电脑上的“开始”显示为“□□”
瑞星打不开
电脑右下角隔一段时间就出现qq中奖提示（我没上qq）
是昨天看网页中的毒


用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; .NET CLR 1.1.4322)

扫SRENG日志发这论坛来

下载最新版本的SRENG工具：http://www.kztechs.com/sreng/download.html
操作方法可以看这贴2楼：http://bbs.ikaka.com/showtopic-8442813.aspx

1 下载的是压缩包，必须解压缩后再运行。
2 运行SREng***.EXE
3 选择主界面左边的：智能扫描=》扫描=》保存报告
4 把报告保存后，将日志文件发这论坛来。

建议日志文件以附件形式发来
点击我这贴右下角的“引用”或最右下角的那个较大的“回复”然后就应该知道怎么发了。
请不要开新贴发日志，就原贴接贴发日志即可。

这是扫描的日志文件

还是如我所料

木马群只针对瑞星不断做免杀

不断针对瑞星做映像劫持

你等着

断网操作：

你只有，用XDELBOX工具删除下面文件了：

XDELBOX工具下载：http://bbs.ikaka.com/attachment.aspx?attachmentid=446806

按照内附说明图操作，将XDELBOX工具放在C盘根目录下，复制粘贴下面文件操作删除：

C:\WINDOWS\system32\c6424110.sys
C:\WINDOWS\System32\Drivers\msiffei.sys
C:\WINDOWS\system32\b770ca2.sys
C:\WINDOWS\system32\csrss.dll
C:\WINDOWS\system32\sh09018.dll
C:\WINDOWS\system32\sh14034.dll
C:\WINDOWS\system32\sh19027.dll
C:\WINDOWS\system32\sh22017.dll
C:\WINDOWS\system32\sh28009.dll
C:\WINDOWS\system32\HBDNF.dll
C:\WINDOWS\system32\HBTL.dll
C:\WINDOWS\system32\HBmhly.dll
C:\WINDOWS\system32\HBASKTAO.dll
C:\WINDOWS\system32\HBWOW.dll
C:\WINDOWS\system32\HBLYFX.dll
C:\WINDOWS\system32\HBJXSJ.dll
C:\WINDOWS\system32\HBBO.dll
C:\WINDOWS\system32\HBWULIN2.dll
C:\WINDOWS\system32\HBQQFFO.dll
C:\WINDOWS\system32\HBXY2.dll
C:\WINDOWS\system32\HBZHUXIAN.dll
C:\WINDOWS\system32\HBW2I.dll
C:\WINDOWS\system32\HBQQSG.dll
C:\WINDOWS\system32\HBYY.dll
C:\WINDOWS\system32\HBCHIBI.dll
C:\WINDOWS\system32\HBXMJ.dll
C:\WINDOWS\system32\5F1084AC.dll
C:\WINDOWS\system32\alitt32.dll
C:\WINDOWS\system32\2EF0D734.dll
C:\WINDOWS\system32\4506AD31.dll
C:\WINDOWS\system32\DA63E650.dll
C:\WINDOWS\system32\08223B03.dll
C:\WINDOWS\system32\56BC86C7.dll
C:\WINDOWS\system32\78B02B63.dll
C:\WINDOWS\system32\E0D39066.dll
C:\WINDOWS\system32\198FF3D8.dll
C:\WINDOWS\system32\E4814792.dll
C:\WINDOWS\system32\66AFCB56.dll
C:\WINDOWS\system32\HBSO2.dll
C:\WINDOWS\system32\HBTW2.dll
C:\WINDOWS\system32\HBQQXX.dll
C:\WINDOWS\system32\09E88A5C.dll
C:\WINDOWS\system32\System.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\520124

重启电脑自动运行完毕进入系统后，再立即继续下面操作。
————————————————————————————————————————
运行下载的删除映像劫持工具,清除检测到的所有映像劫持项。
http://bbs.ikaka.com/attachment.aspx?attachmentid=429561
————————————————————————————————————————
去找相同系统里的userinit.exe文件。
先复制到C:\WINDOWS\system32\dllcache文件夹里替换。
再复制到C:\WINDOWS\system32文件夹里替换。

可以这贴里找相关文件下载。
http://bbs.ikaka.com/showtopic-8417665.aspx

可以按照这贴进行相关文件替换，建议使用4楼工具操作替换
http://bbs.ikaka.com/showtopic-8561436.aspx
————————————————————————————————————
按照这贴进行相关文件替换操作恢复rpcss服务以及恢复其对应rpcss.dll文件
http://bbs.ikaka.com/showtopic-8561436.aspx
————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里将<AppInit_DLLs>项目置空（就是选择“编辑”）这必须关闭杀毒软件的监控，否则改不了可能。
启动项目
注册表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<AppInit_DLLs><ieprot.dll,kmon.dll,HBDNF.dll,HBTL.dll,HBmhly.dll,HBASKTAO.dll,HBWOW.dll,HBLYFX.dll,HBJXSJ.dll,HBBO.dll,HBWULIN2.dll,HBQQFFO.dll,HBXY2.dll,HBZHUXIAN.dll,HBW2I.dll,HBQQSG.dll,HBYY.dll,HBCHIBI.dll,HBXMJ.dll,5F1084AC.dll,HBSO2.dll,HBTW2.dll,HBQQXX.dll,09E88A5C.dll>  [N/A]

就是将 <AppInit_DLLs> 的“值”项编辑置空

你可以选择其中一个红色项，然后编辑时你可能看不到什么，只需要在值项里输入任意一个字母或数字即可。
————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除：
启动项目
注册表
    <HBService32><System.exe>  [HB Software]
    <qq><C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\520124>  []
    <Alcmtr><alitt32.exe>  []
    <{78B02B63-EAF4-40EE-935D-C86DF4C6970F}><78B02B63.dll>  []
    <{E0D39066-96D7-4891-8527-488ADAFCD60F}><E0D39066.dll>  []
    <{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}><08223B03.dll>  []
    <{56BC86C7-0692-4F94-A2C1-6CF1DBF8096C}><56BC86C7.dll>  []
    <{198FF3D8-56F1-466B-A36F-F9C28B43E440}><198FF3D8.dll>  []
    <{DA63E650-537C-4042-87BB-9D19D844680B}><DA63E650.dll>  []
    <{E4814792-EFA3-4C20-93D0-8B130A59F9A8}><E4814792.dll>  []
    <{4506AD31-739D-4A88-9084-393F7C3D714F}><4506AD31.dll>  []
    <{2EF0D734-21FD-4225-A1A2-BCD296182AAF}><2EF0D734.dll>  []
    <{66AFCB56-FAA9-42D2-8C72-2767A46C7FA8}><66AFCB56.dll>  []
    <{5F1084AC-0527-4DA8-BE77-FFD0501731A2}><C:\WINDOWS\system32\5F1084AC.dll>  []
    <{09E88A5C-44A1-4B94-8872-6DB35C37F68E}><C:\WINDOWS\system32\09E88A5C.dll>  []
    <5F1084AC><C:\WINDOWS\system32\5F1084AC.dll>  []
    <09E88A5C><C:\WINDOWS\system32\09E88A5C.dll>  []
————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》驱动程序》里面找下面项删除，
==================================
驱动程序
[c6424110 / c6424110][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32\c6424110.sys><N/A>

[msiffei / msiffei][Stopped/Manual Start]
  <System32\Drivers\msiffei.sys><N/A>

[b770ca2 / b770ca2][Running/Manual Start]
  <\??\C:\WINDOWS\system32\b770ca2.sys><N/A>
————————————————————————————————————
在扫日志的SRENG工具》系统修复》HOSTS文件》选择“重置”再“保存”
==================================
HOSTS 文件
58.215.93.78 szgz.gov.cn
58.215.93.78 www.szgz.gov.cn
58.215.93.78 qq.com
58.215.93.78 www.qq.com
—————————————————————————————————————
用下载的“清理临时文件工具ATF-Cleaner-cn”，全选所有项目，点击“立即清理”
下载：http://bbs.ikaka.com/attachment.aspx?attachmentid=447126

用W i n d o w s 清理助手 ，清理你那系统。
W i n d o w s 清理助手 下载：http://www.arswp.com/
————————————————————————————————————
再重启电脑，反复检查，操作的结果，

杀毒软件如果有异常，可能需要卸载重装，升级至最新版本全盘杀。

记得打打系统漏洞补丁

SRENG工具的各项操作看这里：http://bbs.ikaka.com/showtopic-8545446.aspx

用XDELBOX的时候提示这个

换：
这里下载超级巡警文件暴力删除工具，抑制文件再生删除。
http://www.sucop.com/download/27.html

这里下载费尔木马强力清除助手,点选“抑制文件再生”删除文件。
http://bbs.ikaka.com/attachment.aspx?attachmentid=446804

这两工具配合着删除一次

不论删除结果如何

继续其他操作