瑞星卡卡安全论坛

我中了这个病毒 机器症状为杀毒软件和防火墙无法打开 卡卡安全助手也打不开
上网搜索相关AV终结者的内容进入有的网页IE会报错被自动关掉，而且无法进入安全模式
我用最新的瑞星杀毒 杀了一下 有100多个毒 但是重启后再杀还是那么多毒 一个都杀不掉。。]

请哪位大侠帮帮小弟我呀``

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)

附件: SREngLOG.log

病毒贼多啊，叫斑竹看看吧，删的更彻底些，用卡巴杀，比较能杜绝病毒

先下载附件，运行“修复.exe”（一定要先做，因为系统文件已被替换，所以如果没做好  重起后又是一群木马）

1.用XDelBox勾选抑制再生后删除以下文件：(XDelBox1.7支持奥运版下载)
使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\system32\cedafb.dll
c:\windows\system32\hhrdxd.dll
c:\windows\system32\mndhcdwd.dll
c:\windows\system32\mndsesrv.dll
c:\windows\system32\mnmhdsrv.dll
c:\windows\system32\mpwdcapi.dll
c:\windows\system32\sgrefg.dll
c:\windows\system32\tdffdl.dll
c:\windows\system32\wyrsdj.dll
c:\windows\system32\ypcqfhlp.dll
c:\windows\system32\ypdjfbmp.dll
c:\windows\system32\yxcschlp.dll
c:\windows\system32\zgfdet.dll
c:\windows\system32\zjydcx.dll
c:\windows\system32\zptlcsys.dll
c:\windows\system32\zxmscwin.dll
c:\windows\system32\zywmeime.dll
c:\windows\system32\zyzxhime.dll
c:\windows\system32\mpmydapi.dll

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[{6A041F13-A111-12A3-B0CF-F99818AA68A6}]    <C:\WINDOWS\system32\zxmscwin.dll>
[{35694105-5108-9405-3695-954187462153}]    <C:\WINDOWS\system32\mpwdcapi.dll>
[{70AF1289-F140-A140-D012-C1458759FC07}]    <C:\WINDOWS\system32\ypcqfhlp.dll>
[{5319A1F1-9410-9654-3201-345FFA349135}]    <C:\WINDOWS\system32\zywmeime.dll>
[{50940F85-F015-14F1-A05F-F69858AC6D05}]    <C:\WINDOWS\system32\zptlcsys.dll>
[{35671234-7890-ABCD-CDEF-567801237653}]    <C:\WINDOWS\system32\yxcschlp.dll>
[{8A59145F-315D-BC23-AC1F-145DF81A34A8}]    <C:\WINDOWS\system32\zyzxhime.dll>
[{57FD640A-158F-48AC-FD14-1597F14A9775}]    <C:\WINDOWS\system32\mndsesrv.dll>
[{3C648541-1025-9650-9057-6541258720C3}]    <C:\WINDOWS\system32\mndhcdwd.dll>
[{4C8D1401-A58D-A81C-CD24-A5915C4517C4}]    <C:\WINDOWS\system32\mnmhdsrv.dll>
[{81954FAC-1023-154F-895A-1458258AD818}]    <C:\WINDOWS\system32\ypdjfbmp.dll>

    系统修复－－　浏览器加载项之如下项删除：
[]    <C:\WINDOWS\system32\zyzxhime.dll>
[]    <C:\WINDOWS\system32\ypdjfbmp.dll>
[]    <C:\WINDOWS\system32\ypcqfhlp.dll>
[]    <C:\WINDOWS\system32\zxmscwin.dll>
[]    <C:\WINDOWS\system32\mndsesrv.dll>
[]    <C:\WINDOWS\system32\zywmeime.dll>
[]    <C:\WINDOWS\system32\zptlcsys.dll>
[]    <C:\WINDOWS\system32\mnmhdsrv.dll>
[]    <C:\WINDOWS\system32\mpmydapi.dll>
[]    <C:\WINDOWS\system32\mndhcdwd.dll>
[]    <C:\WINDOWS\system32\mpwdcapi.dll>
[]    <C:\WINDOWS\system32\yxcschlp.dll>
[]    <C:\WINDOWS\system32\zyzxhime.dll>
[]    <C:\WINDOWS\system32\ypdjfbmp.dll>
[]    <C:\WINDOWS\system32\ypcqfhlp.dll>
[]    <C:\WINDOWS\system32\zxmscwin.dll>
[]    <C:\WINDOWS\system32\mndsesrv.dll>
[]    <C:\WINDOWS\system32\zywmeime.dll>
[]    <C:\WINDOWS\system32\zptlcsys.dll>
[]    <C:\WINDOWS\system32\mnmhdsrv.dll>
[]    <C:\WINDOWS\system32\mpmydapi.dll>
[]    <C:\WINDOWS\system32\mndhcdwd.dll>
[]    <C:\WINDOWS\system32\mpwdcapi.dll>
[]    <C:\WINDOWS\system32\yxcschlp.dll>

全部做完之后下载以下工具清理一次并更新杀毒软件至最新进行全盘杀毒一次（建议在安全模式下进行）

清理系统临时文件和IE临时文件夹
http://www.atribune.org/public-beta/ATF-Cleaner.exe
用金山清理专家清理恶意软件
http://www.duba.net/zt/ksc/down.shtml
下载 windows清理助手清理一遍
http://www.arswp.com/download/arswp2/arswp2.zip

附件: 修复.rar

首先先感谢这位斑竹，但我按照您说的方法做了  但是貌似没用 我还是无法进入安全模式`` 郁闷呀``
以下是刚刚扫描后的日志

附件: SREngLOG.log

附件: SREngLOG.log

1.文件替换那一步没做好。。

2.IFEO映像劫持，在第一篇日志中并未出现

所以你现在要再运行一次“修复.exe”  确认lsass.exe和mfc40u.dll俩文件正确替换

另：安全模式被破坏  用SRE修复安全模式
步骤： 系统修复-高级修复-修复安全模式

忘了附件

下载附件  解压后将注册表导入

附件: 附件1.rar

运行SRENG扫描工具，删除除了<IFEO[Image File Execution Options]>以外的所有红色显示的<IFEO……>项目，然后到http://scj2007.ys168.com/下载“安全模式进不去导入注册表”，解压缩，双击适合xp sp2操作系统的REG文件，之后选择“是”，待注册表文件导入后，重启电脑。

所以你现在要再运行一次“修复.exe”  确认lsass.exe和mfc40u.dll俩文件正确替换

请问我要如何能确认这两个文件正确替换呢？？

而且我打开SRENG 它会提示入口点错误
分别是
入口点错误：NtCreateFile
入口点错误：NtWriteFile
入口点错误：ZwCreateFile
入口点错误：ZwWriteFile
入口点错误：CreateProcessA
入口点错误：CreateProcessW

请问这要紧吗 谢谢拉`

将运行后替换后“修复.exe”出现的窗口截个图来看下。。

是否全部显示已替换文件？？

这几个入口点错误不用去管他。。

晕 原来按任意键继续我没按 不好意思啊

现在把图发上来 系统提示插光盘是怎么回事呀`

点“取消”

我也遇到了这个问题。。。。愁弑我了:default3: