瑞星卡卡安全论坛

本人小白一个，请大虾们来看看小弟的日志有问题吗

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; MAXTHON 2.0)


附件: 95950620071030202920.txt

[npkcrypt / npkcrypt][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32\npkcrypt.sys><N/A>
[npkycryp / npkycryp][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32\npkycryp.sys><N/A>

上面二个驱动有问题，貌似是中了QQPASS病毒。

给个帖子自己看：http://www.nohack.cn/bbs/viewthread.php?tid=52810

这个好像是QQ的吧
[npkcrypt / npkcrypt][Stopped/Manual Start]
<\??\C:\WINDOWS\system32\npkcrypt.sys><N/A>
这个有点像是XP的
[System Restore Filter Driver / sr][Stopped/Boot Start]
<\SystemRoot\system32\DRIVERS\sr.sys><N/A>

本人超级菜鸟，说错了大侠别见怪啊^_^！

请问各位高手如何解决啊？我这个日志是在启动到安全模式下杀毒完成后分析的，本人菜鸟不会使冰刃，有什么简单易懂的办法吗？

引用:

【wbxhs的贴子】这个好像是QQ的吧 [npkcrypt / npkcrypt][Stopped/Manual Start] <\??\C:\WINDOWS\system32\npkcrypt.sys><N/A> 这个有点像是XP的 [System Restore Filter Driver / sr][Stopped/Boot Start] <\SystemRoot\system32\DRIVERS\sr.sys><N/A> 本人超级菜鸟，说错了大侠别见怪啊^_^！ ………………

1、你会把QQ的驱动程序安装在C:\WINDOWS\system32\目录下么？一般驱动对应映像文件路径应该是c:\program files\tencent\qq；
2、系统还原服务项目名称应该是System Restore services,而不是System Restore Filter Driver或sr,这个驱动是冒充的，上面的链接地址有说，仔细看看。--红色的说法出错，请大家注意！

哈，学习了！

那请问给怎么删除这个病毒呢？

引用:

【xch123的贴子】那请问给怎么删除这个病毒呢？ ………………

1、先用SRENG扫描工具删除上面那二个驱动程序，方法到这里自学：。

2、重启电脑进入安全模式，双击“我的电脑”--工具--文件夹选项--查看--勾选“显示系统文件和文件夹”，取消勾选“隐藏受保护的操作系统文件（推荐）”，之后勾选“显示所有的文件和文件夹”--确定--找到以下文件，删除(找不到就算了)：
C:\WINDOWS\system32\npkcrypt.sys
C:\WINDOWS\system32\npkycryp.sys

3、安全模式下全盘杀毒。

4、QQ的一些文件可能被病毒替换，建议卸载QQ，删除QQ安装目录和其下所有文件，重装QQ。

建议执行以上操作前先用去HTTP://WWW.ARSWP.COM/下载个WINDOWS清理助手用用，发现你机中有流氓软件。
对下面这个驱动还是不很肯定，因此建议暂停上帖操作，等待版主给出权威解释：
[System Restore Filter Driver / sr][Stopped/Boot Start]
<\SystemRoot\system32\DRIVERS\sr.sys><N/A>
经检查，发现自己弄错了，上面这个驱动程序应当是正常的系统驱动，该死！

好的，这些天我都在论坛里，等待版主做出权威解释哈

请各位大虾来帮助小弟啊，本人在线等哈