流氓软件解决方法及防范zz

tonyboy

编辑这个帖子的目的是 让大家能够自己解决 ie浏览器弹出广告及其他因中招流氓软件，导致电脑使用中出现的各种问题
0 X. B0 [( `; L一、清除方法
二、如何防范流氓软件及几款免费防间谍软件
) Y* q4 p  s! R三、hijackthis和SREng中常见修复项
3 g  i  r1 d! ]1 A
2 p/ s4 L5 k8 N, I一、清除方法
$ J: L' N8 m& h4 U# }+ E8 Q第一步  添加删除程序里卸载（有些不提供卸载或者卸载不完全）
4 A% w7 Z! W" T2 D! n. f0 w  i1 Y    MMSAssist、winstdup、酷站导航、RichMedia、很棒小秘书、桌面传媒、桌面媒体、划词搜索、网络猪、青娱乐、搜搜地址栏搜索、中文上网、中文邮、网络实名、上网助手、雅虎助手

第二步  使用软件
1、恶意软件清理助手 & 超级兔子 & Windows清理助手 & 360安全卫士
    以上几个软件，基本可以清除大部分常见流氓软件，几点说明
9 z  D% T* G# i( a5 ^# H    （1）软件定期更新 注意升级 另不能清除的 安全模式下 清理
    （2）超级兔子功能只推荐 超级兔子清理王 专业卸载 功能
    （3）清理前先备份注册表，虽然出现问题的人极少。这一步操作自己选择吧，方法见版内置底的 常用方法
3 p0 U2 E6 Y/ N: l$ `* g
- s) Y8 c' A' E% I. h  |1 C恶意软件清理助手(绿色软件，最好安全模式下操作，本软件定期更新，注意升级）
/ B+ n3 t% w# s8 khttp://www.tommsoft.com/Products.aspx?pid=2
3 `' W) H  W, |! Z6 R+ j  R附件1  恶意软件清理助手(版本2.19 2006-10-13)
7 {4 X5 O+ R4 L5 c% Z: T: l  g超级兔子（主界面-->超级兔子清理王-->专业卸载，7.55a版开始有免安装版)
' J6 C9 m9 d9 f/ U: j附件2  超级兔子(版本7.85 2006-10-11) 附件是 超级兔子清理王，免安装版
http://www.pctutu.com/download.asp（超级兔子，安装版）
  q) E: D/ n3 U6 Ohttp://download5.pctutu.com/soft/magicset785.zip（超级兔子，免安装版）
http://download5.pctutu.com/soft/winspeed785.zip（超级兔子清理王，免安装版）
% _" N$ k+ g" j/ K& IWindows清理助手
" W3 ~6 x$ m3 nhttp://www.arswp.com/
360安全卫士
, P3 A% a- m- R0 g' whttp://www.360safe.com/
+ U  B0 c' L  {. L8 a2 v
2、hijackthis & SREng
7 b0 k& ]1 |) B) s! b# }! |  |    用hijackthi或者SREng找出问题项修复,这2个软件的用法见置底
4 |  ~6 R7 u: l) o6 e  J
第三步  手动操作
    对于前边操作都无法删除的,进控制台或者第三方软件启动（需要能访问ntfs）删除相应文件

二、如何防范流氓软件及防间谍软件
$ j4 Y% Z1 f) P" F1、如何防范流氓软件
2 N; a0 e; w6 A. }' u9 q    （1）操作系统及ie打好补丁
5 a, K! G, T7 f    （2）安装防病毒及防间谍软件
    （3）上网养成好习惯，不去不知名网站
    （4）不要随意安装共享软件、免费软件、汉化软件
: |/ G9 k; @' D; m9 K
2 e( U* Y" i, J4 K! D& c& S2、防间谍软件（后2个为微软推荐的防间谍软件）
" X4 S# o# a1 R2 u$ ]/ x    目前很多杀毒软件都集成了防间谍组件，如诺顿2006、卡巴6、mcafee8（需要单独安装）等，以下几个软件是免费的防间谍软件。
3 o7 a  D3 Z  o0 K8 F; N+ p9 {（1）Windows Defender（微软开发的防间谍软件）
6 }8 T) F% q# n1 }, P下载地址
http://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=en&SrcCategoryId=&SrcFamilyId=435BFCE7-DA2B-4A6A-AFA4-F7F14E605A0D&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2fe%2fd%2f0%2fed099d5e-dc60-4740-8747-1c72f053b800%2fWindowsDefender.msi
0 e4 U! ]; O) M* g5 U
1 y* L9 ^1 b  E! f5 y2 R（2）Ad-Aware SE
8 ?: ^3 i7 D# `; a, [下载地址:
/ _* }3 |6 a; V4 r& lhttp://www.lavasoft.de/ms/index.htm

（3）Spybot Search & Destroy (S&D)
" k+ c. a3 z- B' v' |' u$ E下载地址
http://www.safer-networking.org/microsoft.en.html
6 h) y0 ^3 o! P( g
2 `3 e% A# p3 H1 @1 r) _三、hijackthis和SREng中常见修复项
1、hijackthis
7 u9 V0 O. P4 p, k  r如何使用该软件参见置底 以下列出常见需要修复的项
. M  _7 ?( g# x3 j/ t7 s% g
, c. C: Q2 n7 Z# b- f; E3 g) dF2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\ .exe
, T# o" }% l  _6 h（此项删除文件 C:\WINDOWS\ .exe）
F3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe

0 s" U0 o' A5 ^+ q  u  j) EO2 - BHO: AdFilter - {8F8B1318-72FE-412F-9FE3-9CF15B631575} - C:\WINDOWS\system32\AdFilter.dll
5 O+ c' a, C+ ?# J, k8 z9 bO2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC32.dll
1 V5 m# @( ~7 L; W, VO2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC64.dll
O2 - BHO: ltmenu Class - {78C21EFD-53BA-406C-AF1A-33A38ABD3958} - C:\Program Files\LtUcx\1002\c0.dll
O2 - BHO: BHelper - {8A4280AD-9B37-4922-A51D-73F3C3A32AF7} - C:\WINDOWS\system32\msibm\cfsbho.dll
( l6 x9 R- R( `0 Q. C# xO2 - BHO: URLMonitor Class - {3ED9FFDA-79DB-4B2D-99B7-16EA3C4A3A92} - C:\WINDOWS\system32\hap.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\hbhelper.dll
2 R1 S- ~0 H7 x( u+ W5 G9 [, oO2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application
Data\Microsoft\IEHelper\IEHelper200638_8576.dll
# Q0 \; r; q; H8 z6 {5 \: m（IEHelper****.dll都是 这个名字有变化）
O2 - BHO: MacroMediapd - {B8CCDD47-38E4-4CD2-B7FA-3B4B690F74BD} - C:\WINDOWS\system32\microapmddt.dll
O2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
O2 - BHO: IEHlprObj Class - {BA623AA0-9A82-4d0c-944C-0228CEA17780} - C:\Progra~1\Messenger\netshow.dll
O2 - BHO: IEHlprObj Class - {F5B3ECED-9BF3-4f7e-882B-A6E75343C499} - C:\Progra~1\NetMeeting\netinit.dll
O2 - BHO: IEHlprObj Class - {999ADFA2-8AD1-47ff-97FC-69FB847458F4} -  C:\Progra~1\NetMeeting\nmview.dll
8 u  d: H) V1 k, y+ D* aO2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
O2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
O2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\qylhelper.dll
+ s2 j$ d6 E% D* {O2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
O2 - BHO: WebMiscItem Class - {3CD4296F-6CC3-11D9-B888-000C299AA719} - C:\WINDOWS\system32\WebMisc.dll
$ D! m- a6 T1 j. @: I& r5 kO2 - BHO: BrowserHelper Class - {2D99E8F4-56B7-457B-9A92-61B5D247D263} - C:\WINDOWS\system32\WinDefendor.dll
O2 - BHO: DownloadValue Class - {616D4040-5712-4F0F-BCF1-5C6420A99E14} - C:\WINDOWS\system32\winhtp.dll
O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll

4 K# o2 @' h) c- D# v/ D# x6 bO3 - IE工具栏增项: 系统标准按钮(&E) - {6B2455FD-3669-4555-8DF8-69FD5BC846F8} -
C:\WINDOWS\system32\SystemToolbar.dll

O4 - 启动项HKLM\\Run: [SCIntruder.dll] RUNDLL32.EXE C:\WINDOWS\system32\AdvSC.dll,Service                                       
+ o# g5 N* J( ~7 \& D- zO4 - 启动项HKLM\\Run: [mscfs] RUNDLL32 C:\WINDOWS\system32\msibm\cfsys.dll,cfs
O4 - 启动项HKLM\\Run: [RichMedia] C:\WINDOWS\system32\Rundll32.exe "C:\PROGRA~1\HBClient\hbhelper.dll",WaitWindows
1 t; o0 l2 L) `6 \$ AO4 - HKCU\..\Run: [LetsCool] C:\Program Files\LetsCool\LetsCool.exe
% h/ O7 Y- r4 _0 G) p. TO4 - 启动项HKLM\\Run: [res] C:\WINDOWS\system32\res.exe
' }! c  h' }" wO4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
O4 - 启动项HKLM\\Run: [supdate2.dll] RUNDLL32.EXE C:\WINDOWS\system32\supdate2.dll,Run
O4 - 启动项HKLM\\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
O4 - Global Startup: IE-BAR.lnk = ?

8 _, a1 f# g* k8 f+ iO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
* r+ O6 d! d+ Z: E  @$ MO6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
1 |% D  ^3 W: t0 D7 VO7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System,
DisableRegedit=1

2 r  ]+ m: V1 Q+ L' mO8 - IE右键菜单中的新增项目:   >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
O9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O9 - 浏览器额外的“工具”菜单项: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
9 J, e. g7 u! W& j1 z8 v4 C& R
4 y( g6 ]+ |0 P$ j' S, fO18 - Filter: text/html - {E7009873-0D40-45B1-8D59-5B9AE98C7D38} - C:\Program Files\Internet Explorer\Connection Wizard\icwnet.dll

O21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} -
C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
$ t' k* @4 e4 \" vO21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -
7 v( o4 l3 f2 n* N) Q9 o) NC:\WINDOWS\SYSTEM32\stdup.dll
- `2 n% \8 _" l  |# ^) S) L! PO21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} -
C:\PROGRA~1\winkld\winkld.dll
7 r! r, O* c8 o! t; j' {
  }# W  |; L' \0 ?: pO23 - NT 服务: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
+ a/ J% r. j, l; H5 j; zO23 - NT 服务: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
3 k9 I' w6 _, m$ u5 S( Z, SO23 - NT 服务: Windows Print Controller (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\SAND\qqfacerclient.exe
O23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:\Program Files\Common Files\smartde\sde.exe
) _0 ?# v3 X3 d0 D6 s, q  TO23 - NT 服务: VIPTray - Unknown owner - C:\WINDOWS\System32\VIPTray.exe
0 j: K4 c! e- }1 v9 cO23 - NT 服务: WinWrCup - MsWinCup - D:\WINDOWS\wincup\wincup.exe
$ `: b1 ]* K" G
$ X! S% O# g# K/ Q# z" U2、SREng
如何使用该软件参见置底 以下列出常见需要修复的项

注册表
; E2 E6 i" [1 T7 ~[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
% h: y4 @) X3 w; c/ [) e    <load><C:\windows\system32\wincfgs.exe>  []
9 c" |- _1 a) h% q
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
\Run]
    <SoundMix><rundll32.exe C:\WINDOWS\system32\soundmix.dll,Load>  []
$ G5 U& z% A+ n2 k" b8 A4 x    <CheckFaultKernel><C:\WINDOWS\system32\mswdm.exe>  []

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <Userinit><C:\WINNT\System32\userinit.exe,C:\WINNT\System32\cmmon.exe>  []
$ O% s- |1 y6 x' A  n    <Userinit><userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe>  []
* W# F5 Y) A3 `, {    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\eklc.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\bcdffc.exe>  []
（这个 crypto文件夹下的几个文件会改变名字 通常还有一个 Microsoft Corporation属性的BHO
[IEHlprObj Class]
! z( @+ m4 j3 D8 @8 U  {D424FE4E-CAF9-4fdd-BC5F-E6E6B91D53BF} <C:\Progra~1\NetMeeting\conf.dll, Microsoft Corporation>）
& ], G5 k* B  a2 u
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{B48F6409-4740-475B-A474-651F54CCE460}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll>  []
    <{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}><C:\WINDOWS\DOWNLO~1\BDPlugin.dll>[]
    <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><C:\WINDOWS\DOWNLO~1\CnsHook.dll>[北京三七二一科技有限公司]
7 P  q5 [% G. j' Q  I! y
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
8 J) z9 I/ t  L! H, \3 d( }0 c    <{af3fd9a8-1287-4159-9212-9a5b4494af70}><C:\WINDOWS\system32\guxxa.dll>  []

4 ]: p' ^, a: B[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
    <Vision><C:\PROGRA~1\MMSASS~1\Mmsass~1.dll>  []
" }2 L8 a$ x2 O9 H, @$ F    <DLMon><C:\WINDOWS\System32\DLMain.dll>  []

服务
[Internet Protect Service / lDOMANE]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export 1087><N/A>
[Internet Protect Service / BKMARKS]
% m0 F8 i. q5 \, m  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
. w! c& t7 {4 S$ z% j% g$ @[Performance Moniter / BARCASE]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
* E% p6 H+ Q7 o" v0 n1087><N/A>
$ M: r9 l' s) m, a/ g[JMediaService / JMediaService]
+ W0 g- A$ a9 g& z/ ~  <C:\WINNT\system32\rundll32.exe C:\PROGRA~1\MMSASS~1\MMSSVER.DLL,Service><N/A>
[StdService / StdService]
. t% W& w: e0 ?$ V% v) I8 a2 D! Q  <C:\WINNT\system32\rundll32.exe C:\WINNT\System32\STDSVER.DLL,Service><N/A>
$ U: q6 ^+ h! P[VIPTray / VIPTray]
+ A( L+ [) z; m8 E4 A  <C:\WINDOWS\System32\VIPTray.exe><N/A>
3 t0 P( Q& |0 B# e. s7 l' L! c[WinWrCup / WinWrCup]
8 G. }1 M. ?( u2 W" h  <C:\WINNT\wincup\wincup.exe -R><MsWinCup>
" _. e4 H6 J( \+ m( ~$ `- W[WinKld / WinKld]
, G0 Z; o& P& Z7 g* Z/ }  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\winkld\winkld.dll",Run -r><N/A>
[wint / wint]
- \( P- a9 p, Z( e: r  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\wint\wint.dll",Run -r><N/A>
: y0 d, ]) T; w) u: _: }! i) T[WinkldUP / WinkldUP]
& `: D7 v2 }' l3 E; b: v  <C:\DOCUME~1\wq\LOCALS~1\Temp\wz\wz.exe -R><N/A>
9 R6 R" \. E, T8 Q[XDownloadService / XDownloadService]
  <C:\WINDOWS\system32\Rundll32.exe "C:\WINDOWS\Downloader.dll",Run><N/A>
9 ?: ^0 Y( W& }4 u
浏览器加载项
8 o* K# D8 w+ l[NetAccelerate Class]
  {5673A7C0-95CC-4646-BB07-3BD71234CEF9} <C:\WINDOWS\system32\wuwebex.dll,
Microsoft Corporation>

armymanuse

顶一下……

rulingdanny

支持实用的帖子