瑞星卡卡安全论坛

用专杀工具杀了N次，都显示无病毒，按装下载版的杀毒软件杀了1次，可以完全杀毒，但显示无病毒，重启电脑后仍不能完全杀毒，监控及防火墙重新按装仍无法启动。

附件: 103565120084594838.txt

在清理时,一定断开所有可以动介质,u盘等
一定把网线拔掉,尽量在安全模式下清楚

首先下载Xdelbox这个软件 下载地址http://www.dodudou.com/down/里面的原创软件文件夹下
下载后
解压所有文件到一个文件夹
在 添加旁边的框中 分别输入
C:\WINDOWS\LotusHlp.exe
C:\WINDOWS\WINSvr32.exE
C:\WINDOWS\upxdnd.exe
C:\WINDOWS\MsIMMs32.exE
C:\WINDOWS\mppds.exe
C:\WINDOWS\Kvsc3.exE
C:\WINDOWS\gwsmhxuq.exe
C:\WINDOWS\msccrt.exe
C:\WINDOWS\cmdbcs.exe
C:\WINDOWS\system32\tdffdl.dll
C:\WINDOWS\system32\msosiocp.dll
C:\WINDOWS\system32\ayNNBNNB1045.dll
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\datB4.tmp
C:\WINDOWS\system32\ayHADHAD1058.dll
C:\Program Files\Internet Explorer\PLUGINS\NewSys55.Sys
C:\WINDOWS\system32\jhfrxz.dll
C:\WINDOWS\system32\fmcvxy.dll
C:\WINDOWS\system32\cedafb.dll
C:\WINDOWS\system32\pedadt.dll
C:\WINDOWS\system32\ayRABRAB1019.dll
C:\WINDOWS\system32\mfdesy.dll
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpD.tmp
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp1B.tmp
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp7E.tmp
C:\WINDOWS\system32\drivers\msosfpids32.sys
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp9.tmp
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp6.tmp
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp2E.tmp
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp39.tmp
C:\WINDOWS\system32a2.sys

输入完一个以后 点击旁边的添加 按钮 被添加的文件 将出现在下面的大框中
然后一次性选中 （按住ctrl)下面大框中所有的文件
右键 单击 点击 重启立即删除
重启计算机以后 会有两个系统进入的选择的倒计时界面
第一个是你原来的windows系统
第二个是这个软件给你设定的dos系统
系统会自动选择进入第二个系统
类似dos的界面滚动完毕以后 病毒就被删除了
之后他会自动重启进入正常模式

删除后继续
杀
在 添加旁边的框中 分别输入
C:\WINDOWS\system32\fehom.dll
C:\WINDOWS\system32\msepbe.dll
C:\WINDOWS\system32\cmdbcs.dll
C:\WINDOWS\system32\tdffdl.dll

输入完一个以后 点击旁边的添加 按钮 被添加的文件 将出现在下面的大框中
然后一次性选中 （按住ctrl)下面大框中所有的文件
右键 单击 点击 重启立即删除
重启计算机以后 会有两个系统进入的选择的倒计时界面
第一个是你原来的windows系统
第二个是这个软件给你设定的dos系统
系统会自动选择进入第二个系统
类似dos的界面滚动完毕以后 病毒就被删除了
之后他会自动重启进入正常模式

搞定后
用sreng删除删除下列启动项目
<WINSvr32><C:\WINDOWS\WINSvr32.exE>  [N/A]
    <LotusHlp><C:\WINDOWS\LotusHlp.exe>  []
<upxdnd><C:\WINDOWS\upxdnd.exe>  []
    <MsIMMs32><C:\WINDOWS\MsIMMs32.exE>  []
    <mppds><C:\WINDOWS\mppds.exe>  []
    <Kvsc3><C:\WINDOWS\Kvsc3.exE>  []
    <igzwzslm><C:\WINDOWS\gwsmhxuq.exe>  []
    <msccrt><C:\WINDOWS\msccrt.exe>  []
    <cmdbcs><C:\WINDOWS\cmdbcs.exe>  []
  <{D157330A-9EF3-49F8-9A67-4141AC41ADD4}><>  [N/A]
    <{C0595A7E-2E2F-4B34-A83A-019270A0A464}><C:\WINDOWS\system32\tdffdl.dll>  []
    <{50632D5C-B71B-4ba0-B012-3DC6F15C011B}><C:\WINDOWS\system32\msosiocp.dll>  []
    <{92792e5e-fea8-4c96-8536-7bd28759349b}><C:\WINDOWS\system32\ayNNBNNB1045.dll>  [N/A]
    <{7FA4A83B-F99A-4bfc-A8E2-6A62B05D2C82}><C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\datB4.tmp>  []
    <{08443b98-2313-4616-9080-7c886e965ca6}><C:\WINDOWS\system32\ayHADHAD1058.dll>  [N/A]
    <{D29DCEE0-457B-45A2-A92D-741B95B7723B}><C:\Program Files\Internet Explorer\PLUGINS\NewSys55.Sys>  [N/A]
    <{7914E0AA-ECCB-4311-B584-C49538227824}><C:\WINDOWS\system32\jhfrxz.dll>  [N/A]
    <{73AE86E6-7F03-4C3B-8980-FB1DA157D3C7}><C:\WINDOWS\system32\fmcvxy.dll>  []
    <{84143967-B645-4BFF-B873-DA1DC886E9A7}><C:\WINDOWS\system32\cedafb.dll>  [N/A]
    <{5E907A48-400E-4EA8-9792-FFAE052D59E9}><C:\WINDOWS\system32\pedadt.dll>  [N/A]
    <{ca4c60a2-9e81-406e-bfe3-cd996c2e288f}><C:\WINDOWS\system32\ayRABRAB1019.dll>  [N/A]
    <{DC3D30AE-0380-4151-8934-EE98A34B0370}><C:\WINDOWS\system32\mfdesy.dll>  []


用sreng删除下列驱动
[CQSJ / CQSJ][Stopped/Manual Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpD.tmp><N/A>
[dohs / dohs][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp1B.tmp><N/A>
[fmsq / fmsq][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp7E.tmp><N/A>
[fpids32 / fpids32][Running/Auto Start]
  <\??\C:\WINDOWS\system32\drivers\msosfpids32.sys><N/A>
[ljtzes3 / ljtzes37][Stopped/Boot Start]
  <\SystemRoot\System32\DRIVERS\ljtzes37.sys><N/A>
[MH / MH][Stopped/Manual Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp9.tmp><N/A>
[mhfp / mhfp][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp6.tmp><N/A>
[mnsf / mnsf][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp2E.tmp><N/A>
[ping / ping][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp39.tmp><N/A>
[R2A / R2A][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32a2.sys><N/A>

禁用下列服务
B302EC43 / B302EC43][Stopped/Auto Start]
  <C:\WINDOWS\system32\75D23BE4.EXE -d><N/A>
那个文件让高手看看删不删(我不确定,技术差~)

最后
一定要!!!!!!!!!!!
下载arswp(Windows清理助手)清理下..
http://www.arswp.com/download/arswp/arswp.rar


清理临时文件夹:
打开我的电脑-工具-文件夹选项-查看-显示隐藏文件-隐藏受保护的系统文件(勾去掉)-确定
重起进入安全模式(开机不停的按F8,选择安全模式启动) 清空临时文件夹：
C:\Documents and Settings\用户名\Local Settings\Temporary Internet Files
C:\Documents and Settings\用户名\Local Settings\Temp

最好用卡卡助手5.2版也清理,360页用上

修复杀软

最后一定务必要再扫日志上来!!!!!!

防火墙还是启不来，时实监控的红伞打开了，这是最后的日志，麻烦帮我看一下，谢谢啦。

附件: 1035651200847221551.txt

建议：
先用工具清理下系统 然后再扫描完整SRE日志报告

清理系统临时文件和IE临时文件夹     
http://www.atribune.org/public-beta/ATF-Cleaner.exe
用金山清理专家清理恶意软件
http://www.duba.net/zt/ksc/down.shtml
下载windows清理助手清理一遍
http://www.arswp.com/download/arswp2/arswp2.zip

服务器的日志好乱 额

嘻嘻

已经清理的差不多了

可以搞定的
清理时，请一定断掉任何可以动介质，一定要断开网络，到安全模式下进行！
还是xdelbox
在 添加旁边的框中 分别输入
C:\WINDOWS\fmsbbqi.exe
C:\WINDOWS\tciocp32.exe
C:\WINDOWS\mfchlp32.exe
C:\WINDOWS\ohjzmt.exe
C:\WINDOWS\system32\ttNNBNNB1047.dll
C:\WINDOWS\system32\tdffdl.dll
C:\WINDOWS\system32\ayRABRAB1019.dll

输入完一个以后 点击旁边的添加 按钮 被添加的文件 将出现在下面的大框中
然后一次性选中 （按住ctrl)下面大框中所有的文件
右键 单击 点击 重启立即删除
重启计算机以后 会有两个系统进入的选择的倒计时界面
第一个是你原来的windows系统
第二个是这个软件给你设定的dos系统
系统会自动选择进入第二个系统
类似dos的界面滚动完毕以后 病毒就被删除了
之后他会自动重启进入正常模式

清理后，一定接着
官网下载费尔木马强力清除助手,勾选“抑制文件再生”删除。
http://dl.filseclab.com/down/powerrmv.zip

嘻嘻，尝试下不同的

C:\WINDOWS\system32\mfchlp32.dll
C:\WINDOWS\system32\fmsbbqi.dll

最后

一定！！！！！
请注意，我觉得那个什么U8有问题，而且电脑还是有插件
如果是你自己的，就别理，如果不是，速度搞定
用360，用我给你的windows清理助手，用卡卡助手都行！！！

清理临时文件夹:
打开我的电脑-工具-文件夹选项-查看-显示隐藏文件-隐藏受保护的系统文件(勾去掉)-确定
重起进入安全模式(开机不停的按F8,选择安全模式启动) 清空临时文件夹：
C:\Documents and Settings\用户名\Local Settings\Temporary Internet Files
C:\Documents and Settings\用户名\Local Settings\Temp

然后把原来的防火墙卸载后重新装，安装文件建议也下载个新的

最后还不行再贴日志！
（那我就找我叔了~）
对了，你看看这个是什么
c:\windows\assembly\gac
还有
c:\windows\microsoft.net

这些都看看

杀病软件及防火墙已经可以启动了，谢谢你呀，你真是个天才，这是我最后的日志，麻烦看一下还有什么不对的，以后还需要怎么防范。以后还请多多指教啦！！！！

附件: 1035651200848205822.txt

还是没有完全搞定!!!!!!!!!!


一定啊!用sreng删除下列启动项目

<fmsbbqi><C:\WINDOWS\fmsbbqi.exe>  [N/A]
    <tciocp32><C:\WINDOWS\tciocp32.exe>  [N/A]
    <mfchlp32><C:\WINDOWS\mfchlp32.exe>  [N/A]
    <igzwzslm><C:\WINDOWS\ohjzmt.exe>  [N/A]

<{c4bf46a2-1c05-427d-992f-4e24f7d57f68}><C:\WINDOWS\system32\ttNNBNNB1047.dll>  [N/A]
    <{C0595A7E-2E2F-4B34-A83A-019270A0A464}><C:\WINDOWS\system32\tdffdl.dll>  [N/A]
    <{ca4c60a2-9e81-406e-bfe3-cd996c2e288f}><ayRABRAB1019.dll>  []


必须!!!!!!!!如果不行,就用我给你的冰刃删除也行
必须,就剩下这个了,估计病毒文件都清楚了,就是没清理启动表

按照你说的，我已经删除了那几个启动项目，而且又重新杀毒，显示没有病毒，这是最后的日志，麻烦看一下还有什么不对的，非常感谢你的指教！！！

附件: 1035651200849210848.txt

无异常了

就是我觉得(不提倡用那些个)那些桌面插件,不怎么好
不过lz要用就要注意电脑安全哦
只是提醒下