瑞星卡卡安全论坛

这是SREng日志

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)


附件: 103533120084482859.txt

问题相当严重
在清理时,请断开所有可移动介质,如u盘等,把网线拔掉到安全模式下清除

首先下载Xdelbox这个软件 下载地址http://www.dodudou.com/down/里面的原创软件文件夹下
下载后
解压所有文件到一个文件夹
在 添加旁边的框中 分别输入
C:\WINDOWS\LotusHlp.exe
C:\WINDOWS\gwsmhxuq.exe
C:\WINDOWS\WSockDrv32.exe
C:\WINDOWS\MsIMMs32.exE
C:\WINDOWS\mppds.exe
C:\WINDOWS\AVPSrv.exE
C:\WINDOWS\upxdnd.exe
C:\WINDOWS\tciocp32.exe
C:\WINDOWS\fmsbbqi.exe
C:\WINDOWS\msccrt.exe
C:\WINDOWS\DbgHlp32.exe
C:\WINDOWS\cmdbcs.exe
C:\WINDOWS\PTSShell.exe
C:\WINDOWS\SHAProc.exe
C:\WINDOWS\Kvsc3.exE
C:\WINDOWS\mfchlp32.exe
C:\WINDOWS\WINSvr32.exE
C:\WINDOWS\system32\msosiocp.dll
C:\Program Files\Internet Explorer\PLUGINS\NewSys55.Sys
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp18.tmp
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpF.tmp
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpAA.tmp
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpAD.tmp
C:\WINDOWS\system32\drivers\msosfpids32.sys
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp3D.tmp
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp7.tmp
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp3E.tmp
C:\WINDOWS\system32a2.sys
C:\WINDOWS\system32\jwlah.dll
C:\WINDOWS\system32\sehhter.dll
C:\WINDOWS\system32\jzijj.dll
C:\WINDOWS\system32\msosiocp.dll
C:\WINDOWS\system32\msepbe.dll
C:\WINDOWS\system32\WSockDrv32.dll]  [N/A, ]
C:\WINDOWS\system32\MsIMMs32.dll]  [N/A, ]
C:\WINDOWS\system32\mppds.dll]  [N/A, ]
    [C:\WINDOWS\system32\AVPSrv.dll]  [N/A, ]
    [C:\WINDOWS\system32\upxdnd.dll]  [N/A, ]
    [C:\WINDOWS\system32\xgnfn.dll]  [N/A, ]
    [C:\WINDOWS\system32\tciocp32.dll]  [N/A, ]
    [C:\WINDOWS\system32\fmsbbqi.dll]  [N/A, ]
    [C:\WINDOWS\system32\msccrt.dll]  [N/A, ]
    [C:\WINDOWS\system32\DbgHlp32.dlL]  [N/A, ]
    [C:\WINDOWS\system32\cmdbcs.dll]  [N/A, ]
    [C:\WINDOWS\system32\rzysdhbx.dll]  [N/A, ]
    [C:\WINDOWS\system32\PTSShell.dll]  [N/A, ]
    [C:\WINDOWS\system32\ckfmjx.dll]  [N/A, ]
    [C:\WINDOWS\system32\SHAProc.dat]  [N/A, ]
    [C:\WINDOWS\system32\Kvsc3.dll]  [N/A, ]
    [C:\WINDOWS\system32\mfchlp32.dll]  [N/A, ]
    [C:\WINDOWS\system32\WINSvr32.dll]  [N/A, ]
C:\WINDOWS\system32\xgnfn.dll
C:\WINDOWS\system32\SHAProc.dat]  [N/A, ]
    [C:\WINDOWS\system32\PTSShell.dll]  [N/A, ]



输入完一个以后 点击旁边的添加 按钮 被添加的文件 将出现在下面的大框中
然后一次性选中 （按住ctrl)下面大框中所有的文件
右键 单击 点击 重启立即删除
重启计算机以后 会有两个系统进入的选择的倒计时界面
第一个是你原来的windows系统
第二个是这个软件给你设定的dos系统
系统会自动选择进入第二个系统
类似dos的界面滚动完毕以后 病毒就被删除了
之后他会自动重启进入正常模式

可能有重复,太多了,估计也重复了,后来的我没写弄得完整
你输入只要输入类似前几个,也就是只要路径就行,或者直接倒入剪贴板,然后再修改

不要觉得烦,一定要坚持哦

搞定后
用sreng删除下列启动项目
<LotusHlp><C:\WINDOWS\LotusHlp.exe>  []
    <igzwzslm><C:\WINDOWS\gwsmhxuq.exe>  []
    <WSockDrv32><C:\WINDOWS\WSockDrv32.exe>  []
    <MsIMMs32><C:\WINDOWS\MsIMMs32.exE>  []
    <mppds><C:\WINDOWS\mppds.exe>  []
    <AVPSrv><C:\WINDOWS\AVPSrv.exE>  []
    <upxdnd><C:\WINDOWS\upxdnd.exe>  []
    <tciocp32><C:\WINDOWS\tciocp32.exe>  []
    <fmsbbqi><C:\WINDOWS\fmsbbqi.exe>  []
    <msccrt><C:\WINDOWS\msccrt.exe>  []
    <DbgHlp32><C:\WINDOWS\DbgHlp32.exe>  []
    <cmdbcs><C:\WINDOWS\cmdbcs.exe>  []
    <PTSShell><C:\WINDOWS\PTSShell.exe>  []
    <SHAProc><C:\WINDOWS\SHAProc.exe>  []
    <Kvsc3><C:\WINDOWS\Kvsc3.exE>  []
    <mfchlp32><C:\WINDOWS\mfchlp32.exe>  []
    <WINSvr32><C:\WINDOWS\WINSvr32.exE>  []
<{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><>  [N/A]
    <{50632D5C-B71B-4ba0-B012-3DC6F15C011B}><C:\WINDOWS\system32\msosiocp.dll>  []
    <{D29DCEE0-457B-45A2-A92D-741B95B7723B}><C:\Program Files\Internet Explorer\PLUGINS\NewSys55.Sys>  []


删除下列驱动
[cqit / cqit][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp18.tmp><N/A>
[dohs / dohs][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpF.tmp><N/A>
[drop / drop][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpAA.tmp><N/A>
[fmsq / fmsq][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpAD.tmp><N/A>
[fpids32 / fpids32][Running/Auto Start]
  <\??\C:\WINDOWS\system32\drivers\msosfpids32.sys><N/A>
[jtio / jtio][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp3D.tmp><N/A>
[mhfp / mhfp][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp7.tmp><N/A>
[mnsf / mnsf][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp3E.tmp><N/A>
[ping / ping][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp50.tmp><N/A>

禁用下列驱动(这都是不确定的,请高手看看吧)
[R2A / R2A][Stopped/Disabled]
  <\??\C:\WINDOWS\system32a2.sys><N/A>
[qflbr / qflbr][Running/Boot Start]
  <\SystemRoot\\SystemRoot\System32\drivers\qflbr.sys><N/A>

用sreng删除下列服务
{11F09AFD-75AD-4E51-AB43-E09E9351CE16} <C:\Program Files\Common Files\CPUSH\cpush0.dll, >
[]


最后,很重要的
冰刃1.22地址：http://www.onlinedown.net/soft/53325.htm

下在这个,按路径找到文件删除
C:\WINDOWS\SOUNDMAN.EXE
再用冰刃找到这个启动项目将其删除
<SoundMan><SOUNDMAN.EXE>  [1]

我估计这是个伪装的sound,呵呵,原来碰到过呢

最后一定清理
下载arswp(Windows清理助手)清理下..
http://www.arswp.com/download/arswp/arswp.rar


清理临时文件夹:
打开我的电脑-工具-文件夹选项-查看-显示隐藏文件-隐藏受保护的系统文件(勾去掉)-确定
重起进入安全模式(开机不停的按F8,选择安全模式启动) 清空临时文件夹：
C:\Documents and Settings\用户名\Local Settings\Temporary Internet Files
C:\Documents and Settings\用户名\Local Settings\Temp
C:\WINDOWS\TEMP

最后请务必扫日志上来!!!!!!!!!!!!!