瑞星卡卡安全论坛

昨天晚上开始出现瑞星的系统监控被禁用，就是变红伞了。瑞星相关的工具和360都打不开（改名之后就打开了）
然后就是联上网弹出ie保护黑白名单。
弄了一晚上，很多方法都试过了，在安全模式下重装瑞星杀了50多个毒，之后手动删了注册表及windows/system下的对应文件，但重启又回来了。
windows/system32下也有可疑文件（1.exe,2.exe等等）
具体如msimms32,lotushlp，cmdbcs等等.

希望大家帮帮忙。
第一次发帖，有不对的地方请包涵
日志附上

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; QQDownload 1.7; TencentTraveler )


附件: 1010120200813090622.txt

对不起，因为太急了有点语无伦次。
手动删的注册表的对应文件不是前面那五十多个毒的，而是和后面的那些msimms,lotushlp相对应的。
msimms这一系列文件在windows/system下.

做好准备后，必须断网处理。不然不能成功的。

你只有用Xdelbox这个工具去删除这些文件了。
下载XDELBOX，地址和使用方法：
http://forum.ikaka.com/topic.asp?board=28&artid=8381032
Xdelbox下载：http://www.dodudou.com/down/里面的原创软件文件夹下载那个1.6版本的，使用时一定拔掉所有移动存储设备。
将下面的文件信息全部复制，然后打开Xdelbox直接使用右键菜单的“剪贴板导入不检查路径”导入，并全选文件选择右键菜单的“立刻重启删除”

C:\WINDOWS\NVDispDRV.EXE
C:\WINDOWS\WSockDrv32.exe
C:\WINDOWS\cmdbcs.exe
C:\WINDOWS\upxdnd.exe
C:\WINDOWS\MsIMMs32.exE
C:\WINDOWS\DbgHlp32.exe
C:\WINDOWS\LotusHlp.exe
C:\WINDOWS\AVPSrv.exE
C:\WINDOWS\PTSShell.exe
C:\WINDOWS\system32\LYLoader.exe
C:\WINDOWS\system32\LYLoadbr.exe
C:\WINDOWS\system32\LYLeador.exe
C:\WINDOWS\system32\LYLoador.exe
C:\WINDOWS\system32\LYLoadar.exe
C:\WINDOWS\system32\LYLoadmr.exe
C:\WINDOWS\system32\LYLoadhr.exe
C:\WINDOWS\system32\LYLoadqr.exe
C:\WINDOWS\system32\Wisin.exe
C:\WINDOWS\system32\OAA_OAA_1009.dll
C:\WINDOWS\system32\IGB_CQSJ_1018.dll
C:\WINDOWS\system32\IGB_TMZ_1025.dll
C:\WINDOWS\Fonts\rsjzbpm.dll
C:\WINDOWS\cmdbcs.exe
C:\WINDOWS\DbgHlp32.exe
C:\WINDOWS\MsIMMs32.exE
C:\WINDOWS\upxdnd.exe
C:\WINDOWS\qyuwfi.exe
C:\WINDOWS\system32\drivers\ati32srv.sys
C:\WINDOWS\system32\drivers\pcihdd2.sys
C:\WINDOWS\system32\DRIVERS\msaclue.sys
C:\WINDOWS\system32\LYMANGR.DLL
C:\WINDOWS\system32\takqdjpzyzj.dll
C:\WINDOWS\system32\iragvagqj.dll
C:\WINDOWS\system32\PTSShell.dll
C:\WINDOWS\system32\cmuaouawm.dll
C:\WINDOWS\system32\AVPSrv.dll
C:\WINDOWS\system32\LotusHlp.dll
C:\WINDOWS\system32\DbgHlp32.dll
C:\WINDOWS\system32\MsIMMs32.dll
C:\WINDOWS\system32\jqyhtagzx.dll
C:\WINDOWS\system32\bhpvdiowow.dll
C:\WINDOWS\system32\upxdnd.dll
C:\WINDOWS\system32\cmdbcs.dll
C:\WINDOWS\system32\WSockDrv32.dll
C:\WINDOWS\system32\NVDispDrv.dll
C:\WINDOWS\system32\HDDGuard.dll
C:\WINDOWS\system32\OAA_OAA_1009.dll
C:\WINDOWS\system32\IGB_CQSJ_1018.dll
C:\WINDOWS\Fonts\rsjzbpm.dll
C:\WINDOWS\system32\IGB_TMZ_1025.dll

重启计算机以后 会有两个系统进入的选择的倒计时界面
第一个是你原来的windows系统
第二个是这个软件给你设定的dos系统
系统会自动选择进入第二个系统
类似dos的界面滚动完毕以后 病毒就被删除了
之后会自动重启进入正常模式
进入系统后，再做下面的：
————————————————————————————————————————
从下面项，可看出系统文件userinit.exe已被病毒替换，可以去C:\WINDOWS\system32\dllcache文件夹里找userinit.exe文件，复制到C:\WINDOWS\system32文件夹里替换。或者在附件里下载，那是我这XP系统里的userinit.exe文件。替换前先结束Userinit.exe进程。
启动项目
注册表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <Userinit><C:\WINDOWS\system32\userinit.exe,>  []
结束这个进程后再替换，在任务管理器中选择结束。
==================================
正在运行的进程   
[PID: 1384 / Administrator][C:\WINDOWS\system32\userinit.exe]  [N/A, ]
————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除：
启动项目
注册表
    <NVDispDrv><C:\WINDOWS\NVDispDRV.EXE>  []
    <WSockDrv32><C:\WINDOWS\WSockDrv32.exe>  []
    <cmdbcs><C:\WINDOWS\cmdbcs.exe>  []
    <upxdnd><C:\WINDOWS\upxdnd.exe>  []
    <MsIMMs32><C:\WINDOWS\MsIMMs32.exE>  []
    <DbgHlp32><C:\WINDOWS\DbgHlp32.exe>  []
    <LotusHlp><C:\WINDOWS\LotusHlp.exe>  []
    <AVPSrv><C:\WINDOWS\AVPSrv.exE>  []
    <PTSShell><C:\WINDOWS\PTSShell.exe>  []
    <MSDEG32><LYLoader.exe>  []
    <MSDWG32><LYLoadbr.exe>  [N/A]
    <MSDCG32><LYLeador.exe>  [N/A]
    <MSDOG32><LYLoador.exe>  [N/A]
    <MSDSG32><LYLoadar.exe>  [N/A]
    <MSDMG32><LYLoadmr.exe>  [N/A]
    <MSDHG32><LYLoadhr.exe>  [N/A]
    <MSDQG32><LYLoadqr.exe>  [N/A]
    <Wisin><C:\WINDOWS\system32\Wisin.exe>  [Microsoft Corporation]
    <{fb7b7d12-095f-41a2-89a0-fb652a14689d}><C:\WINDOWS\system32\OAA_OAA_1009.dll>  []
    <{882b9d3d-0b9e-4398-89b8-8b65ea04e904}><C:\WINDOWS\system32\IGB_CQSJ_1018.dll>  []
    <{57034a0c-a6c1-4209-a47f-14c3b826dd1e}><C:\WINDOWS\system32\IGB_TMZ_1025.dll>  []
    <{22FAACDE-34DA-CCD4-AB4D-DA34485A3422}><C:\WINDOWS\Fonts\rsjzbpm.dll>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    <cmdbcs><; C:\WINDOWS\cmdbcs.exe>  []
    <DbgHlp32><; C:\WINDOWS\DbgHlp32.exe>  []
    <MsIMMs32><; C:\WINDOWS\MsIMMs32.exE>  []
    <upxdnd><; C:\WINDOWS\upxdnd.exe>  []
    <WSockDrv32><; C:\WINDOWS\qyuwfi.exe>  [N/A]
————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》驱动程序》里面找下面项删除
==================================
驱动程序
[ATI2HDDSRV / ATI2HDDSRV][Running/Manual Start]
  <\??\C:\WINDOWS\system32\drivers\ati32srv.sys><N/A>
[DeepFree Update / DeepFree Update][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32\drivers\pcihdd2.sys><N/A>
[msskye / msskye][Running/Auto Start]
  <system32\DRIVERS\msaclue.sys><N/A>
[26984 / 26984][Running/]
  <2 - 系统找不到指定的文件。
><N/A>
————————————————————————————————————
再重启电脑，升级杀毒软件至最新版本，全盘杀毒。

这里官网下载Windows清理助手，清理你那系统。
http://www.arswp.com/

愿意的话，处理完重启电脑再扫个新日志看看效果。


附件: 8390772008130102537.rar

很谢谢你，应该是搞定了，我想把那个日志发上来给你看，应该怎么弄呢？

你将新日志发来，可以点击我这贴右下角的“引用”就知道怎么已附件形式发来了。

修复瑞星后 安全模式下查杀

引用:

【天月来了的贴子】你将新日志发来，可以点击我这贴右下角的“引用”就知道怎么已附件形式发来了。 ………………

这个是重启之后shreng自己扫了一次的日志。


附件: 10101202008130212640.txt

引用:

【天月来了的贴子】你将新日志发来，可以点击我这贴右下角的“引用”就知道怎么已附件形式发来了。 ………………

这个是我自己又扫了一次的日志。

十分感谢！

附件: 10101202008130212815.txt

日志怪怪的。

不过看不出什么了，以我的能力只能帮你这些了。

如果杀毒软件全盘杀毒后，系统使用无异常，就先用着吧。

不过有机会一定要尽快重装个新系统。

唉
又遭遇500
这论坛老卡，好无奈噢

怪怪的啊？
那个，我用360和另外一个东西免了一下疫，不知道是不是这个原因。
不过还是很谢谢你。

不是说这个

没异常的话，就先用着。

反正你逮着机会就赶快重装个新系统就行了。