瑞星卡卡安全论坛

我中了木马群病毒。请高手帮忙看看扫描报告啊。SYSTEM32里面要怎么删除啊！谢谢了

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)


附件: 95779120071010131308.txt

注意：删除病毒可能会具有一定的危险性 所以强烈建议操作前要把重要资料转移至非系统分区！
打开sreng
启动项目 注册表 删除如下项目
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
  <ravshell><C:\WINNT\system32\explore3.exe>  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <Kvsc3><C:\WINNT\Kvsc3.exe>  []
    <AVPSrv><C:\WINNT\AVPSrv.exe>  []
    <msccrt><C:\WINNT\msccrt.exe>  []
    <GenProtect><C:\WINNT\GenProtect.exe>  []
    <MsPrint32D><C:\WINNT\MsPrint32D.exe>  []
    <upxdnd><C:\WINNT\upxdnd.exe>  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
    <MSDWG32><LYLoadbr.exe>  [N/A]
    <MSDCG32    ><LYLeador.exe>  [N/A]
    <MSDOG32><LYLoador.exe>  [N/A]
    <MSDSG32><LYLoadar.exe>  [N/A]
    <MSDMG32><LYLoadmr.exe>  []
    <MSDHG32><LYLoadhr.exe>  [N/A]
    <MSDQG32><LYLoadqr.exe>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
    <IPicture><"C:\Program Files\Internet Explorer\PLUGINS\IPictureEx.dll>  [N/A]

“启动项目”-“服务”-“Win32服务应用程序”中点“隐藏经认证的微软项目”，
选中以下项目，点“删除服务”，再点“设置”，在弹出的框中点“否”：
[A6C6F6E6 / A6C6F6E6][Stopped/Auto Start]
  <C:\WINNT\system32\EF206EA6.EXE -k><Microsoft Corporation>

用SRENG扫描工具删除以下驱动程序
[king / king][Stopped/Manual Start]
  <\??\C:\WINNT\system32\wincab.sys><N/A>

重启计算机进入安全模式下删除
    [C:\WINNT\system32\zinforms.dll]  [N/A, ]
    [C:\WINNT\system32\Kvsc3.dll]  [N/A, ]
    [C:\WINNT\system32\GenProtect.dll]  [N/A, ]
    [C:\WINNT\system32\NVDispDrv.dll]  [N/A, ]
    [C:\WINNT\system32\AVPSrv.dll]  [N/A, ]
    [C:\WINNT\system32\MsIMMs32.dll]  [N/A, ]
    [C:\WINNT\system32\mppds.dll]  [N/A, ]
    [C:\WINNT\system32\cmdbcs.dll]  [N/A, ]
    [C:\WINNT\system32\MsPrint32D.dll]  [N/A, ]
    [C:\WINNT\system32\msccrt.dll]  [N/A, ]
    [C:\WINNT\system32\upxdnd.dll]  [N/A, ]
    [C:\WINNT\system32\DbgHlp32.dll]  [N/A, ]
<\??\C:\WINNT\system32\wincab.sys><N/A>
<C:\WINNT\system32\EF206EA6.EXE -k><Microsoft Corporation>
    <IPicture><"C:\Program Files\Internet Explorer\PLUGINS\IPictureEx.dll>
    <MSDWG32><LYLoadbr.exe>  [N/A]
    <MSDCG32    ><LYLeador.exe>  [N/A]
    <MSDOG32><LYLoador.exe>  [N/A]
    <MSDSG32><LYLoadar.exe>  [N/A]
    <MSDMG32><LYLoadmr.exe>  []
    <MSDHG32><LYLoadhr.exe>  [N/A]
    <MSDQG32><LYLoadqr.exe>  [N/A]
    <Kvsc3><C:\WINNT\Kvsc3.exe>  []
    <AVPSrv><C:\WINNT\AVPSrv.exe>  []
    <msccrt><C:\WINNT\msccrt.exe>  []
    <GenProtect><C:\WINNT\GenProtect.exe>  []
    <MsPrint32D><C:\WINNT\MsPrint32D.exe>  []
    <upxdnd><C:\WINNT\upxdnd.exe>  []
  <ravshell><C:\WINNT\system32\explore3.exe>  [N/A]

用winrar删除每个盘符下的auto.exe和autorun.inf

最后用SRENG扫描工具/系统修复，把winsock供应者修复。

先下载XDelbox1.5删除工具: http://www.i170.com/attach/97670969-F47C-4A8B-9529-F0F602EFA902
打开XDelbox1.5勾选“抑制再生”、“备份文件”（为误操作留条后路）。把以下路径添加进去(或者复制下面路径然后点xdelbox右键"从剪贴板导入),然后点右键,立即重启并删除.
C:\WINNT\system32\explore3.exe
C:\WINNT\Kvsc3.exe
C:\WINNT\AVPSrv.exe
C:\WINNT\msccrt.exe
C:\WINNT\GenProtect.exe
C:\WINNT\MsPrint32D.exe
C:\WINNT\upxdnd.exe
C:\WINNT\system32\EF206EA6.EXE
C:\WINNT\system32\wincab.sys
C:\WINDOWS\system32\LYMANGR.DLL
C:\WINNT\system32\zinforms.dll
C:\WINNT\system32\A7797E4E.DLL
C:\WINNT\system32\zinforms.dll
C:\WINNT\system32\Kvsc3.dll
C:\WINNT\system32\GenProtect.dll
C:\WINNT\system32\NVDispDrv.dll
C:\WINNT\system32\AVPSrv.dll
C:\WINNT\system32\MsIMMs32.dll
G:\INSTALL\GMSIPCI.SYS
C:\WINNT\system32\mppds.dll
C:\WINNT\system32\cmdbcs.dll
C:\WINNT\system32\MsPrint32D.dll
C:\WINNT\system32\msccrt.dll
C:\WINNT\system32\upxdnd.dll
C:\WINNT\system32\DbgHlp32.dll
C:\Autorun.inf
D:\Autorun.inf
E:\Autorun.inf
F:\Autorun.inf
C:\auto.exe
D:\auto.exe
E:\auto.exe
F:\auto.exe
重启计算机按F8进入安全模式:
(如果进不了就进正常模式)
打开sreng
启动项目--注册表--删除如下项目:
<ravshell><C:\WINNT\system32\explore3.exe>  [N/A]
  <Kvsc3><C:\WINNT\Kvsc3.exe>  []
    <AVPSrv><C:\WINNT\AVPSrv.exe>  []
    <msccrt><C:\WINNT\msccrt.exe>  []
    <GenProtect><C:\WINNT\GenProtect.exe>  []
    <MsPrint32D><C:\WINNT\MsPrint32D.exe>  []
    <upxdnd><C:\WINNT\upxdnd.exe>  []
    <MSDWG32><LYLoadbr.exe>  [N/A]
    <MSDCG32    ><LYLeador.exe>  [N/A]
    <MSDOG32><LYLoador.exe>  [N/A]
    <MSDSG32><LYLoadar.exe>  [N/A]
    <MSDMG32><LYLoadmr.exe>  []
    <MSDHG32><LYLoadhr.exe>  [N/A]
    <MSDQG32><LYLoadqr.exe>  [N/A]
打开sreng
点击启动项目--服务--Win32服务应用程序-- 勾选“隐藏经认证的微软项目”
等待列表出来之后点击以下项目.然后选中下面的 “删除服务” 并单击设置按钮
在弹出的框中点“否”
[A6C6F6E6 / A6C6F6E6][Stopped/Auto Start]
  <C:\WINNT\system32\EF206EA6.EXE -k><Microsoft Corporation>
驱动程序
[king / king][Stopped/Manual Start]
  <\??\C:\WINNT\system32\wincab.sys><N/A>
[GMSIPCI / GMSIPCI][Stopped/Manual Start]
  <\??\G:\INSTALL\GMSIPCI.SYS><N/A>
下载 arswp清理助手: http://www.arswp.com/
打开arswp--高级模式--定制扫描--完整扫描,扫描所有文件--开始扫描.