自各大安全厂商全力绞杀“磁碟机”以来，论坛上的相关求助量逐日递减。时至今日，磁碟机已经销声匿迹，很久不见有什么新的动作了....
然而一场恶战刚刚结束，我们还没来得及回头反思、总结经验，木马群又接踵而来，丝毫不给我们喘息的时间，这似乎预示着未来病毒与杀软之间的“战争”将愈演愈烈....

中“木马群”之后的症状：
主要症状包括但不限于以下几种：
1、杀毒软件的监控无法开启；
2、杀毒软件点击升级没有反应；
3、杀毒软件升级过程中蓝屏；
4、杀毒软件无法安装；
5、杀毒软件无法运行；
6、多种安全辅助工具无法正常运行；

“木马群”的处理流程：
一、专杀工具：
所有中木马群或杀毒软件无法正常运行的求助者务必优先使用此工具进行处理，严禁出现不使用此工具而直接上传日志的情况！
下载瑞星官方提供的“木马群病毒专杀及修复工具”
下载地址：http://download.rising.com.cn/zsgj/repairtool.exe
注意：下载后第一次运行该工具，会立即提示重启，重启后再次运行专杀工具即可正常使用，按照提示操作即可，操作完成后最后还会提示重启，按要求重启即可。

该工具用于查杀利用flash漏洞传播的“木马群”病毒，并修复该漏洞。同时，该工具可以帮助您建立安全运行环境，修复被病毒损坏的“瑞星杀毒软件”等。
注意：使用该专杀工具时务必保证您的网络畅通！
使用说明请见  本帖211楼
工具使用方法演示视频：


二、初级处理方法：
1、下载“木马群处理程序.bat”

附件: 木马群处理程序.rar (2008-6-10 12:36:09, 1.80 K)
该附件被下载次数 17894

下载完后解压缩，双击“木马群处理程序.bat”，等待命令执行完成后系统将自动重启，重启后立即打开杀毒软件，升级到最新版本，断开网络连接，全盘查杀病毒。

2、如果点击升级仍没有反应，下载“修复应用程序劫持项.bat”，点击这里下载
下载完后解压缩，双击“修复应用程序劫持项.bat”，它会通过命令行循环执行删除劫持项的操作，当看到提示“正在循环删除应用程序劫持项...，请不要关闭此窗口，现在就打开杀毒软件，升级到最新版本，然后进行全盘杀毒”时，不要理会这个窗口，让它继续运行，同时立即打开杀毒软件，升级到最新版本，断开网络连接，全盘查杀病毒。


三、高级处理方法：
有一定操作能力的人在发现自己电脑中毒后，通常会采用借助辅助工具手工处理的方法，“天月来了”版主已经发过很详细的帖子介绍常用的辅助工具使用方法和下载地址，
帖子链接：http://bbs.ikaka.com/showtopic-8442813.aspx
大家可以参考这篇帖子进行相关操作。

另外，强烈建议您参考一下“天月来了”版主的另一帖：http://bbs.ikaka.com/showtopic-8504511.aspx
“天月来了”版主分析了大量的木马群日志，编写了多个清理脚本，可谓凝聚了很多心血在里面，极大地方便了大家的操作，当您遇到问题后不妨去下载这些脚本来清理一下。

当然不得不说的是，由于木马群本身数量多、变种快、文件名不固定，加之每个人的系统环境都有差异，而每个清理脚本都有较强的针对性，所以不能保证100%解决您的问题。但即使这样，您先用windows清理助手去清理一下也能够为下一步操作提供很大便利！同时反病毒论坛的各位版主们也会不断更新完善这些脚本！


四、论坛求助法：
如果按照方法一操作后杀毒软件仍不能正常运行，自己又不会手工处理该怎么办？除了找电脑公司、重装系统外，到卡卡论坛发帖求助也不失为一种很好的选择，为了保证每个求助者的问题都能得到快速解决，大家在发帖求助时一定要注意以下几点：
1、主题明确，以最简明扼要的语言概述自己的问题，拒绝出现形如“急急急、版主快来、帮我看看日志、在线等”之类无意义的主题；

2、帖子中相关的信息尽量写全，例如：操作系统、网络环境、杀毒软件能否正常运行、能否正常升级、是否有报错提示等，如果有杀不净的病毒，一定要写清病毒名、完整的路径、文件名，要知道您的描述越详细，我们判断起来就越迅速、准确。拒绝出现只贴一个日志，不写任何情况的帖子，这样的帖子我们也只能回复让您描述具体情况，一来二去更耽误您的时间；

3、日志，变种快、数量多是木马群的一大特点，所以在求助时日志是必不可少的，需要注意的是任何日志都不要以文字形式直接粘贴上来，而是将日志文件作为附件上传；

4、如果您的求助帖符合以上基本要求却长时间没有得到回复，请您把帖子链接通过悄悄话发送给版主；


附：扫描日志的方法和可疑文件的提取：
1、扫描日志推荐使用sreng，同时为了保证日志尽量简洁，排除流氓软件的xxx，建议大家在扫描日志之前先用“卡卡上网安全助手”或“windows清理助手”对系统进行一次清理；
卡卡上网安全助手下载地址：http://tool.ikaka.com/downloadtool.asp?tools=1
windows清理助手下载地址：http://www.arswp.com/download.html

2、sreng下载地址：http://bbs.ikaka.com/attachment.aspx?attachmentid=397587
（1）、下载后解压缩，运行“srengldr.exe”；
（2）、如果无法打开请尝试运行“安全启动.bat”；
（3）、打开后依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
（4）、选择保存路径，文件名保持默认，直接点击【保存】；
（5）、将日志文件srenglog.log作为附件上传到论坛，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭qq、游戏、下载工具、媒体播放器等应用程序。

3、可疑文件的提取：
无论您是自行分析日志还是到论坛求助，在您发现可疑文件后不要立即删除，先将其提取出来打包压缩上报给安全厂商，以便更多人能够通过您的努力获得间接的帮助；
可疑文件提取工具推荐使用arpick，能够批量提取，使用方法：
(1)下载本帖附件，解压缩后运行arpick.exe；
(2)将可疑文件的完整路径（绝对路径）复制到输入框中，每行一个；
(3)点击“提取”按钮，将弹出提示然您选择保存路径；
(4)选好路径后点“打开”，等待提取完成后会出现提示“文件提取成功，zip密码：arswp”
(5)使用密码将提取的压缩包解压后重新压缩，不要加密码；
(6)将未加密的压缩包上报给瑞星，上报链接：http://up.rising.com.cn/webmail/uploadnew.htm

我先来学习一下,,下了来试下有没效果.呵呵.

映像劫持和autorun.inf两处操作系统的软肋，被这个病毒利用，成了病毒手中的枪，做好防护很重要

链接几个帖子

映像劫持方面
－－“映像劫持（应用程序劫持项/IFEO）的修复及防护”（水平有限，如哪位朋友有好的方法贴上来，分享一下，让我们一起来拿起手中的盾，坚固我们的盾）
http://forum.ikaka.com/topic.asp?board=28&artid=8439215

autorun.inf方面
猫叔的高招
－－“消除染毒U盘对电脑的威胁”
http://forum.ikaka.com/topic.asp?board=28&artid=8443224
－－“U盘“歧义文件夹”的防毒效果”
http://forum.ikaka.com/topic.asp?board=28&artid=8442927

木马群，一堆垃圾而已

引用:

【流星陨落的贴子】木马群，一堆垃圾而已 ………………

的确没什么技术含量，不过以量大取胜，普通用户也很难处理的

先谢谢楼主了，用了你说的方法一，杀毒软件能正常运行了。但是………………
电脑变得好慢哦，刚开机什么东西都没开cpu使用就100%了。
已经杀过毒了的。
请楼主大人帮帮忙啊！！！
我不懂电脑
电脑很少中病毒的，现在弄得头大啊
实在是不想重装系统…………电脑里边好些东西要用啊
各位帮帮忙吧，我还得用它来干论文呢…………

引用:

【wawa13的贴子】先谢谢楼主了，用了你说的方法一，杀毒软件能正常运行了。但是……………… 电脑变得好慢哦，刚开机什么东西都没开cpu使用就100%了。 已经杀过毒了的。 请楼主大人帮帮忙啊！！！ 我不懂电脑 电脑很少中病毒的，现在弄得头大啊 实在是不想重装系统…………电脑里边好些东西要用啊 各位帮帮忙吧，我还得用它来干论文呢………… ………………

扫描SRENG日志发上来

电脑很慢啊，一开机cpu使用都100%了！杀毒软件都挺正常的了，不过有几次那个监控的伞自己就收起来了，我又升级了一次瑞星才好的。对了，瑞星监控不是开机就运行了吗，怎么现在每次都是我手动打开的？设置跟之前都一样啊……
扫描之前结束了一些cpu占用比较高的程序，不然电脑没法使，对扫描结果有影响吗？……我是第一次用这个
下面是我清不掉的病毒 每次开机扫描还都有两个冒出来，


AdWare.Win32.Cinmus.cgg 需要解压缩后杀毒 2008-4-12 14:23 快捷方式查杀 C:\Documents and Settings\Administrator\Local Settings\Temp\Temporary Internet Files\Content.IE5\37PAXCF2\ad[1].js>>$TEMP\$TEMP\49.exe>>$TEMP DoSSSetup.dll 本机

RootKit.Win32.Mie.a 需要解压缩后杀毒 2008-4-12 14:23 快捷方式查杀 C:\Documents and Settings\Administrator\Local Settings\Temp\Temporary Internet Files\Content.IE5\37PAXCF2\ad[1].js>>$TEMP\$TEMP\49.exe>>$TEMP acpidisk.sys 本机

AdWare.Win32.Cpush.ae 需要解压缩后杀毒 2008-4-12 14:24 快捷方式查杀 C:\Documents and Settings\Administrator\Local Settings\Temp\Temporary Internet Files\Content.IE5\R4OE2SQ4\ad[1].js>>$COMMONFILES\CPUSH cpush.tmp 本机

AdWare.Win32.Cpush.ae 需要解压缩后杀毒 2008-4-12 14:25 快捷方式查杀 C:\Documents and Settings\Administrator\Local Settings\Temp\wmisetlog1.log>>$COMMONFILES\CPUSH cpush.tmp 本机

AdWare.Win32.Cinmus.cgg 需要解压缩后杀毒 2008-4-12 14:25 快捷方式查杀 C:\Documents and Settings\Administrator\Local Settings\Temp\wmisetlog2.log>>$TEMP\$TEMP\49.exe>>$TEMP DoSSSetup.dll 本机

RootKit.Win32.Mie.a 需要解压缩后杀毒 2008-4-12 14:25 快捷方式查杀 C:\Documents and Settings\Administrator\Local Settings\Temp\wmisetlog2.log>>$TEMP\$TEMP\49.exe>>$TEMP acpidisk.sys 本机

AdWare.Win32.Cpush.ae 需要解压缩后杀毒 2008-4-12 14:39 快捷方式查杀 C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\LBXY2A5G\ad[1].js>>$COMMONFILES\CPUSH cpush.tmp 本机

AdWare.Win32.Cinmus.cgg 需要解压缩后杀毒 2008-4-12 14:40 快捷方式查杀 C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\RK71MJ7L\ad[1].js>>$TEMP\$TEMP\49.exe>>$TEMP DoSSSetup.dll 本机

RootKit.Win32.Mie.a 需要解压缩后杀毒 2008-4-12 14:40 快捷方式查杀 C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\RK71MJ7L\ad[1].js>>$TEMP\$TEMP\49.exe>>$TEMP acpidisk.sys 本机

AdWare.Win32.Cinmus.cge 重新启动计算机后删除文件 2008-4-12 14:44 快捷方式查杀 C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools pctools.dll 本机

SRENG 警告 注册表值AppInit_DLLs被修改为非正常值（默认值为空）

引用:

【lqqk7的贴子】 的确没什么技术含量，不过以量大取胜，普通用户也很难处理的 ………………

哥,这叫什么
这就叫人多势众
人家是马多势众哈哈

该用户帖子内容已被屏蔽