流氓软件解决方法及防范zz

tonyboy

编辑这个帖子的目的是 让大家能够自己解决 ie浏览器弹出广告及其他因中招流氓软件，导致电脑使用中出现的各种问题
; I% O  \2 O2 S+ x1 M3 F0 ~; F4 A一、清除方法
$ T9 p7 Q5 J8 b2 d) C二、如何防范流氓软件及几款免费防间谍软件
* K3 O& a! I  N; Y- L5 S. w三、hijackthis和SREng中常见修复项

5 X1 ~, m' R! M  D' p! ^6 R' j4 B9 T一、清除方法
第一步  添加删除程序里卸载（有些不提供卸载或者卸载不完全）
    MMSAssist、winstdup、酷站导航、RichMedia、很棒小秘书、桌面传媒、桌面媒体、划词搜索、网络猪、青娱乐、搜搜地址栏搜索、中文上网、中文邮、网络实名、上网助手、雅虎助手

第二步  使用软件
1、恶意软件清理助手 & 超级兔子 & Windows清理助手 & 360安全卫士
    以上几个软件，基本可以清除大部分常见流氓软件，几点说明
    （1）软件定期更新 注意升级 另不能清除的 安全模式下 清理
- c; [0 ~; q3 ~    （2）超级兔子功能只推荐 超级兔子清理王 专业卸载 功能
    （3）清理前先备份注册表，虽然出现问题的人极少。这一步操作自己选择吧，方法见版内置底的 常用方法
4 Z' f* d/ H5 d% y& G/ a( l
恶意软件清理助手(绿色软件，最好安全模式下操作，本软件定期更新，注意升级）
http://www.tommsoft.com/Products.aspx?pid=2
, ?: l. j) M' V6 d: B附件1  恶意软件清理助手(版本2.19 2006-10-13)
  j! ]3 F" s( X超级兔子（主界面-->超级兔子清理王-->专业卸载，7.55a版开始有免安装版)
; n# _" d1 M; [: C% z9 t4 p附件2  超级兔子(版本7.85 2006-10-11) 附件是 超级兔子清理王，免安装版
8 A& A7 ^$ C$ O. G0 I1 z3 t# ghttp://www.pctutu.com/download.asp（超级兔子，安装版）
http://download5.pctutu.com/soft/magicset785.zip（超级兔子，免安装版）
' I4 f$ p2 ]: ~" V( Yhttp://download5.pctutu.com/soft/winspeed785.zip（超级兔子清理王，免安装版）
) j( F4 Y) E! j. E3 n* Z& i( bWindows清理助手
http://www.arswp.com/
360安全卫士
1 t5 s/ K, r5 c/ b. i4 n+ Lhttp://www.360safe.com/
5 U% \4 ~, `3 q3 {. {* A9 O
. M- a& W$ X7 C" j& t9 e, f2、hijackthis & SREng
* u! [, m0 F$ ]) g    用hijackthi或者SREng找出问题项修复,这2个软件的用法见置底

# P$ R; z+ y3 d$ S5 f第三步  手动操作
    对于前边操作都无法删除的,进控制台或者第三方软件启动（需要能访问ntfs）删除相应文件

二、如何防范流氓软件及防间谍软件
7 @1 H' r8 x3 ?9 h# R1、如何防范流氓软件
( Z( m  I" O& T9 j( [3 `1 V    （1）操作系统及ie打好补丁
/ h" @( B, J- M; z4 L+ F5 I( J4 P    （2）安装防病毒及防间谍软件
* d4 W2 b0 {8 B% Q2 F1 E1 S    （3）上网养成好习惯，不去不知名网站
$ E$ ?& f  `9 M% X& k    （4）不要随意安装共享软件、免费软件、汉化软件
. o% F0 x/ u- f
: x+ d; K4 z2 J, Z- L2、防间谍软件（后2个为微软推荐的防间谍软件）
1 J: h5 [; s# f- z! m    目前很多杀毒软件都集成了防间谍组件，如诺顿2006、卡巴6、mcafee8（需要单独安装）等，以下几个软件是免费的防间谍软件。
（1）Windows Defender（微软开发的防间谍软件）
下载地址
" l8 _! z5 j" H) A" W  Vhttp://www.microsoft.com/downloads/info.aspx?na=90&p=&SrcDisplayLang=en&SrcCategoryId=&SrcFamilyId=435BFCE7-DA2B-4A6A-AFA4-F7F14E605A0D&u=http%3a%2f%2fdownload.microsoft.com%2fdownload%2fe%2fd%2f0%2fed099d5e-dc60-4740-8747-1c72f053b800%2fWindowsDefender.msi
* P* _6 b; \  ?6 d  T
9 A8 K0 l0 Z+ H. v% o; h（2）Ad-Aware SE
下载地址:
) }, ]' T/ J$ S+ ]  ihttp://www.lavasoft.de/ms/index.htm

# I3 Z6 ^4 P+ I: d- F) {（3）Spybot Search & Destroy (S&D)
' q! y7 Z+ ], o: [下载地址
http://www.safer-networking.org/microsoft.en.html
* `5 ^1 F* c; B; s3 U1 u6 k7 w2 D- b
" T6 E! S' ^4 `1 X三、hijackthis和SREng中常见修复项
1、hijackthis
如何使用该软件参见置底 以下列出常见需要修复的项

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\ .exe
（此项删除文件 C:\WINDOWS\ .exe）
7 ?8 L1 I7 B% s6 [F3 - REG:win.ini: load=C:\windows\system32\wincfgs.exe
6 Z5 H) l" Y" D  h4 n% e6 f4 |: a
O2 - BHO: AdFilter - {8F8B1318-72FE-412F-9FE3-9CF15B631575} - C:\WINDOWS\system32\AdFilter.dll
- S% c# ]( U3 lO2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC32.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:\WINDOWS\system32\AdvSC64.dll
O2 - BHO: ltmenu Class - {78C21EFD-53BA-406C-AF1A-33A38ABD3958} - C:\Program Files\LtUcx\1002\c0.dll
3 y  z- u  w2 a$ cO2 - BHO: BHelper - {8A4280AD-9B37-4922-A51D-73F3C3A32AF7} - C:\WINDOWS\system32\msibm\cfsbho.dll
O2 - BHO: URLMonitor Class - {3ED9FFDA-79DB-4B2D-99B7-16EA3C4A3A92} - C:\WINDOWS\system32\hap.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\hbhelper.dll
O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application
7 J5 g0 |3 I" ]/ ^4 M! t2 }2 x% A$ w" FData\Microsoft\IEHelper\IEHelper200638_8576.dll
8 [+ o# D( b, g# ]' P（IEHelper****.dll都是 这个名字有变化）
, `" Y- x- Q( O2 O6 d! HO2 - BHO: MacroMediapd - {B8CCDD47-38E4-4CD2-B7FA-3B4B690F74BD} - C:\WINDOWS\system32\microapmddt.dll
O2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O2 - BHO: NaviHelperObj Class - {3E422F49-1566-40D3-B43D-077EF739AC32} - C:\WINDOWS\system32\NaviHelper.dll
/ i; W1 [* K, ~% U' N  h8 q! n6 V& C& CO2 - BHO: IEHlprObj Class - {BA623AA0-9A82-4d0c-944C-0228CEA17780} - C:\Progra~1\Messenger\netshow.dll
O2 - BHO: IEHlprObj Class - {F5B3ECED-9BF3-4f7e-882B-A6E75343C499} - C:\Progra~1\NetMeeting\netinit.dll
, F2 [4 L; w# v0 j5 xO2 - BHO: IEHlprObj Class - {999ADFA2-8AD1-47ff-97FC-69FB847458F4} -  C:\Progra~1\NetMeeting\nmview.dll
O2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
! r8 o! C* }& f0 C% N- ]O2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
O2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\qylhelper.dll
O2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\SYSTEM32\stdup.dll
& n. q2 }, @; O( p' V  j; u$ oO2 - BHO: WebMiscItem Class - {3CD4296F-6CC3-11D9-B888-000C299AA719} - C:\WINDOWS\system32\WebMisc.dll
O2 - BHO: BrowserHelper Class - {2D99E8F4-56B7-457B-9A92-61B5D247D263} - C:\WINDOWS\system32\WinDefendor.dll
5 |5 m/ s3 J9 K0 DO2 - BHO: DownloadValue Class - {616D4040-5712-4F0F-BCF1-5C6420A99E14} - C:\WINDOWS\system32\winhtp.dll
O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll
3 [: q) I( b' q) K7 l* W9 r
O3 - IE工具栏增项: 系统标准按钮(&E) - {6B2455FD-3669-4555-8DF8-69FD5BC846F8} -
4 m  c6 F; ]. e) JC:\WINDOWS\system32\SystemToolbar.dll
& v" g2 F) `- l: f7 @
O4 - 启动项HKLM\\Run: [SCIntruder.dll] RUNDLL32.EXE C:\WINDOWS\system32\AdvSC.dll,Service                                       
* n' @6 S, r: HO4 - 启动项HKLM\\Run: [mscfs] RUNDLL32 C:\WINDOWS\system32\msibm\cfsys.dll,cfs
* O; b$ f0 K# f: G* RO4 - 启动项HKLM\\Run: [RichMedia] C:\WINDOWS\system32\Rundll32.exe "C:\PROGRA~1\HBClient\hbhelper.dll",WaitWindows
0 ^6 Y1 D) I; l3 ]. g( sO4 - HKCU\..\Run: [LetsCool] C:\Program Files\LetsCool\LetsCool.exe
4 B% {8 V( y! OO4 - 启动项HKLM\\Run: [res] C:\WINDOWS\system32\res.exe
O4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
O4 - 启动项HKLM\\Run: [supdate2.dll] RUNDLL32.EXE C:\WINDOWS\system32\supdate2.dll,Run
8 `% o6 n3 Y" ^  @' K8 ]' W' x, [O4 - 启动项HKLM\\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
( c/ N7 \# e( f5 C  rO4 - Global Startup: IE-BAR.lnk = ?
& I  E" a# J0 E
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Toolbars\Restrictions present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System,
DisableRegedit=1

# g7 n3 n( [7 i" C2 ?) [  j$ {# y6 ]O8 - IE右键菜单中的新增项目:   >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
O9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
' Y3 }) t3 }: Y2 \O9 - 浏览器额外的“工具”菜单项: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\Mmsass~1.dll
8 S. L8 e. a5 s% j0 A! ~1 _+ N
3 V0 e2 X+ h+ X  h3 A' NO18 - Filter: text/html - {E7009873-0D40-45B1-8D59-5B9AE98C7D38} - C:\Program Files\Internet Explorer\Connection Wizard\icwnet.dll

, \4 M7 j) v0 e5 lO21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} -
+ {5 f/ W+ x& v& ]; cC:\PROGRA~1\MMSASS~1\Mmsass~1.dll
O21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -
C:\WINDOWS\SYSTEM32\stdup.dll
* N% z1 H) W/ v+ o3 h3 s; }! ^* BO21 - SSODL: SysTime - {724C75F1-B757-408D-A50A-4CF99DA35D73} -
5 O% |% S' E/ ~  ~/ f' G4 W) @- V& zC:\PROGRA~1\winkld\winkld.dll

O23 - NT 服务: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe
O23 - NT 服务: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
O23 - NT 服务: Windows Print Controller (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\SAND\qqfacerclient.exe
O23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:\Program Files\Common Files\smartde\sde.exe
4 y( D1 G; [/ o# B& p6 n  v4 XO23 - NT 服务: VIPTray - Unknown owner - C:\WINDOWS\System32\VIPTray.exe
" ]6 t& |7 ~' e1 Q5 ZO23 - NT 服务: WinWrCup - MsWinCup - D:\WINDOWS\wincup\wincup.exe

: p0 U0 J9 f( g2、SREng
3 b, c9 X. {* g* ]+ M7 e如何使用该软件参见置底 以下列出常见需要修复的项
- T2 c, h- s1 {4 I1 y3 J( b
注册表
& i# e: _( c! r& M[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
( P% O0 f$ l! i- E# W# y    <load><C:\windows\system32\wincfgs.exe>  []
# F) k( ^% f9 H1 G3 {! g4 o" w
9 ]2 y( U: q- C$ `: `2 E+ ]5 `[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
\Run]
( y1 ^- z9 h- r/ i! T9 E    <SoundMix><rundll32.exe C:\WINDOWS\system32\soundmix.dll,Load>  []
2 F4 r3 _& C1 J# y+ r5 {& z) _' d, r& A    <CheckFaultKernel><C:\WINDOWS\system32\mswdm.exe>  []

* N% k' n8 L2 o4 P4 n* [. |[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <Userinit><C:\WINNT\System32\userinit.exe,C:\WINNT\System32\cmmon.exe>  []
    <Userinit><userinit.exe,C:\WINDOWS\system32\scvhost\svchost.exe,wuauserv.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\eklc.exe>  []
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\bcdffc.exe>  []
（这个 crypto文件夹下的几个文件会改变名字 通常还有一个 Microsoft Corporation属性的BHO
[IEHlprObj Class]
  {D424FE4E-CAF9-4fdd-BC5F-E6E6B91D53BF} <C:\Progra~1\NetMeeting\conf.dll, Microsoft Corporation>）
1 K0 @$ N- l: t% I
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{B48F6409-4740-475B-A474-651F54CCE460}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll>  []
1 p# g% a- a8 B( r$ E$ T, Q" S* t8 G4 |    <{BC207F7D-3E63-4ACA-99B5-FB5F8428200C}><C:\WINDOWS\DOWNLO~1\BDPlugin.dll>[]
' {7 K: X  t6 V) [1 @' C, g    <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><C:\WINDOWS\DOWNLO~1\CnsHook.dll>[北京三七二一科技有限公司]
( t- B+ C  ?4 e+ ^* p* B
/ }9 ~% y  A; ?( q+ O  }[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
    <{af3fd9a8-1287-4159-9212-9a5b4494af70}><C:\WINDOWS\system32\guxxa.dll>  []
- `  u8 @$ h* t
  a8 ^$ b* J8 Y+ C; X0 f[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
. A4 M6 E! b& m4 r8 T    <Vision><C:\PROGRA~1\MMSASS~1\Mmsass~1.dll>  []
    <DLMon><C:\WINDOWS\System32\DLMain.dll>  []
2 N# U" y* L4 G! h6 \1 u
服务
' ]" w2 t+ u6 ~% }( V$ f[Internet Protect Service / lDOMANE]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export 1087><N/A>
[Internet Protect Service / BKMARKS]
  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
+ G$ A! f( y( _7 G; f1087><N/A>
[Performance Moniter / BARCASE]
* h" c# a4 R# k2 S; ]- \  <C:\WINDOWS\SYSTEM32\RUNDLL32.EXE C:\WINDOWS\SYSTEM32\WBEM\IRJIT.DLL,Export
1087><N/A>
[JMediaService / JMediaService]
  <C:\WINNT\system32\rundll32.exe C:\PROGRA~1\MMSASS~1\MMSSVER.DLL,Service><N/A>
& W. J! h0 A* E' q[StdService / StdService]
1 I" b% [0 u/ J  _2 i7 [  <C:\WINNT\system32\rundll32.exe C:\WINNT\System32\STDSVER.DLL,Service><N/A>
/ r- b" j+ k8 d' ~. J[VIPTray / VIPTray]
  <C:\WINDOWS\System32\VIPTray.exe><N/A>
[WinWrCup / WinWrCup]
  <C:\WINNT\wincup\wincup.exe -R><MsWinCup>
[WinKld / WinKld]
  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\winkld\winkld.dll",Run -r><N/A>
$ X6 g' k5 l8 P; E! g5 S1 [[wint / wint]
1 q6 P( N- x1 Y4 X  <C:\WINDOWS\System32\RunDLL32.exe "C:\PROGRA~1\wint\wint.dll",Run -r><N/A>
8 v, F4 K  }$ \& H[WinkldUP / WinkldUP]
4 ^: T4 I  a9 B; Y0 Z! Z  <C:\DOCUME~1\wq\LOCALS~1\Temp\wz\wz.exe -R><N/A>
[XDownloadService / XDownloadService]
/ C6 A# e* A, M4 x' b  <C:\WINDOWS\system32\Rundll32.exe "C:\WINDOWS\Downloader.dll",Run><N/A>
' G$ V2 n0 i8 q
7 L5 M$ L' @3 E9 [浏览器加载项
[NetAccelerate Class]
  {5673A7C0-95CC-4646-BB07-3BD71234CEF9} <C:\WINDOWS\system32\wuwebex.dll,
Microsoft Corporation>

armymanuse

顶一下……

rulingdanny

支持实用的帖子