=435BFCE7-DA2B-4A6A-AFA4-F7F14E605A0D&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2fe%2fd%2f0%2fed099d5e-dc60-4740-8747-1c72f053b800%2fWindowsDefender.msi
2 v4 X* f  V# z
" T5 w3 L& P4 h0 N# p  q; s' z& x（2）Ad-Aware SE
0 J- X% N4 S; L+ F! w1 I下载地址:
1 C; c9 R! K. C( Y0 S2 Ghttp://www.lavasoft.de/ms/index.htm

（3）Spybot Search & Destroy (S&D)
下载地址
http://www.safer-networking.org/microsoft.en.html

& o) p5 g' D- S0 p5 u4 n三、hijackthis和SREng中常见修复项
1、hijackthis
如何使用该软件参见置底 以下列出常见需要修复的项

) c8 p; f; y0 Z' aF2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\ .exe
6 ~- l5 t/ D5 [; w( i" X7 ~（此项删除文件 C:\WINDOWS\ .exe）
F3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe
; h) ~/ w. E! G, }, B/ ~
9 s7 p- k- B) x% e: L4 g! `3 l  XO2 - BHO: AdFilter - {8F8B1318-72FE-412F-9FE3-9CF15B631575} - C:\WINDOWS\system32\AdFilter.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC.dll
* U" }; F7 |( ~3 G- v$ H' g* eO2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC32.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC64.dll
" h9 d8 M$ f9 c- ~7 R% _O2 - BHO: ltmenu Class - {78C21EFD-53BA-406C-AF1A-33A38ABD3958} - C:\Program Files\LtUcx\1002\c0.dll
O2 - BHO: BHelper - {8A4280AD-9B37-4922-A51D-73F3C3A32AF7} - C:\WINDOWS\system32\msibm\cfsbho.dll
% R) ~# w1 w8 J1 Z" ZO2 - BHO: URLMonitor Class - {3ED9FFDA-79DB-4B2D-99B7-16EA3C4A3A92} - C:\WINDOWS\system32\hap.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\hbhelper.dll
O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application
) g+ D% r. e8 @  r3 d# uData\Microsoft\IEHelper\IEHelper200638_8576.dll
! ]2 B: k+ q3 a' |（IEHelper****.dll都是 这个名字有变化）
O2 - BHO: MacroMediapd - {B8CCDD47-38E4-4CD2-B7FA-3B4B690F74BD} - C:\WINDOWS\system32\microapmddt.dll
3 v7 x1 W/ i1 i+ h; oO2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
4 M2 c; u9 ?# g  B, ^3 ?$ l! EO2 - BHO: IEHlprObj Class - {BA623AA0-9A82-4d0c-944C-0228CEA17780} - C:\Progra~1\Messenger\netshow.dll
O2 - BHO: IEHlprObj Class - {F5B3ECED-9BF3-4f7e-882B-A6E75343C499} - C:\Progra~1\NetMeeting\netinit.dll
* w3 t) s4 B3 g7 R. L* DO2 - BHO: IEHlprObj Class - {999ADFA2-8AD1-47ff-97FC-69FB847458F4} -  C:\Progra~1\NetMeeting\nmview.dll
O2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
O2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
& G! U+ a" H. X; n. ZO2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\qylhelper.dll
$ ^. ^" c6 _5 h2 j: DO2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
& J1 o/ s, l& O5 L* D) yO2 - BHO: WebMiscItem Class - {3CD4296F-6CC3-11D9-B888-000C299AA719} - C:\WINDOWS\system32\WebMisc.dll
* ^( L+ y! B! X4 s# ~O2 - BHO: BrowserHelper Class - {2D99E8F4-56B7-457B-9A92-61B5D247D263} - C:\WINDOWS\system32\WinDefendor.dll
* O0 f+ S5 |* f% j8 wO2 - BHO: DownloadValue Class - {616D4040-5712-4F0F-BCF1-5C6420A99E14} - C:\WINDOWS\system32\winhtp.dll
! S& [% e! S, S0 u8 _O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll
1 q5 i8 G7 `. H7 j5 j+ W8 h# |
O3 - IE工具栏增项: 系统标准按钮(&E) - {6B2455FD-3669-4555-8DF8-69FD5BC846F8} -
C:\WINDOWS\system32\SystemToolbar.dll

1 F9 R3 x% E8 i5 {O4 - 启动项HKLM\\Run: [SCIntruder.dll] RUNDLL32.EXE C:\WINDOWS\system32\AdvSC.dll,Service                                       
1 n% F  f: T' k; c$ V" SO4 - 启动项HKLM\\Run: [mscfs] RUNDLL32 C:\WINDOWS\system32\msibm\cfsys.dll,cfs
& M5 a. L+ v, _O4 - 启动项HKLM\\Run: [RichMedia] C:\WINDOWS\system32\Rundll32.exe "C:\PROGRA~1\HBClient\hbhelper.dll",WaitWindows
O4 - HKCU\..\Run: [LetsCool] C:\Program Files\LetsCool\LetsCool.exe
/ i# g: S) t  n1 mO4 - 启动项HKLM\\Run: [res] C:\WINDOWS\system32\res.exe
3 T. Z8 w3 O3 ~2 Z% I1 ^5 `+ XO4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
O4 - 启动项HKLM\\Run: [supdate2.dll] RUNDLL32.EXE C:\WINDOWS\system32\supdate2.dll,Run
O4 - 启动项HKLM\\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
+ x' d! K. I0 b& J4 T  F" `/ kO4 - Global Startup: IE-BAR.lnk = ?

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
, c" x; U0 H& X" P! uO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
" q9 U9 g3 t# HO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System,
DisableRegedit=1

, ^( x1 o: l$ ]$ m! ?O8 - IE右键菜单中的新增项目:   >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
O9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
/ O( @7 W6 x5 b6 y, ZO9 - 浏览器额外的“工具”菜单项: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll

O18 - Filter: text/html - {E7009873-0D40-45B1-8D59-5B9AE98C7D38} - C:\Program Files\Internet Explorer\Connection Wizard\icwnet.dll

# O2 M0 u% W% Q7 k* A" \O21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} -
# R( `7 I% D" k  ~$ b: mC:\PROGRA~1\MMSASS~1\Mmsass~1.dll
& W% C& d- Y3 n5 d$ {O21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -
( K3 u, b/ K7 [4 [8 {  c& T% ]C:\WINDOWS\SYSTEM32\stdup.dll
! U6 q& _7 b) D& nO21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} -
" l  U" e: ^  aC:\PROGRA~1\winkld\winkld.dll

O23 - NT 服务: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
# b( R& n* W$ ]# T, q1 u! j  \0 NO23 - NT 服务: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
O23 - NT 服务: Windows Print Controller (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\SAND\qqfacerclient.exe
O23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:\Program Files\Common Files\smartde\sde.exe
O23 - NT 服务: VIPTray - Unknown owner - C:\WINDOWS\System32\VIPTray.exe
8 J  k' n- I3 o5 t, J9 }! Q5 U6 X  SO23 - NT 服务: WinWrCup - MsWinCup - D:\WINDOWS\wincup\wincup.exe

2、SREng
如何使用该软件参见置底 以下列出常见需要修复的项
2 K* b/ Z$ J1 g+ c( l; [, U9 s
- M2 n7 R+ s* @9 O  J注册表
* o8 o6 e9 G6 ^; {[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
- y! _" |: H; n& D# v0 `    <load><C:\windows\system32\wincfgs.exe>  []
" C8 k" R0 B5 H' @- d' \
4 P2 W. i3 U7 L4 W' J[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
! M! ^) W6 R( E9 k: s- t$ F\Run]
    <SoundMix><rundll32.exe C:\WINDOWS\system32\soundmix.dll,Load>  []
    <CheckFaultKernel><C:\WINDOWS\system32\mswdm.exe>  []

% B: t" h) `6 R( L0 o2 g[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
8 g/ N$ R* v- Y1 m) i  Y; c    <Userinit><C:\WINNT\System32\userinit.exe,C:\WINNT\System32\cmmon.exe>  []
    <Userinit><userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe>  []
- ~4 I  \" g( {2 P. H    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\eklc.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\bcdffc.exe>  []
! v* }( W6 O% h7 O（这个 crypto文件夹下的几个文件会改变名字 通常还有一个 Microsoft Corporation属性的BHO
[IEHlprObj Class]
  {D424FE4E-CAF9-4fdd-BC5F-E6E6B91D53BF} <C:\Progra~1\NetMeeting\conf.dll, Microsoft Corporation>）

8 M+ S/ C/ a4 J6 S[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
+ E. t8 A( C) l    <{B48F6409-4740-475B-A474-651F54CCE460}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll>  []
9 Y3 ?7 t+ f" D. Y  o; ~) a- A    <{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}><C:\WINDOWS\DOWNLO~1\BDPlugin.dll>[]
    <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><C:\WINDOWS\DOWNLO~1\CnsHook.dll>[北京三七二一科技有限公司]
4 ^% d* K- p3 l
: F; K/ v* F) `8 @9 u[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
6 v1 `0 X2 Q  [5 ~    <{af3fd9a8-1287-4159-9212-9a5b4494af70}><C:\WINDOWS\system32\guxxa.dll>  []

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
. |5 A6 U9 P0 M! s+ g. z. V+ r    <Vision><C:\PROGRA~1\MMSASS~1\Mmsass~1.dll>  []
! P8 B2 D- b% S, l    <DLMon><C:\WINDOWS\System32\DLMain.dll>  []
" f4 I* D/ J5 Y
! U8 a# @5 A1 V$ E, Q服务
[Internet Protect Service / lDOMANE]
" x1 {+ l8 W# S0 Y" H- l: Z% }  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export 1087><N/A>
* T; I2 F. }+ q2 z[Internet Protect Service / BKMARKS]
, R+ M9 I. h5 E6 R% ]  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
& D1 P; p3 L$ O1087><N/A>
[Performance Moniter / BARCASE]
* H6 m/ D$ P# ]8 v. V  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
, b% L; Y. v6 i# \; l9 M  K* ?[JMediaService / JMediaService]
  <C:\WINNT\system32\rundll32.exe C:\PROGRA~1\MMSASS~1\MMSSVER.DLL,Service><N/A>
8 N5 e/ w3 C$ T' |8 g[StdService / StdService]
  <C:\WINNT\system32\rundll32.exe C:\WINNT\System32\STDSVER.DLL,Service><N/A>
[VIPTray / VIPTray]
  <C:\WINDOWS\System32\VIPTray.exe><N/A>
$ w' ~: {) c" Q: s) i[WinWrCup / WinWrCup]
  F* x5 ?( Q. J- P' E  <C:\WINNT\wincup\wincup.exe -R><MsWinCup>
; T2 o' [& {7 d+ Y$ v6 n* ]9 Q4 l[WinKld / WinKld]
  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\winkld\winkld.dll",Run -r><N/A>
% F) r/ \7 \- Z5 a[wint / wint]
9 _' \( Y4 Y4 S1 A  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\wint\wint.dll",Run -r><N/A>
[WinkldUP / WinkldUP]
/ n+ t. L  a" Y  y  <C:\DOCUME~1\wq\LOCALS~1\Temp\wz\wz.exe -R><N/A>
[XDownloadService / XDownloadService]
  <C:\WINDOWS\system32\Rundll32.exe "C:\WINDOWS\Downloader.dll",Run><N/A>

4 ?' n- G" l* l2 |浏览器加载项
[NetAccelerate Class]
  {5673A7C0-95CC-4646-BB07-3BD71234CEF9} <C:\WINDOWS\system32\wuwebex.dll,
9 i1 ^2 P- n5 W( |1 Z  }Microsoft Corporation>

armymanuse

顶一下……

rulingdanny

支持实用的帖子