瑞星卡卡安全论坛

上午10：30中毒，下午开机瑞新杀毒软件报错，图标变成折叠的小红伞，试图开启，提示框：内存为只读。。云云，同时还有个对话框：瑞星杀毒软件遇到个严重错误。。云云，十有八九是病毒搞的鬼，搜索了下情况和这位弟兄的有点像：http://bbs.ikaka.com/showtopic-8525919.aspx，安全模式下手动删除+killbox删，最后很多个DLL文件无法删除，进注册表删相关项，问题来了，键值删除后又会自动出现，崩溃了！:default11: 想先查杀毒下，但软件还是无法启动！求助！！

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.1.4322)

附件: SREngLOG.log

附件: SREngLOG.log

system32下出现18.exe,22.exe啥的，删除已经

病毒可能采取了进程守护技术，导致注册表项删除后复生。

请按照版规要求上传SRENG扫描日志附件。

附件: SREngLOG.rar (2008-7-20 17:35:35, 9.87 K)
该附件被下载次数 172

日志来了！谢谢

附件: SREngLOG.log

附件: 扫描日志.rar

扫描日志来了，谢谢

附件: SREngLOG.rar

操作方法看我签名
删除启动项
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]下注册表项目及<>内的DLL文件
    <{00030003-0003-0003-0003-00030003BB15}><C:\WINDOWS\system32\bootvidgj.dll>  []
    <{00010001-0001-0001-0001-00010001BB15}><C:\WINDOWS\system32\adsntzt.dll>  []
    <{00230023-0023-0023-0023-00230023BB15}><C:\WINDOWS\system32\rasdlgcq.dll>  []
    <{00120012-0012-0012-0012-00120012BB15}><C:\WINDOWS\system32\kbdswjr.dll>  []
    <{00150015-0015-0015-0015-00150015BB15}><C:\WINDOWS\system32\glqlztdm.dll>  []
    <{00250025-0025-0025-0025-00250025BB15}><C:\WINDOWS\system32\slbiopfs2.dll>  []
    <{00050005-0005-0005-0005-00050005BB15}><C:\WINDOWS\system32\cliconfgzx.dll>  []
    <{00300030-0030-0030-0030-00300030BB15}><C:\WINDOWS\system32\imgutilhx2.dll>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]下注册表项目及<>内文件
  <bootvidgj.dll><C:\WINDOWS\system32\bootvidgj.dll>  []
    <rasdlgcq.dll><C:\WINDOWS\system32\rasdlgcq.dll>  []
    <kbdswjr.dll><C:\WINDOWS\system32\kbdswjr.dll>  []
    <glqlztdm.dll><C:\WINDOWS\system32\glqlztdm.dll>  []
    <slbiopfs2.dll><C:\WINDOWS\system32\slbiopfs2.dll>  []
    <cliconfgzx.dll><C:\WINDOWS\system32\cliconfgzx.dll>  []
    <imgutilhx2.dll><C:\WINDOWS\system32\imgutilhx2.dll>  []
    <adsntzt.dll><C:\WINDOWS\system32\adsntzt.dll>  []
删除驱动
[IIS Manager  / IIS Manager ][Stopped/Manual Start]
  <\??\C:\DOCUME~1\zxc\LOCALS~1\Temp\1.tmp><N/A>


删除浏览器加载项
[]
  {08B0E5C0-4FCB-11CF-AAA5-00401C608501} <, >
[]
  {09BA8F6D-CB54-424B-839C-C2A6C8E6B436} <, >
[]
  {92780B25-18CC-41C8-B9BE-3C9C571A8263} <, >
[]
  {D18A0B52-D63C-4ED0-AFC6-C1E3DC1AF43A} <, >
[]
  {FB5F1910-F110-11D2-BB9E-00C04F795683} <, >

看看先

ShellExecuteHooks]和ShellServiceObjectDelayLoad]下键值，删除了刷新下就又出来了，咋个办办？

如果反病毒问题还不能解决，请尝试：

下载Dr.Web CureIt 到桌面,免安装的，直接启动全盘扫描
ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe
或
ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

或试试这个，免费杀毒
http://shadu.baidu.com/KingDuBa/duba_onlinekillvirus.jsp

开始,运行 gpedit.msc,确定
打开组策略
对以下每个文件设定如图规则
c:\windows\system32\adsntzt.dll
c:\windows\system32\bootvidgj.dll
c:\windows\system32\cliconfgzx.dll
c:\windows\system32\ddserh.dll
c:\windows\system32\dndsaf.dll
c:\windows\system32\fsrgeb.dll
c:\windows\system32\glqlztdm.dll
c:\windows\system32\hhrdxd.dll
c:\windows\system32\imgutilhx2.dll
c:\windows\system32\jfrwdh.dll
c:\windows\system32\kbdswjr.dll
c:\windows\system32\rasdlgcq.dll
c:\windows\system32\sgdewg.dll
c:\windows\system32\slbiopfs2.dll
c:\windows\system32\wklsdd.dll
c:\windows\system32\zycdex.dll
C:\WINDOWS\wftadfi16_080703a.dll




然后重启,,找到以上各文件,删除..



进入注册表编辑器，删除以下注册表值项：
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
    <initnyuser><C:\WINDOWS\system32\inf\svchosd.exe C:\WINDOWS\wftadfi16_080703a.dll tanlt88>  [File is missing]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{00030003-0003-0003-0003-00030003BB15}><C:\WINDOWS\system32\bootvidgj.dll>  []
    <{00010001-0001-0001-0001-00010001BB15}><C:\WINDOWS\system32\adsntzt.dll>  []
    <{00230023-0023-0023-0023-00230023BB15}><C:\WINDOWS\system32\rasdlgcq.dll>  []
    <{00120012-0012-0012-0012-00120012BB15}><C:\WINDOWS\system32\kbdswjr.dll>  []
    <{00150015-0015-0015-0015-00150015BB15}><C:\WINDOWS\system32\glqlztdm.dll>  []
    <{00250025-0025-0025-0025-00250025BB15}><C:\WINDOWS\system32\slbiopfs2.dll>  []
    <{00050005-0005-0005-0005-00050005BB15}><C:\WINDOWS\system32\cliconfgzx.dll>  []
    <{00300030-0030-0030-0030-00300030BB15}><C:\WINDOWS\system32\imgutilhx2.dll>  []

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
    <bootvidgj.dll><C:\WINDOWS\system32\bootvidgj.dll>  []
    <rasdlgcq.dll><C:\WINDOWS\system32\rasdlgcq.dll>  []
    <kbdswjr.dll><C:\WINDOWS\system32\kbdswjr.dll>  []
    <glqlztdm.dll><C:\WINDOWS\system32\glqlztdm.dll>  []
    <slbiopfs2.dll><C:\WINDOWS\system32\slbiopfs2.dll>  []
    <cliconfgzx.dll><C:\WINDOWS\system32\cliconfgzx.dll>  []
    <imgutilhx2.dll><C:\WINDOWS\system32\imgutilhx2.dll>  []
    <adsntzt.dll><C:\WINDOWS\system32\adsntzt.dll>  []

非常感谢LS两位朋友的帮助，昨天用大蜘蛛杀毒后最终剩下imgutilhx2.dll，glqlztdm.dll，adsntzt.dll三个文件，瑞星监控加载还是出错，防火墙一直好用，系统还不正常，注册表键值还是改了又回来，WORD等无法打开等等，先开机提示：加载wftadfi16_080703a.dll 模块出错，估计是文件已经被删除病毒程序还欲加载，没有眼泪的办法应该会有效果，出差回去再尝试下，再次感谢两位朋友！

重装了瑞星杀毒,病毒库升级到最新,全面查杀了下,基本恢复正常了.:default7: