流氓软件解决方法及防范zz

tonyboy

编辑这个帖子的目的是 让大家能够自己解决 ie浏览器弹出广告及其他因中招流氓软件，导致电脑使用中出现的各种问题
9 ]) C& v6 k$ o2 v9 y一、清除方法
! O& `) u; L3 [( S0 A2 D% z7 _二、如何防范流氓软件及几款免费防间谍软件
! ^9 ]& e* O- z; _, B三、hijackthis和SREng中常见修复项
, N8 Z  K" ~5 q8 y2 u- R
, W, C+ O0 k  m& h8 ?一、清除方法
- h2 b: U7 [7 g3 N! _- F/ s3 M4 x第一步  添加删除程序里卸载（有些不提供卸载或者卸载不完全）
. S, c, ]! I, U& p, F0 P% s    MMSAssist、winstdup、酷站导航、RichMedia、很棒小秘书、桌面传媒、桌面媒体、划词搜索、网络猪、青娱乐、搜搜地址栏搜索、中文上网、中文邮、网络实名、上网助手、雅虎助手

第二步  使用软件
1、恶意软件清理助手 & 超级兔子 & Windows清理助手 & 360安全卫士
6 ~9 z8 p, L; F% R    以上几个软件，基本可以清除大部分常见流氓软件，几点说明
& g+ V5 V$ B/ B( \    （1）软件定期更新 注意升级 另不能清除的 安全模式下 清理
0 W! f9 r, ]! K$ v    （2）超级兔子功能只推荐 超级兔子清理王 专业卸载 功能
    （3）清理前先备份注册表，虽然出现问题的人极少。这一步操作自己选择吧，方法见版内置底的 常用方法

恶意软件清理助手(绿色软件，最好安全模式下操作，本软件定期更新，注意升级）
http://www.tommsoft.com/Products.aspx?pid=2
附件1  恶意软件清理助手(版本2.19 2006-10-13)
超级兔子（主界面-->超级兔子清理王-->专业卸载，7.55a版开始有免安装版)
* C0 }* Z6 l+ B6 v7 T$ R5 h附件2  超级兔子(版本7.85 2006-10-11) 附件是 超级兔子清理王，免安装版
http://www.pctutu.com/download.asp（超级兔子，安装版）
) G/ D$ K. j+ j1 P( Rhttp://download5.pctutu.com/soft/magicset785.zip（超级兔子，免安装版）
/ N0 y( H5 X1 M/ l+ t6 d% chttp://download5.pctutu.com/soft/winspeed785.zip（超级兔子清理王，免安装版）
& C9 Q3 R6 ^5 N/ m: [! S+ vWindows清理助手
8 t/ y1 l& R: Vhttp://www.arswp.com/
. z6 m3 t" ?6 z6 ?( t360安全卫士
% p5 x/ h* j* v+ \6 I7 nhttp://www.360safe.com/

2、hijackthis & SREng
* N" M6 q7 _& @  @, G    用hijackthi或者SREng找出问题项修复,这2个软件的用法见置底

第三步  手动操作
    对于前边操作都无法删除的,进控制台或者第三方软件启动（需要能访问ntfs）删除相应文件
9 s, @2 T' ]. \# N7 r2 U' T
二、如何防范流氓软件及防间谍软件
1、如何防范流氓软件
    （1）操作系统及ie打好补丁
! K+ \& v5 n) q* Q6 c/ ?  c    （2）安装防病毒及防间谍软件
3 H; h9 B; D4 b6 }/ X9 U    （3）上网养成好习惯，不去不知名网站
2 @5 |6 [  V$ `- ]9 |3 f! _; i    （4）不要随意安装共享软件、免费软件、汉化软件
- Y2 e# `, f. H
, t+ S; a  E  z! H- J5 W! J, o2、防间谍软件（后2个为微软推荐的防间谍软件）
    目前很多杀毒软件都集成了防间谍组件，如诺顿2006、卡巴6、mcafee8（需要单独安装）等，以下几个软件是免费的防间谍软件。
（1）Windows Defender（微软开发的防间谍软件）
下载地址
( f( H* b; S6 L7 Z+ Nhttp://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=en&SrcCategoryId=&SrcFamilyId=435BFCE7-DA2B-4A6A-AFA4-F7F14E605A0D&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2fe%2fd%2f0%2fed099d5e-dc60-4740-8747-1c72f053b800%2fWindowsDefender.msi
( a! M$ [- ^! v! \: F# k
# Y" z6 j$ ?8 p（2）Ad-Aware SE
5 O7 h. s4 U) q! Q. E- V下载地址:
http://www.lavasoft.de/ms/index.htm
8 [4 s4 T+ n* u, A) Z
  O$ l$ }' u1 K4 k* j8 [5 A! P（3）Spybot Search & Destroy (S&D)
下载地址
: }0 D8 _% e' Q# k9 E7 N- C1 J2 Fhttp://www.safer-networking.org/microsoft.en.html

三、hijackthis和SREng中常见修复项
1、hijackthis
如何使用该软件参见置底 以下列出常见需要修复的项

/ h3 I+ `' \8 `9 jF2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\ .exe
（此项删除文件 C:\WINDOWS\ .exe）
F3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe
# E! O2 A( B) h9 U/ E" [
O2 - BHO: AdFilter - {8F8B1318-72FE-412F-9FE3-9CF15B631575} - C:\WINDOWS\system32\AdFilter.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC32.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC64.dll
O2 - BHO: ltmenu Class - {78C21EFD-53BA-406C-AF1A-33A38ABD3958} - C:\Program Files\LtUcx\1002\c0.dll
O2 - BHO: BHelper - {8A4280AD-9B37-4922-A51D-73F3C3A32AF7} - C:\WINDOWS\system32\msibm\cfsbho.dll
. l8 P, ^: ~. S0 D/ bO2 - BHO: URLMonitor Class - {3ED9FFDA-79DB-4B2D-99B7-16EA3C4A3A92} - C:\WINDOWS\system32\hap.dll
( g3 b% X3 }8 ]  t. AO2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\hbhelper.dll
. a; J; M+ t+ G+ Z5 @1 j0 M* |O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application
5 a; M# }  n9 |6 S; o* |Data\Microsoft\IEHelper\IEHelper200638_8576.dll
（IEHelper****.dll都是 这个名字有变化）
3 L2 m4 z5 g! B& O4 v6 L5 e; o. ~/ QO2 - BHO: MacroMediapd - {B8CCDD47-38E4-4CD2-B7FA-3B4B690F74BD} - C:\WINDOWS\system32\microapmddt.dll
O2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
! K1 d! y9 Y( U4 J0 \2 OO2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
O2 - BHO: IEHlprObj Class - {BA623AA0-9A82-4d0c-944C-0228CEA17780} - C:\Progra~1\Messenger\netshow.dll
O2 - BHO: IEHlprObj Class - {F5B3ECED-9BF3-4f7e-882B-A6E75343C499} - C:\Progra~1\NetMeeting\netinit.dll
O2 - BHO: IEHlprObj Class - {999ADFA2-8AD1-47ff-97FC-69FB847458F4} -  C:\Progra~1\NetMeeting\nmview.dll
' M6 S. B+ @5 z# p  jO2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
O2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
O2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\qylhelper.dll
O2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
6 Y6 \' P* G6 g6 wO2 - BHO: WebMiscItem Class - {3CD4296F-6CC3-11D9-B888-000C299AA719} - C:\WINDOWS\system32\WebMisc.dll
O2 - BHO: BrowserHelper Class - {2D99E8F4-56B7-457B-9A92-61B5D247D263} - C:\WINDOWS\system32\WinDefendor.dll
O2 - BHO: DownloadValue Class - {616D4040-5712-4F0F-BCF1-5C6420A99E14} - C:\WINDOWS\system32\winhtp.dll
O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll
- j- [' S9 d/ l, |# ~
! Q  M) T9 G3 y7 y5 V0 ]2 W6 A) vO3 - IE工具栏增项: 系统标准按钮(&E) - {6B2455FD-3669-4555-8DF8-69FD5BC846F8} -
C:\WINDOWS\system32\SystemToolbar.dll
1 @6 j3 L: f: k/ C
- a, [, z! P( JO4 - 启动项HKLM\\Run: [SCIntruder.dll] RUNDLL32.EXE C:\WINDOWS\system32\AdvSC.dll,Service                                       
O4 - 启动项HKLM\\Run: [mscfs] RUNDLL32 C:\WINDOWS\system32\msibm\cfsys.dll,cfs
O4 - 启动项HKLM\\Run: [RichMedia] C:\WINDOWS\system32\Rundll32.exe "C:\PROGRA~1\HBClient\hbhelper.dll",WaitWindows
  c* c; |7 |, i+ UO4 - HKCU\..\Run: [LetsCool] C:\Program Files\LetsCool\LetsCool.exe
- I2 A8 J4 O5 ?4 ZO4 - 启动项HKLM\\Run: [res] C:\WINDOWS\system32\res.exe
O4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
O4 - 启动项HKLM\\Run: [supdate2.dll] RUNDLL32.EXE C:\WINDOWS\system32\supdate2.dll,Run
O4 - 启动项HKLM\\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
1 M1 ~4 A! {$ x; U0 F- vO4 - Global Startup: IE-BAR.lnk = ?
) V! ~# {. A8 R. H- _1 j' W
7 o+ c2 H7 O  `, c1 PO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
% t% [& ~6 M4 ~8 Q0 ?% l0 u1 z5 A8 |O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
: X0 X7 z/ ^7 I) g3 xO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
. P. I7 s. y1 R8 d9 ]O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System,
. J0 f3 o$ h7 _7 c# @! [6 nDisableRegedit=1
9 b" ~6 ^; l' P) Q
O8 - IE右键菜单中的新增项目:   >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
) w1 O  W  g) fO9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O9 - 浏览器额外的“工具”菜单项: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
8 C3 @+ R, G4 B+ G" p
7 ?5 ^8 j7 ?5 ~: c9 d2 I/ WO18 - Filter: text/html - {E7009873-0D40-45B1-8D59-5B9AE98C7D38} - C:\Program Files\Internet Explorer\Connection Wizard\icwnet.dll
& F2 D" A, w- n- c+ s4 B2 K8 r0 Z
* Q! p/ L$ i! V+ `, s! XO21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} -
9 I2 i5 K5 T4 J6 S' ZC:\PROGRA~1\MMSASS~1\Mmsass~1.dll
( \) `+ p4 O5 F. nO21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -
7 J3 L! i7 Q1 U) T1 t2 ?C:\WINDOWS\SYSTEM32\stdup.dll
" y0 j% p0 X2 I8 x9 |7 B3 LO21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} -
/ d3 x$ V( a7 @C:\PROGRA~1\winkld\winkld.dll
) u. N' `5 [( p2 \
0 H: h) s+ ~0 a& N9 o  o4 d, sO23 - NT 服务: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
8 t  E6 K) X/ I4 ^9 v$ n/ [6 TO23 - NT 服务: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
O23 - NT 服务: Windows Print Controller (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\SAND\qqfacerclient.exe
) z5 W0 O9 u# F$ B* kO23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:\Program Files\Common Files\smartde\sde.exe
O23 - NT 服务: VIPTray - Unknown owner - C:\WINDOWS\System32\VIPTray.exe
! O7 l, j7 D/ cO23 - NT 服务: WinWrCup - MsWinCup - D:\WINDOWS\wincup\wincup.exe

2、SREng
如何使用该软件参见置底 以下列出常见需要修复的项
% x+ L( Y4 R& d) N- X! s- t
0 X/ q; }3 R7 c2 S注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <load><C:\windows\system32\wincfgs.exe>  []

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
\Run]
    <SoundMix><rundll32.exe C:\WINDOWS\system32\soundmix.dll,Load>  []
+ L  i$ ~- @$ \; d$ }2 @: K2 p2 K    <CheckFaultKernel><C:\WINDOWS\system32\mswdm.exe>  []

+ B" B" `- r; l1 Z[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <Userinit><C:\WINNT\System32\userinit.exe,C:\WINNT\System32\cmmon.exe>  []
0 C% X4 W3 X8 z1 I( V2 M- v5 h7 u; j    <Userinit><userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\eklc.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\bcdffc.exe>  []
. i/ G9 t) W$ d- D（这个 crypto文件夹下的几个文件会改变名字 通常还有一个 Microsoft Corporation属性的BHO
# q3 G4 R/ q) i: n$ Y  J[IEHlprObj Class]
8 ^+ I8 r9 E6 i2 b0 q: B0 ^4 C  {D424FE4E-CAF9-4fdd-BC5F-E6E6B91D53BF} <C:\Progra~1\NetMeeting\conf.dll, Microsoft Corporation>）
$ ~$ Q9 C7 ?5 d. P4 U' t
$ _0 p! {8 C# S[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{B48F6409-4740-475B-A474-651F54CCE460}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll>  []
/ G, ^9 g$ B# e    <{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}><C:\WINDOWS\DOWNLO~1\BDPlugin.dll>[]
% B# e" U5 q& x5 v) X    <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><C:\WINDOWS\DOWNLO~1\CnsHook.dll>[北京三七二一科技有限公司]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
    <{af3fd9a8-1287-4159-9212-9a5b4494af70}><C:\WINDOWS\system32\guxxa.dll>  []
: \4 c6 O5 g  R
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
    <Vision><C:\PROGRA~1\MMSASS~1\Mmsass~1.dll>  []
    <DLMon><C:\WINDOWS\System32\DLMain.dll>  []
; k& n) c! q  W. X4 B5 n
- L( T: H8 J4 m. S9 B8 p$ O服务
$ T* r, }/ k7 C[Internet Protect Service / lDOMANE]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export 1087><N/A>
9 @: V8 M; |3 [4 j, ?: |[Internet Protect Service / BKMARKS]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
[Performance Moniter / BARCASE]
% g( M* d- m; Z  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
[JMediaService / JMediaService]
  <C:\WINNT\system32\rundll32.exe C:\PROGRA~1\MMSASS~1\MMSSVER.DLL,Service><N/A>
[StdService / StdService]
  <C:\WINNT\system32\rundll32.exe C:\WINNT\System32\STDSVER.DLL,Service><N/A>
- J) \/ e3 V; W1 r[VIPTray / VIPTray]
5 N+ l6 r, L& {: J  <C:\WINDOWS\System32\VIPTray.exe><N/A>
[WinWrCup / WinWrCup]
  <C:\WINNT\wincup\wincup.exe -R><MsWinCup>
! ]* `6 n$ L/ {: r. n( E[WinKld / WinKld]
( o# Q4 V  U5 R, W  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\winkld\winkld.dll",Run -r><N/A>
$ z1 ]1 z; s) @- C3 F5 ]! `[wint / wint]
  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\wint\wint.dll",Run -r><N/A>
. G6 i5 ^$ n4 M9 S1 i7 s[WinkldUP / WinkldUP]
0 o+ v2 g9 H* \  <C:\DOCUME~1\wq\LOCALS~1\Temp\wz\wz.exe -R><N/A>
[XDownloadService / XDownloadService]
  <C:\WINDOWS\system32\Rundll32.exe "C:\WINDOWS\Downloader.dll",Run><N/A>
. F) y% ?1 x4 |, _
浏览器加载项
9 f; c& u3 z8 f8 [$ r/ ][NetAccelerate Class]
/ I7 p0 u; g& H& i  {5673A7C0-95CC-4646-BB07-3BD71234CEF9} <C:\WINDOWS\system32\wuwebex.dll,
& d+ |2 K" S$ e! Q$ x- KMicrosoft Corporation>

armymanuse

顶一下……

rulingdanny

支持实用的帖子