瑞星卡卡安全论坛

系统是XP SP1，网络环境是局域网通过网关上网，现在的情况是，瑞星杀毒和瑞星监控都启动不了，或者说被自动关闭了，防火墙可以启动，系统暂时还没发现什么不良的反应，应该是中了某种病毒了，哪位高手指点下。

[用户系统信息]Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Mozilla/4.0(Compatible Mozilla/4.0(Compatible-EmbeddedWB 14.59 http://bsalsa.com/ EmbeddedWB- 14.59  from: http://bsalsa.com/ ; .NET CLR 2.0.50727)

扫SRENG日志发论坛来
http://www.kztechs.com/sreng/download.html
下载System Repair Engineer
1 解压缩sreng2.zip（建议解压到系统Windows文件夹里）
2 运行SREng.exe  ((将SREng.exe改名为123.com运行))
3 智能扫描=》扫描=》保存报告
4 把报告保存后，直接将日志内容彻底复制到一个空记事本里，然后再保存，就可以以附件的形式发论坛来了。
一定以附件形式发这论坛来。
点击我这贴右下角的“引用”然后就应该知道怎么发了。

楼主可以找网管解决问题!或是咨询一下建议您咨询瑞星客服　请他们协助解决问题

引用:

【天月来了的贴子】扫SRENG日志发论坛来 下载System Repair Engineer 1 解压缩sreng2.zip（建议解压到系统Windows文件夹里） 2 运行SREng.exe  ((将SREng.exe改名为123.com运行)) 3 智能扫描=》扫描=》保存报告 4 把报告保存后，直接将日志内容彻底复制到一个空记事本里，然后再保存，就可以以附件的形式发论坛来了。 一定以附件形式发这论坛来。 点击我这贴右下角的“引用”然后就应该知道怎么发了。 ………………

多谢版主回话，扫描报告如下，请指点一下


附件: 1018289200831231428.txt

你只有用Xdelbox这个工具去删除这些文件了。
下载XDELBOX，地址和使用方法：
http://forum.ikaka.com/topic.asp?board=28&artid=8381032
Xdelbox下载：http://www.dodudou.com/down/ 里面的原创软件文件夹下载那个1.6版本的，使用时一定拔掉所有移动存储设备。
一定要完全解压到一个文件夹里运行，不然可能有异常。
将下面的文件信息全部复制，然后打开Xdelbox直接在下面大窗口的空白处，使用右键菜单的“剪贴板导入不检查路径”导入，并全选文件选择右键菜单的“立刻重启删除”

C:\WINDOWS\system32\eohsom.dll
C:\WINDOWS\system32\ijougiemnaw.dll
C:\WINDOWS\system32\vhqq.dll
C:\WINDOWS\system32\atgnehz.dll
C:\WINDOWS\system32\tsqc.dll
C:\WINDOWS\system32\pahzij.dll
C:\WINDOWS\system32\kiluw.dll
C:\WINDOWS\system32\oaijihzeuyouhz.dll
C:\WINDOWS\system32\jemnaw.dll
C:\WINDOWS\system32\laixuhz.dll
C:\WINDOWS\system32\oqnauhc.dll
C:\WINDOWS\system32\xjxr.dll
C:\WINDOWS\system32\wininat.dll
C:\WINDOWS\system32\zadnew.dll
C:\WINDOWS\system32\knaixnauhuoyizqq.dll
C:\WINDOWS\system32\duygnef.dll
C:\WINDOWS\system32\qlihzouhgnfe.dll
C:\Program Files\Internet Explorer\PLUGINS\Ns_Sys55.Sys
C:\WINDOWS\system32\hfrdzx.dll
C:\WINDOWS\system32\sgrefg.dll
C:\WINDOWS\system32\upxdnd.dll
C:\WINDOWS\system32\AVPSrv.dll
C:\WINDOWS\system32\PTSShell.dll
C:\WINDOWS\system32\DbgHlp32.dlL
C:\WINDOWS\system32\drivers\msosfpids32.sys
C:\DOCUME~1\猎日者\LOCALS~1\Temp\tmp4.tmp
C:\WINDOWS\system32\drivers\mselk.sys
C:\WINDOWS\system32\drivers\msyecp.sys
C:\WINDOWS\system32\DRIVERS\phy.sys
C:\DOCUME~1\猎日者\LOCALS~1\Temp\tmp10.tmp
C:\WINDOWS\AVPSrv.exE
C:\WINDOWS\NVDispDRV.EXE
C:\WINDOWS\DbgHlp32.exe
C:\WINDOWS\PTSShell.exe
C:\WINDOWS\upxdnd.exe
C:\WINDOWS\system32\sgrefg.dll
C:\Program Files\Internet Explorer\PLUGINS\Ns_Sys55.Sys
C:\WINDOWS\system32\hfrdzx.dll

重启计算机以后 会有两个系统进入的选择的倒计时界面
第一个是你原来的windows系统
第二个是这个软件给你设定的dos系统
系统会自动选择进入第二个系统
类似dos的界面滚动完毕以后 病毒就被删除了
之后会自动重启进入正常模式
进入系统后，再做下面的：
————————————————————————————————————
这里官网下载映像劫持修复工具(下载后的文件，可能要自己加个  .rar  的扩展名，才能解压。）删除检测到的所有映像劫持
http://bbs.duba.net/thread-21881766-1-1.html

————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》驱动程序》里面找下面项删除
==================================
驱动程序
[fpids32 / fpids32][Running/Auto Start]
  <\??\C:\WINDOWS\system32\drivers\msosfpids32.sys><N/A>

[mhfp / mhfp][Stopped/Auto Start]
  <\??\C:\DOCUME~1\猎日者\LOCALS~1\Temp\tmp4.tmp><N/A>

[msert / msert][Running/Auto Start]
  <system32\drivers\mselk.sys><N/A>

[msertk / msertk][Running/Auto Start]
  <system32\drivers\msyecp.sys><N/A>

[phy / phy][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32\DRIVERS\phy.sys><N/A>

[QQHX / QQHX][Stopped/Manual Start]
  <\??\C:\DOCUME~1\猎日者\LOCALS~1\Temp\tmp10.tmp><N/A>
————————————————————————————————————
在扫日志的SRENG工具》系统修复》浏览器加载项》里面找下面删除
==================================
浏览器加载项
[]
  {D29DCEE0-457B-45A2-A92D-741B95B7723B} <C:\Program Files\Internet Explorer\PLUGINS\Ns_Sys55.Sys, N/A>
[]
  {D29DCEE0-457B-45A2-A92D-741B95B7723B} <C:\Program Files\Internet Explorer\PLUGINS\Ns_Sys55.Sys, N/A>
————————————————————————————————————
再重启电脑，升级杀毒软件至最新版本，全盘杀毒。

这里官网 下 载 W i n d o w s 清理助手，清理你那系统。
http://www.arswp.com/

并用QQ医生和瑞星漏洞扫描打全检测到的所有漏洞补丁

还记得去看看这两文件是什么东西

C:\WINDOWS\system32\LSAWRAPI.dll
C:\WINDOWS\system32\D8021Xps.dll

多谢版主指点，按你说的步骤处理了，依然不行，现在如何？

引用:

【XX好好的贴子】多谢版主指点，按你说的步骤处理了，依然不行，现在如何？ ………………

杀毒软件和防火墙还是打不开吗？

防火墙可以打开，监控和杀毒打不开

再扫新日志来看看怎么样。

你操作过程可能放弃了什么。

引用:

【天月来了的贴子】再扫新日志来看看怎么样。 你操作过程可能放弃了什么。 ………………

操作完后的扫描报告，版主费心了

附件: 1018289200832184037.txt

这两个文件不知道是什么，你自己得认真看看了。

C:\WINDOWS\system32\LSAWRAPI.dll
C:\WINDOWS\system32\D8021Xps.dll
————————————————————————————————————
我就说你放弃了部分操作了。

不然不会启动不了的

————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除：

启动项目
注册表
    <AVPSrv><C:\WINDOWS\AVPSrv.exE>  [N/A]
    <NVDispDrv><C:\WINDOWS\NVDispDRV.EXE>  [N/A]
    <DbgHlp32><C:\WINDOWS\DbgHlp32.exe>  [N/A]
    <PTSShell><C:\WINDOWS\PTSShell.exe>  [N/A]
    <upxdnd><C:\WINDOWS\upxdnd.exe>  [N/A]
    <{8C41B7F7-3168-400D-A702-0E7EFE0BA304}><C:\WINDOWS\system32\sgrefg.dll>  [N/A]
    <{D29DCEE0-457B-45A2-A92D-741B95B7723B}><>  [N/A]
    <{1DB3C525-5271-46F7-887A-D4E1ADAA7632}><C:\WINDOWS\system32\hfrdzx.dll>  [N/A]

这里官网下载映像劫持修复工具(下载后的文件，可能要自己加个  .rar  的扩展名，才能解压。）删除检测到的所有映像劫持，你必须操作这个，不然你可能还是启动不了其他的东西。

http://bbs.duba.net/thread-21881766-1-1.html
或者这里下载
http://hi.baidu.com/litiejun/blog/item/ddaf8686fa351a3a67096ee9.html

————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》驱动程序》里面找下面项删除，或将启动类型改为“Disabled”
==================================
驱动程序
[fpids32 / fpids32][Stopped/Auto Start]
  <\??\C:\WINDOWS\system32\drivers\msosfpids32.sys><N/A>
————————————————————————————————————
再重启电脑，去看看你的那些东西还能不能启动

依然运行不了，残念

那就卸载，重装