流氓软件解决方法及防范zz

tonyboy

编辑这个帖子的目的是 让大家能够自己解决 ie浏览器弹出广告及其他因中招流氓软件，导致电脑使用中出现的各种问题
3 m2 H# X* K% J: M, W一、清除方法
二、如何防范流氓软件及几款免费防间谍软件
三、hijackthis和SREng中常见修复项
' g* r4 ?  l2 q& @
一、清除方法
1 g* k3 d# Z6 n2 j第一步  添加删除程序里卸载（有些不提供卸载或者卸载不完全）
: e5 }, M/ ~# o1 l' l5 T    MMSAssist、winstdup、酷站导航、RichMedia、很棒小秘书、桌面传媒、桌面媒体、划词搜索、网络猪、青娱乐、搜搜地址栏搜索、中文上网、中文邮、网络实名、上网助手、雅虎助手
1 X7 O. a5 H; q9 T7 W
第二步  使用软件
1、恶意软件清理助手 & 超级兔子 & Windows清理助手 & 360安全卫士
    以上几个软件，基本可以清除大部分常见流氓软件，几点说明
    （1）软件定期更新 注意升级 另不能清除的 安全模式下 清理
; m0 U+ m$ i: u' Z2 @% v8 E, h    （2）超级兔子功能只推荐 超级兔子清理王 专业卸载 功能
8 C9 ?8 R& p% O/ H$ V6 x    （3）清理前先备份注册表，虽然出现问题的人极少。这一步操作自己选择吧，方法见版内置底的 常用方法

) {! L. y# ]/ \( ^- Y' k恶意软件清理助手(绿色软件，最好安全模式下操作，本软件定期更新，注意升级）
* W2 W* @: _! @) ]; z! Ghttp://www.tommsoft.com/Products.aspx?pid=2
1 }0 _, G1 Y/ [' p; p附件1  恶意软件清理助手(版本2.19 2006-10-13)
超级兔子（主界面-->超级兔子清理王-->专业卸载，7.55a版开始有免安装版)
附件2  超级兔子(版本7.85 2006-10-11) 附件是 超级兔子清理王，免安装版
http://www.pctutu.com/download.asp（超级兔子，安装版）
3 _7 Y( f8 p3 o! T" _http://download5.pctutu.com/soft/magicset785.zip（超级兔子，免安装版）
; c. K6 @+ `- G3 a5 o+ ihttp://download5.pctutu.com/soft/winspeed785.zip（超级兔子清理王，免安装版）
2 ]+ Y5 ?! W; Q6 T/ d$ ]6 q  gWindows清理助手
http://www.arswp.com/
; @7 K0 N( Z2 L9 A3 _  m' J) N! i360安全卫士
# G0 U, f0 m$ Q7 {3 Yhttp://www.360safe.com/
+ X0 r7 p7 C! a6 z2 n
; P7 a+ f# j1 S6 `8 D' H$ K3 c2、hijackthis & SREng
* \& O- Z5 @. H& |    用hijackthi或者SREng找出问题项修复,这2个软件的用法见置底
" t3 P6 b2 \/ T( ]7 n
0 @& H- l9 _! R第三步  手动操作
    对于前边操作都无法删除的,进控制台或者第三方软件启动（需要能访问ntfs）删除相应文件

二、如何防范流氓软件及防间谍软件
1、如何防范流氓软件
    （1）操作系统及ie打好补丁
: W) {! y% V0 Y! n( B% p6 n( w- L    （2）安装防病毒及防间谍软件
9 a+ `6 q  L: y& x# t    （3）上网养成好习惯，不去不知名网站
$ x# U0 K: U6 v0 o0 c5 C5 _# w    （4）不要随意安装共享软件、免费软件、汉化软件
6 i/ Q6 ^; [5 I$ E! U
2 \5 p: C9 t1 ?3 F5 r2、防间谍软件（后2个为微软推荐的防间谍软件）
8 c  B8 g$ o$ E( H* u0 ^8 j! S% c" M    目前很多杀毒软件都集成了防间谍组件，如诺顿2006、卡巴6、mcafee8（需要单独安装）等，以下几个软件是免费的防间谍软件。
6 z! k$ q( F0 W3 u( y7 X（1）Windows Defender（微软开发的防间谍软件）
7 f7 I8 [% e/ r; Y) k! f. B下载地址
1 E0 k* T- w2 T% h' C1 D8 uhttp://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=en&SrcCategoryId=&SrcFamilyId=435BFCE7-DA2B-4A6A-AFA4-F7F14E605A0D&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2fe%2fd%2f0%2fed099d5e-dc60-4740-8747-1c72f053b800%2fWindowsDefender.msi
! s- w& H% S. a* R- L1 v4 o, g, m
$ m* T) F% y- r0 l（2）Ad-Aware SE
0 z, [2 \! k7 L+ S) n; F下载地址:
& r2 ?& D1 p! v; @+ Xhttp://www.lavasoft.de/ms/index.htm

（3）Spybot Search & Destroy (S&D)
- g: {+ N7 _7 i' x/ Q9 Z下载地址
http://www.safer-networking.org/microsoft.en.html

三、hijackthis和SREng中常见修复项
! g- y9 o* D3 |" w+ e+ m' c8 Q$ f1、hijackthis
如何使用该软件参见置底 以下列出常见需要修复的项

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\ .exe
（此项删除文件 C:\WINDOWS\ .exe）
. j) {$ X! |, `, Q% oF3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe
& f0 w/ e9 F9 `! N9 U
( f: z7 N4 o" N4 ?O2 - BHO: AdFilter - {8F8B1318-72FE-412F-9FE3-9CF15B631575} - C:\WINDOWS\system32\AdFilter.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC32.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC64.dll
O2 - BHO: ltmenu Class - {78C21EFD-53BA-406C-AF1A-33A38ABD3958} - C:\Program Files\LtUcx\1002\c0.dll
O2 - BHO: BHelper - {8A4280AD-9B37-4922-A51D-73F3C3A32AF7} - C:\WINDOWS\system32\msibm\cfsbho.dll
O2 - BHO: URLMonitor Class - {3ED9FFDA-79DB-4B2D-99B7-16EA3C4A3A92} - C:\WINDOWS\system32\hap.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\hbhelper.dll
O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application
* r; S( k1 I" E6 r5 v3 X) ?7 s8 f. XData\Microsoft\IEHelper\IEHelper200638_8576.dll
（IEHelper****.dll都是 这个名字有变化）
O2 - BHO: MacroMediapd - {B8CCDD47-38E4-4CD2-B7FA-3B4B690F74BD} - C:\WINDOWS\system32\microapmddt.dll
O2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
" o6 g: Y! M* d5 LO2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
O2 - BHO: IEHlprObj Class - {BA623AA0-9A82-4d0c-944C-0228CEA17780} - C:\Progra~1\Messenger\netshow.dll
O2 - BHO: IEHlprObj Class - {F5B3ECED-9BF3-4f7e-882B-A6E75343C499} - C:\Progra~1\NetMeeting\netinit.dll
! N! E; ^2 T0 s4 DO2 - BHO: IEHlprObj Class - {999ADFA2-8AD1-47ff-97FC-69FB847458F4} -  C:\Progra~1\NetMeeting\nmview.dll
; k/ |; A9 t" N& i( o/ }0 m7 FO2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
: W2 J4 Y2 D: ~6 l& }0 ?" {! q; M; AO2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
O2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\qylhelper.dll
( W# c$ c4 V7 J+ R5 mO2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
: i4 [# B7 ]3 v8 @2 BO2 - BHO: WebMiscItem Class - {3CD4296F-6CC3-11D9-B888-000C299AA719} - C:\WINDOWS\system32\WebMisc.dll
0 l; L* D1 \. P% M+ v, YO2 - BHO: BrowserHelper Class - {2D99E8F4-56B7-457B-9A92-61B5D247D263} - C:\WINDOWS\system32\WinDefendor.dll
O2 - BHO: DownloadValue Class - {616D4040-5712-4F0F-BCF1-5C6420A99E14} - C:\WINDOWS\system32\winhtp.dll
O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll
$ H, Q8 p7 }% N
O3 - IE工具栏增项: 系统标准按钮(&E) - {6B2455FD-3669-4555-8DF8-69FD5BC846F8} -
3 |7 s7 l2 w3 Y" W2 |, Y0 ~& jC:\WINDOWS\system32\SystemToolbar.dll
7 o3 m0 z9 x9 o  |2 M
O4 - 启动项HKLM\\Run: [SCIntruder.dll] RUNDLL32.EXE C:\WINDOWS\system32\AdvSC.dll,Service                                       
. @# ]/ t) Q; _2 F* YO4 - 启动项HKLM\\Run: [mscfs] RUNDLL32 C:\WINDOWS\system32\msibm\cfsys.dll,cfs
$ R8 s7 C+ b. o- ?% \( lO4 - 启动项HKLM\\Run: [RichMedia] C:\WINDOWS\system32\Rundll32.exe "C:\PROGRA~1\HBClient\hbhelper.dll",WaitWindows
! [0 f8 Y/ l) vO4 - HKCU\..\Run: [LetsCool] C:\Program Files\LetsCool\LetsCool.exe
O4 - 启动项HKLM\\Run: [res] C:\WINDOWS\system32\res.exe
9 a* m& H% r& [! `/ e" i, k2 r% OO4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
, F. S0 T7 \' J3 N6 v2 h( fO4 - 启动项HKLM\\Run: [supdate2.dll] RUNDLL32.EXE C:\WINDOWS\system32\supdate2.dll,Run
O4 - 启动项HKLM\\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
O4 - Global Startup: IE-BAR.lnk = ?

3 |2 D: U* {* w+ I0 oO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System,
" z* Z( u& b4 H+ j8 A2 ?DisableRegedit=1

- r: R! J  i- k/ nO8 - IE右键菜单中的新增项目:   >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
9 {' U) U0 x0 H9 c1 j- hO9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O9 - 浏览器额外的“工具”菜单项: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll

$ @/ }! ~: }( [" l: E( V$ _5 hO18 - Filter: text/html - {E7009873-0D40-45B1-8D59-5B9AE98C7D38} - C:\Program Files\Internet Explorer\Connection Wizard\icwnet.dll

& ~6 K% j& |! s' m' v& c) q5 p$ iO21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} -
C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -
0 `% ~# S  w. eC:\WINDOWS\SYSTEM32\stdup.dll
0 W$ J+ z5 \, Y0 L1 i! ]# tO21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} -
5 M/ H: m1 s" ~; t, L4 r' IC:\PROGRA~1\winkld\winkld.dll

O23 - NT 服务: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
O23 - NT 服务: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
O23 - NT 服务: Windows Print Controller (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\SAND\qqfacerclient.exe
4 v2 L0 E' X' L0 r! m! M  eO23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:\Program Files\Common Files\smartde\sde.exe
O23 - NT 服务: VIPTray - Unknown owner - C:\WINDOWS\System32\VIPTray.exe
O23 - NT 服务: WinWrCup - MsWinCup - D:\WINDOWS\wincup\wincup.exe

2、SREng
如何使用该软件参见置底 以下列出常见需要修复的项
' T. d  n$ C: Z
注册表
! ?0 j) N0 T! @4 B5 \# _; ?8 ~[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
; @; u# Y  E( O* Y5 [- b* f- Q* v    <load><C:\windows\system32\wincfgs.exe>  []

, |$ C" m% S% a& L3 M[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
7 M; p! L$ \  k, Z" S8 s+ U5 T\Run]
6 {# M' N. E8 m3 W! u$ |    <SoundMix><rundll32.exe C:\WINDOWS\system32\soundmix.dll,Load>  []
; B# k) c7 n8 K# V2 H    <CheckFaultKernel><C:\WINDOWS\system32\mswdm.exe>  []

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
. u% W6 S; O9 q4 b2 c    <Userinit><C:\WINNT\System32\userinit.exe,C:\WINNT\System32\cmmon.exe>  []
    <Userinit><userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe>  []
  \4 K3 D8 c  b0 W# }7 [: i    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\eklc.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\bcdffc.exe>  []
5 O' d% c+ U% x# Y. s1 Y（这个 crypto文件夹下的几个文件会改变名字 通常还有一个 Microsoft Corporation属性的BHO
[IEHlprObj Class]
' I  M2 }" O. d% T  {D424FE4E-CAF9-4fdd-BC5F-E6E6B91D53BF} <C:\Progra~1\NetMeeting\conf.dll, Microsoft Corporation>）

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{B48F6409-4740-475B-A474-651F54CCE460}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll>  []
    <{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}><C:\WINDOWS\DOWNLO~1\BDPlugin.dll>[]
8 P) |. }- r! G    <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><C:\WINDOWS\DOWNLO~1\CnsHook.dll>[北京三七二一科技有限公司]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
: n, \* c& `9 g4 _( E( K    <{af3fd9a8-1287-4159-9212-9a5b4494af70}><C:\WINDOWS\system32\guxxa.dll>  []
! d0 U, x7 d2 l- ?8 C" U8 }
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
0 L: w' w/ g, N. u" u( V    <Vision><C:\PROGRA~1\MMSASS~1\Mmsass~1.dll>  []
0 M9 t/ T+ K% D9 P- K    <DLMon><C:\WINDOWS\System32\DLMain.dll>  []
5 B% j) d! H; m8 _# V
服务
& W& d" f8 o5 D[Internet Protect Service / lDOMANE]
9 z6 m# g3 s" K6 b- G  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export 1087><N/A>
[Internet Protect Service / BKMARKS]
4 r/ h* r1 C6 E$ o  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
) j) @6 k/ ?# o: \( v[Performance Moniter / BARCASE]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
8 `+ Z7 {* k  T! f[JMediaService / JMediaService]
; Q. N% u) d2 ]$ z8 Z( N  <C:\WINNT\system32\rundll32.exe C:\PROGRA~1\MMSASS~1\MMSSVER.DLL,Service><N/A>
[StdService / StdService]
( m2 U4 w0 x+ x! {/ s; {+ K  <C:\WINNT\system32\rundll32.exe C:\WINNT\System32\STDSVER.DLL,Service><N/A>
  Y8 M7 X5 v" {" d[VIPTray / VIPTray]
  <C:\WINDOWS\System32\VIPTray.exe><N/A>
[WinWrCup / WinWrCup]
+ q- N3 R6 P& h, x- M% J! g" @3 }% m  <C:\WINNT\wincup\wincup.exe -R><MsWinCup>
0 t5 T  O# x! U2 M  `" [1 B[WinKld / WinKld]
  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\winkld\winkld.dll",Run -r><N/A>
. t2 x3 }& |. e9 u5 E[wint / wint]
  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\wint\wint.dll",Run -r><N/A>
5 U( D3 F1 K& w[WinkldUP / WinkldUP]
3 w8 q: j: v: `: Z/ x% L  <C:\DOCUME~1\wq\LOCALS~1\Temp\wz\wz.exe -R><N/A>
2 ^# q- s. J' P[XDownloadService / XDownloadService]
* G8 t6 y5 }; s; M( f; [  <C:\WINDOWS\system32\Rundll32.exe "C:\WINDOWS\Downloader.dll",Run><N/A>

6 }8 W1 y1 P. m7 a7 r  J浏览器加载项
[NetAccelerate Class]
, `1 Z! ?2 P) J  {5673A7C0-95CC-4646-BB07-3BD71234CEF9} <C:\WINDOWS\system32\wuwebex.dll,
2 v0 q8 Y: L5 O* n- c, a: eMicrosoft Corporation>

armymanuse

顶一下……

rulingdanny

支持实用的帖子