WIN2K
冰点还原调出主界面后死机
原备份的克隆.GHO文件被删除.
hijackthis后的日志如下，请各位大虾帮看看，该如何杀毒


Logfile of HijackThis v1.99.1
Scan saved at 21:45:56, on 2007-07-19
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\csrss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\Program Files\Faronics\Deep Freeze\Install C-0\DF5Serv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\winnt\System32\svchost.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\Program Files\Faronics\Deep Freeze\Install C-0\_$Df\FrzState2k.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\ctfmon.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\JFJ061\LOCALS~1\Temp\Rar$EX00.178\HijackThis.exe

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [runeip] "C:\Program Files\Rising\AntiSpyware\runiep.exe" /startup
O4 - HKLM\..\Run: [mppds] C:\WINNT\mppds.exe
O4 - HKLM\..\Run: [RAV00AE] C:\WINNT\system32\RAV00AE.exe
O4 - HKLM\..\Run: [Microsoft Autorun11] C:\WINNT\system32\nwizwlwzs.exe
O4 - HKLM\..\Run: [TIMHost] C:\WINNT\TIMHost.exe
O4 - HKLM\..\Run: [RAV00A0] C:\WINNT\system32\RAV00A0.exe
O4 - HKLM\..\Run: [MsIMMs32] C:\WINNT\MsIMMs32.exe
O4 - HKLM\..\Run: [RAV008C] C:\WINNT\system32\RAV008C.exe
O4 - HKLM\..\Run: [RAV00B2] C:\WINNT\system32\RAV00B2.exe
O4 - HKCU\..\Run: [ctfmon.exe] ctfmon.exe
O4 - HKCU\..\Run: [svc] C:\DOCUME~1\JFJ061\LOCALS~1\Temp\sysphong.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: 信息检索 - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra 'Tools' menuitem: 信息检索 - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O17 - HKLM\System\CCS\Services\Tcpip\..\{6B031F3E-58A2-4753-8342-3A7678CE30B8}: NameServer = 202.96.128.86,202.96.134.133
O20 - AppInit_DLLs: qhbpri.dll
O20 - Winlogon Notify: RsAutorunsDisabled - C:\WINNT\
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: DF5Serv - Faronics Corporation - C:\Program Files\Faronics\Deep Freeze\Install C-0\DF5Serv.exe
O23 - Service: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe

O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [mppds] C:\WINNT\mppds.exe
O4 - HKLM\..\Run: [RAV00AE] C:\WINNT\system32\RAV00AE.exe
O4 - HKLM\..\Run: [Microsoft Autorun11] C:\WINNT\system32\nwizwlwzs.exe
O4 - HKLM\..\Run: [TIMHost] C:\WINNT\TIMHost.exe
O4 - HKLM\..\Run: [RAV00A0] C:\WINNT\system32\RAV00A0.exe
O4 - HKLM\..\Run: [MsIMMs32] C:\WINNT\MsIMMs32.exe
O4 - HKLM\..\Run: [RAV008C] C:\WINNT\system32\RAV008C.exe
O4 - HKLM\..\Run: [RAV00B2] C:\WINNT\system32\RAV00B2.exe
O4 - HKCU\..\Run: [svc] C:\DOCUME~1\JFJ061\LOCALS~1\Temp\sysphong.exe

你的启动项基本都是毒~~~
O20 - AppInit_DLLs: qhbpri.dll
O20 - Winlogon Notify: RsAutorunsDisabled - C:\WINNT\

下载SRENG扫描详细的日志

下载SRENG或者卡卡助手或者360
使用LSP修复

你的机修复起来已很困难，个人建议先找个带冰刃这个绿色软件的干净的U盘备着，然后断开网络，关闭所有驱动器上的系统还原，清空所有IE缓存，然后直接重装系统；重装系统后，直接进入安全模式，安全模式下不要用任何方式打开任何硬盘驱动器，插入U盘，先用冰刃删除每个驱动器根目录下所有可疑的隐藏文件（注：以下是可能的病毒隐藏文件：AUTORUN.INF、AUTORUN.EXE、AUTO.EXE、SYSAUTO.EXE、PAGEFILE.PIF这些隐藏文件，用冰刃全部删除，注意每个驱动器都要检查，包括你的U盘！），然后全盘杀毒；杀毒结束后，删除c:\documentm and settings\当前用户名\local settings\temp下的所有文件（有些文件可能删除不了，实在删除不了就放那吧），最后再启动进入正常模式。

重装系统虽然比较耗时间，但估计你的机已成毒窝，手工杀毒寻找的时间甚至超过重装系统的时间，比较而言重装系统还是最有效率的方法。

最后，再瑞星可能已经被病毒摧残得不行了，卸载它，重装。

这么 惨...

谢谢1楼2楼。
要命的是冰点还原无法打开，无法重装系统。

【回复“浪迹芳草地”的帖子】
XP安装盘---BIOS设置光驱引导---按 提示进行

不排除exe被感染的可能.....

用卡卡查和EWIDO 7.5查杀后，还有病毒。
不时提示“网络没插好”
经检测网线正常。但就是不能上网。

查看插件，发现 c:\winnt\system32\
下的agent.dll 和 qhbpri.dll 互为钩子。删除不了。

请哪位帮帮忙查看。

附：日志。

中毒的确很严重……
我也推荐你重装…………（惭愧……在这里说重装应该拖出去打一顿……）

上面的日志打不开……提示出错……找不到文件……

扫个SREng的日志比较好

回5楼,用冰刃强制删除文件看看

冰刃有的都就是强制删除也删不了啊 ,郁闷