流氓软件解决方法及防范zz

tonyboy

编辑这个帖子的目的是 让大家能够自己解决 ie浏览器弹出广告及其他因中招流氓软件，导致电脑使用中出现的各种问题
1 z) @& z3 P$ c/ b) }一、清除方法
二、如何防范流氓软件及几款免费防间谍软件
& C- G6 d9 Q$ g# k! O三、hijackthis和SREng中常见修复项

一、清除方法
# U6 m1 O* p- o  a$ N1 X第一步  添加删除程序里卸载（有些不提供卸载或者卸载不完全）
9 w( W; y/ J: S$ b    MMSAssist、winstdup、酷站导航、RichMedia、很棒小秘书、桌面传媒、桌面媒体、划词搜索、网络猪、青娱乐、搜搜地址栏搜索、中文上网、中文邮、网络实名、上网助手、雅虎助手
, F6 P/ M. p+ C% x1 C( {1 ~5 M- n
第二步  使用软件
/ e2 m% M/ |* u1 v! X1、恶意软件清理助手 & 超级兔子 & Windows清理助手 & 360安全卫士
5 r6 O* e5 g$ w% F9 e: l    以上几个软件，基本可以清除大部分常见流氓软件，几点说明
* W5 }7 a1 R* {: y    （1）软件定期更新 注意升级 另不能清除的 安全模式下 清理
    （2）超级兔子功能只推荐 超级兔子清理王 专业卸载 功能
. V6 O! x' z% v4 i$ w    （3）清理前先备份注册表，虽然出现问题的人极少。这一步操作自己选择吧，方法见版内置底的 常用方法
& l. n& l0 ~5 Y5 m1 V0 m2 E
恶意软件清理助手(绿色软件，最好安全模式下操作，本软件定期更新，注意升级）
http://www.tommsoft.com/Products.aspx?pid=2
1 n5 F: |4 s8 I- s附件1  恶意软件清理助手(版本2.19 2006-10-13)
超级兔子（主界面-->超级兔子清理王-->专业卸载，7.55a版开始有免安装版)
附件2  超级兔子(版本7.85 2006-10-11) 附件是 超级兔子清理王，免安装版
: F1 K& P' P. h% A5 k% V, C- @http://www.pctutu.com/download.asp（超级兔子，安装版）
( u! J3 K4 N7 C( C$ |9 w# d+ d! \http://download5.pctutu.com/soft/magicset785.zip（超级兔子，免安装版）
' \  ]* ^, l9 m, g8 e( L8 Uhttp://download5.pctutu.com/soft/winspeed785.zip（超级兔子清理王，免安装版）
Windows清理助手
http://www.arswp.com/
360安全卫士
, E( x% d( i$ D( _# ghttp://www.360safe.com/

2 K9 x+ B  E  R8 {* O- D: V2、hijackthis & SREng
    用hijackthi或者SREng找出问题项修复,这2个软件的用法见置底
+ _$ E* o: h* _; l) l9 M* O  d
第三步  手动操作
    对于前边操作都无法删除的,进控制台或者第三方软件启动（需要能访问ntfs）删除相应文件

二、如何防范流氓软件及防间谍软件
1、如何防范流氓软件
1 V5 m3 L& F( g! Z8 _9 o    （1）操作系统及ie打好补丁
6 p: [; R" L4 W9 `) [    （2）安装防病毒及防间谍软件
    （3）上网养成好习惯，不去不知名网站
5 T  O2 `+ m( i! b. P! X0 a* F+ Q    （4）不要随意安装共享软件、免费软件、汉化软件

2、防间谍软件（后2个为微软推荐的防间谍软件）
    目前很多杀毒软件都集成了防间谍组件，如诺顿2006、卡巴6、mcafee8（需要单独安装）等，以下几个软件是免费的防间谍软件。
: @6 l: R/ B9 j: S. t（1）Windows Defender（微软开发的防间谍软件）
8 x2 E1 x$ P4 |/ j% ?/ g下载地址
( k8 \, L% L: F' m1 M6 E( V3 Mhttp://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=en&SrcCategoryId=&SrcFamilyId=435BFCE7-DA2B-4A6A-AFA4-F7F14E605A0D&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2fe%2fd%2f0%2fed099d5e-dc60-4740-8747-1c72f053b800%2fWindowsDefender.msi
( ~/ p+ E5 j) s. Z/ j, Q
" E1 Y: c8 L& x$ ]6 }4 k（2）Ad-Aware SE
; ?7 M. A% }& A! X" F下载地址:
, _7 Y5 D6 ^; t) e- ?9 z) P$ zhttp://www.lavasoft.de/ms/index.htm
) Z6 d4 V7 \, E. }* t$ c/ e
（3）Spybot Search & Destroy (S&D)
- m. r# R& a3 x+ R下载地址
: j6 _7 U9 H( x0 B- A0 Mhttp://www.safer-networking.org/microsoft.en.html
5 s; r! i0 p5 A. M6 P
三、hijackthis和SREng中常见修复项
1 v! H" Y( `0 s2 F+ z) j3 c1、hijackthis
如何使用该软件参见置底 以下列出常见需要修复的项
7 [4 ]0 B$ L, R* k# d1 E6 K: S
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\ .exe
（此项删除文件 C:\WINDOWS\ .exe）
& s. S( _- u  \- o/ B9 jF3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe

O2 - BHO: AdFilter - {8F8B1318-72FE-412F-9FE3-9CF15B631575} - C:\WINDOWS\system32\AdFilter.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC32.dll
) F: t) s) r: ]% g5 I# J% uO2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC64.dll
O2 - BHO: ltmenu Class - {78C21EFD-53BA-406C-AF1A-33A38ABD3958} - C:\Program Files\LtUcx\1002\c0.dll
$ x# ^' I5 e& }1 m0 x- R0 mO2 - BHO: BHelper - {8A4280AD-9B37-4922-A51D-73F3C3A32AF7} - C:\WINDOWS\system32\msibm\cfsbho.dll
O2 - BHO: URLMonitor Class - {3ED9FFDA-79DB-4B2D-99B7-16EA3C4A3A92} - C:\WINDOWS\system32\hap.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\hbhelper.dll
O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application
Data\Microsoft\IEHelper\IEHelper200638_8576.dll
（IEHelper****.dll都是 这个名字有变化）
O2 - BHO: MacroMediapd - {B8CCDD47-38E4-4CD2-B7FA-3B4B690F74BD} - C:\WINDOWS\system32\microapmddt.dll
' e' p+ g$ H" }. o, YO2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
* O2 r- P2 L' d, WO2 - BHO: IEHlprObj Class - {BA623AA0-9A82-4d0c-944C-0228CEA17780} - C:\Progra~1\Messenger\netshow.dll
O2 - BHO: IEHlprObj Class - {F5B3ECED-9BF3-4f7e-882B-A6E75343C499} - C:\Progra~1\NetMeeting\netinit.dll
O2 - BHO: IEHlprObj Class - {999ADFA2-8AD1-47ff-97FC-69FB847458F4} -  C:\Progra~1\NetMeeting\nmview.dll
( U$ {/ z7 T; [! [% pO2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
3 I3 v; w9 M# u( wO2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
% E! i' B! X. `% K6 ~/ r/ xO2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\qylhelper.dll
O2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
$ c1 |4 H7 @+ O5 ~O2 - BHO: WebMiscItem Class - {3CD4296F-6CC3-11D9-B888-000C299AA719} - C:\WINDOWS\system32\WebMisc.dll
( J6 ^% r5 T- ~8 @' _O2 - BHO: BrowserHelper Class - {2D99E8F4-56B7-457B-9A92-61B5D247D263} - C:\WINDOWS\system32\WinDefendor.dll
" Q5 f  ?$ u2 e3 I7 W+ ~O2 - BHO: DownloadValue Class - {616D4040-5712-4F0F-BCF1-5C6420A99E14} - C:\WINDOWS\system32\winhtp.dll
. d: g+ ?5 n3 j  J- m, D1 iO2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll
- Y3 G% T( m: \1 [2 |3 `
: F5 v; \5 W) s! v& q7 S2 \O3 - IE工具栏增项: 系统标准按钮(&E) - {6B2455FD-3669-4555-8DF8-69FD5BC846F8} -
C:\WINDOWS\system32\SystemToolbar.dll
5 P. ~2 D7 F- x1 `5 a
O4 - 启动项HKLM\\Run: [SCIntruder.dll] RUNDLL32.EXE C:\WINDOWS\system32\AdvSC.dll,Service                                       
3 X' U$ C+ m  U* {) xO4 - 启动项HKLM\\Run: [mscfs] RUNDLL32 C:\WINDOWS\system32\msibm\cfsys.dll,cfs
O4 - 启动项HKLM\\Run: [RichMedia] C:\WINDOWS\system32\Rundll32.exe "C:\PROGRA~1\HBClient\hbhelper.dll",WaitWindows
2 a; O* f% U% s7 V1 H1 z6 }" \O4 - HKCU\..\Run: [LetsCool] C:\Program Files\LetsCool\LetsCool.exe
: z6 F2 h# g- o. o1 G8 Q1 |6 ?0 LO4 - 启动项HKLM\\Run: [res] C:\WINDOWS\system32\res.exe
2 u, m5 I+ J6 |# n2 VO4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
9 U, t6 r, g0 W3 X. `3 l6 |O4 - 启动项HKLM\\Run: [supdate2.dll] RUNDLL32.EXE C:\WINDOWS\system32\supdate2.dll,Run
+ _* @: G5 E: NO4 - 启动项HKLM\\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
O4 - Global Startup: IE-BAR.lnk = ?

. {4 h2 i  v1 a. DO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
- \  R; T# N  _- n. C4 j, ?O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
9 T9 q2 u0 m* IO7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System,
DisableRegedit=1
2 s. J9 |& L8 d" y
O8 - IE右键菜单中的新增项目:   >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
) I) o# e" o1 MO9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
8 V. ]3 `6 \5 x* WO9 - 浏览器额外的“工具”菜单项: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll

8 [" L. e) \9 ?& |7 v; FO18 - Filter: text/html - {E7009873-0D40-45B1-8D59-5B9AE98C7D38} - C:\Program Files\Internet Explorer\Connection Wizard\icwnet.dll
) _- Q- R9 k9 F* B; f5 J$ o7 Z
O21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} -
C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -
4 a0 z' h: w& e- tC:\WINDOWS\SYSTEM32\stdup.dll
O21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} -
0 ?; z# d& @' |C:\PROGRA~1\winkld\winkld.dll
' Z# t: C2 e% w5 d" L8 H
: B! `8 U, @0 d+ OO23 - NT 服务: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
) W( g; R: z) g3 AO23 - NT 服务: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
O23 - NT 服务: Windows Print Controller (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\SAND\qqfacerclient.exe
O23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:\Program Files\Common Files\smartde\sde.exe
O23 - NT 服务: VIPTray - Unknown owner - C:\WINDOWS\System32\VIPTray.exe
O23 - NT 服务: WinWrCup - MsWinCup - D:\WINDOWS\wincup\wincup.exe
1 J, V( y7 V7 m- n+ o, a6 z" d. y
: i+ w( R' J6 `  G2、SREng
如何使用该软件参见置底 以下列出常见需要修复的项

6 s' b; k* ?8 j6 B2 w3 H8 {0 j注册表
+ _4 j9 E( B5 g. n* `[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
. e6 J5 ]+ n  A, Y* X    <load><C:\windows\system32\wincfgs.exe>  []
  q, M9 j: r/ I/ Y2 M7 }+ Z
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
\Run]
    <SoundMix><rundll32.exe C:\WINDOWS\system32\soundmix.dll,Load>  []
) f' t  W; A* L; F* v    <CheckFaultKernel><C:\WINDOWS\system32\mswdm.exe>  []

, ]/ m% v3 v/ T. d! f; m4 D- E; }[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <Userinit><C:\WINNT\System32\userinit.exe,C:\WINNT\System32\cmmon.exe>  []
/ K! @/ b. }) P8 H$ @  j4 \    <Userinit><userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\eklc.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\bcdffc.exe>  []
0 j% S! A0 N1 u  ?/ C! c3 H/ z（这个 crypto文件夹下的几个文件会改变名字 通常还有一个 Microsoft Corporation属性的BHO
  E* i3 g- ~8 T, R- {* c[IEHlprObj Class]
  {D424FE4E-CAF9-4fdd-BC5F-E6E6B91D53BF} <C:\Progra~1\NetMeeting\conf.dll, Microsoft Corporation>）

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
9 `  u5 d$ R2 \& Y3 t) |    <{B48F6409-4740-475B-A474-651F54CCE460}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll>  []
# b+ _, w, x- u/ m2 \6 ]$ y    <{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}><C:\WINDOWS\DOWNLO~1\BDPlugin.dll>[]
, N( d& V( ^$ ]- l  f    <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><C:\WINDOWS\DOWNLO~1\CnsHook.dll>[北京三七二一科技有限公司]
$ F; h( w5 Y  T9 L2 ^8 C. F
9 W- g6 p8 i5 r% [( z4 |[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
+ J' F0 V9 H- P) x    <{af3fd9a8-1287-4159-9212-9a5b4494af70}><C:\WINDOWS\system32\guxxa.dll>  []

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
    <Vision><C:\PROGRA~1\MMSASS~1\Mmsass~1.dll>  []
    <DLMon><C:\WINDOWS\System32\DLMain.dll>  []
5 c* q" i) S# \( C' M: F" B
服务
[Internet Protect Service / lDOMANE]
! D( p" [- G/ U, t) F+ @  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export 1087><N/A>
[Internet Protect Service / BKMARKS]
/ d; b- J% R$ I& `% f  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
[Performance Moniter / BARCASE]
3 A+ @7 J& O+ [2 K9 g  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
0 t: n1 t4 x; V( [1087><N/A>
[JMediaService / JMediaService]
  <C:\WINNT\system32\rundll32.exe C:\PROGRA~1\MMSASS~1\MMSSVER.DLL,Service><N/A>
[StdService / StdService]
$ Y+ u* `% `% F( V& `1 ?4 j* f8 L  <C:\WINNT\system32\rundll32.exe C:\WINNT\System32\STDSVER.DLL,Service><N/A>
9 J+ E6 z8 V0 i[VIPTray / VIPTray]
  <C:\WINDOWS\System32\VIPTray.exe><N/A>
+ g7 D! P. l( Q/ R3 H[WinWrCup / WinWrCup]
  <C:\WINNT\wincup\wincup.exe -R><MsWinCup>
3 O# u3 C9 F- a[WinKld / WinKld]
  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\winkld\winkld.dll",Run -r><N/A>
[wint / wint]
7 {. ]# a3 [4 l( U  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\wint\wint.dll",Run -r><N/A>
. \& \$ V, B- V- ^( P# d; W7 B/ c$ L[WinkldUP / WinkldUP]
  <C:\DOCUME~1\wq\LOCALS~1\Temp\wz\wz.exe -R><N/A>
[XDownloadService / XDownloadService]
2 v9 h" w, y4 {( S. k  <C:\WINDOWS\system32\Rundll32.exe "C:\WINDOWS\Downloader.dll",Run><N/A>
5 L2 n) ^6 e" M3 s: U9 [  ^  ^( w$ a
# b  ?. `! o( |! U浏览器加载项
' r3 H2 G: J: @$ z' C- p1 m[NetAccelerate Class]
  {5673A7C0-95CC-4646-BB07-3BD71234CEF9} <C:\WINDOWS\system32\wuwebex.dll,
Microsoft Corporation>

armymanuse

顶一下……

rulingdanny

支持实用的帖子