自各大安全厂商全力绞杀“磁碟机”以来，论坛上的相关求助量逐日递减。时至今日，磁碟机已经销声匿迹，很久不见有什么新的动作了....
然而一场恶战刚刚结束，我们还没来得及回头反思、总结经验，木马群又接踵而来，丝毫不给我们喘息的时间，这似乎预示着未来病毒与杀软之间的“战争”将愈演愈烈....

中“木马群”之后的症状：
主要症状包括但不限于以下几种：
1、杀毒软件的监控无法开启；
2、杀毒软件点击升级没有反应；
3、杀毒软件升级过程中蓝屏；
4、杀毒软件无法安装；
5、杀毒软件无法运行；
6、多种安全辅助工具无法正常运行；

“木马群”的处理流程：
一、专杀工具：
所有中木马群或杀毒软件无法正常运行的求助者务必优先使用此工具进行处理，严禁出现不使用此工具而直接上传日志的情况！
下载瑞星官方提供的“木马群病毒专杀及修复工具”
下载地址：http://download.rising.com.cn/zsgj/repairtool.exe
注意：下载后第一次运行该工具，会立即提示重启，重启后再次运行专杀工具即可正常使用，按照提示操作即可，操作完成后最后还会提示重启，按要求重启即可。

该工具用于查杀利用flash漏洞传播的“木马群”病毒，并修复该漏洞。同时，该工具可以帮助您建立安全运行环境，修复被病毒损坏的“瑞星杀毒软件”等。
注意：使用该专杀工具时务必保证您的网络畅通！
使用说明请见  本帖211楼
工具使用方法演示视频：


二、初级处理方法：
1、下载“木马群处理程序.bat”

附件: 木马群处理程序.rar (2008-6-10 12:36:09, 1.80 K)
该附件被下载次数 17955

下载完后解压缩，双击“木马群处理程序.bat”，等待命令执行完成后系统将自动重启，重启后立即打开杀毒软件，升级到最新版本，断开网络连接，全盘查杀病毒。

2、如果点击升级仍没有反应，下载“修复应用程序劫持项.bat”，点击这里下载
下载完后解压缩，双击“修复应用程序劫持项.bat”，它会通过命令行循环执行删除劫持项的操作，当看到提示“正在循环删除应用程序劫持项...，请不要关闭此窗口，现在就打开杀毒软件，升级到最新版本，然后进行全盘杀毒”时，不要理会这个窗口，让它继续运行，同时立即打开杀毒软件，升级到最新版本，断开网络连接，全盘查杀病毒。


三、高级处理方法：
有一定操作能力的人在发现自己电脑中毒后，通常会采用借助辅助工具手工处理的方法，“天月来了”版主已经发过很详细的帖子介绍常用的辅助工具使用方法和下载地址，
帖子链接：http://bbs.ikaka.com/showtopic-8442813.aspx
大家可以参考这篇帖子进行相关操作。

另外，强烈建议您参考一下“天月来了”版主的另一帖：http://bbs.ikaka.com/showtopic-8504511.aspx
“天月来了”版主分析了大量的木马群日志，编写了多个清理脚本，可谓凝聚了很多心血在里面，极大地方便了大家的操作，当您遇到问题后不妨去下载这些脚本来清理一下。

当然不得不说的是，由于木马群本身数量多、变种快、文件名不固定，加之每个人的系统环境都有差异，而每个清理脚本都有较强的针对性，所以不能保证100%解决您的问题。但即使这样，您先用windows清理助手去清理一下也能够为下一步操作提供很大便利！同时反病毒论坛的各位版主们也会不断更新完善这些脚本！


四、论坛求助法：
如果按照方法一操作后杀毒软件仍不能正常运行，自己又不会手工处理该怎么办？除了找电脑公司、重装系统外，到卡卡论坛发帖求助也不失为一种很好的选择，为了保证每个求助者的问题都能得到快速解决，大家在发帖求助时一定要注意以下几点：
1、主题明确，以最简明扼要的语言概述自己的问题，拒绝出现形如“急急急、版主快来、帮我看看日志、在线等”之类无意义的主题；

2、帖子中相关的信息尽量写全，例如：操作系统、网络环境、杀毒软件能否正常运行、能否正常升级、是否有报错提示等，如果有杀不净的病毒，一定要写清病毒名、完整的路径、文件名，要知道您的描述越详细，我们判断起来就越迅速、准确。拒绝出现只贴一个日志，不写任何情况的帖子，这样的帖子我们也只能回复让您描述具体情况，一来二去更耽误您的时间；

3、日志，变种快、数量多是木马群的一大特点，所以在求助时日志是必不可少的，需要注意的是任何日志都不要以文字形式直接粘贴上来，而是将日志文件作为附件上传；

4、如果您的求助帖符合以上基本要求却长时间没有得到回复，请您把帖子链接通过悄悄话发送给版主；


附：扫描日志的方法和可疑文件的提取：
1、扫描日志推荐使用sreng，同时为了保证日志尽量简洁，排除流氓软件的xxx，建议大家在扫描日志之前先用“卡卡上网安全助手”或“windows清理助手”对系统进行一次清理；
卡卡上网安全助手下载地址：http://tool.ikaka.com/downloadtool.asp?tools=1
windows清理助手下载地址：http://www.arswp.com/download.html

2、sreng下载地址：http://bbs.ikaka.com/attachment.aspx?attachmentid=397587
（1）、下载后解压缩，运行“srengldr.exe”；
（2）、如果无法打开请尝试运行“安全启动.bat”；
（3）、打开后依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
（4）、选择保存路径，文件名保持默认，直接点击【保存】；
（5）、将日志文件srenglog.log作为附件上传到论坛，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭qq、游戏、下载工具、媒体播放器等应用程序。

3、可疑文件的提取：
无论您是自行分析日志还是到论坛求助，在您发现可疑文件后不要立即删除，先将其提取出来打包压缩上报给安全厂商，以便更多人能够通过您的努力获得间接的帮助；
可疑文件提取工具推荐使用arpick，能够批量提取，使用方法：
(1)下载本帖附件，解压缩后运行arpick.exe；
(2)将可疑文件的完整路径（绝对路径）复制到输入框中，每行一个；
(3)点击“提取”按钮，将弹出提示然您选择保存路径；
(4)选好路径后点“打开”，等待提取完成后会出现提示“文件提取成功，zip密码：arswp”
(5)使用密码将提取的压缩包解压后重新压缩，不要加密码；
(6)将未加密的压缩包上报给瑞星，上报链接：http://up.rising.com.cn/webmail/uploadnew.htm

引用:

【流星陨落的贴子】木马群，一堆垃圾而已 ………………

的确没什么技术含量，不过以量大取胜，普通用户也很难处理的

引用:

【wawa13的贴子】先谢谢楼主了，用了你说的方法一，杀毒软件能正常运行了。但是……………… 电脑变得好慢哦，刚开机什么东西都没开cpu使用就100%了。 已经杀过毒了的。 请楼主大人帮帮忙啊！！！ 我不懂电脑 电脑很少中病毒的，现在弄得头大啊 实在是不想重装系统…………电脑里边好些东西要用啊 各位帮帮忙吧，我还得用它来干论文呢………… ………………

扫描SRENG日志发上来

引用:

【wawa13的贴子】电脑很慢啊，一开机cpu使用都100%了！杀毒软件都挺正常的了，不过有几次那个监控的伞自己就收起来了，我又升级了一次瑞星才好的。对了，瑞星监控不是开机就运行了吗，怎么现在每次都是我手动打开的？设置跟之前都一样啊…… 扫描之前结束了一些cpu占用比较高的程序，不然电脑没法使，对扫描结果有影响吗？……我是第一次用这个 下面是我清不掉的病毒 每次开机扫描还都有两个冒出来， SRENG 警告 注册表值AppInit_DLLs被修改为非正常值（默认值为空） ………………

先下载工具：
windows清理助手下载：http://www.arswp.com/download.html
XDelBox下载：http://www.dodudou.com/down/    打开后选择【原创软件】，下载XDelBox1.6。
清理临时文件工具ATF-Cleaner-cn下载：http://www.qispace.com.cn/attachment.php?fid=34
———————————————————————————————————————
务必断开网络链接后再进行以下操作；
———————————————————————————————————————
使用XDelBox删除以下文件：
XDelBox使用方法：http://forum.ikaka.com/topic.asp?board=28&artid=8381032
使用时一定拔掉所有移动存储设备，将下面分隔线中的的文件路径全部复制，然后打开XDelBox直接使用右键菜单的“剪贴板导入不检查路径”导入，勾选“抑制再生”、“驱动安全删除模式”、“备份文件”，最后选择右键菜单的“立刻重启删除”。
———————————————————————————————————————
c:\windows\system32\dnteh.dll
c:\windows\system32\fjyjy.dll
c:\windows\system32\kduy.dll
c:\windows\system32\lariytrz.dll
c:\windows\system32\msepbe.dll
c:\windows\system32\sehhter.dll
c:\windows\system32\xfgnxfn.dll
c:\program files\internet explorer\plugins\winsys8v.sys
c:\windows\684745m.exe
c:\windows\upxdnd.exe
c:\windows\ptsshell.exe
c:\windows\winsvr32.exe
c:\windows\rhtnmrkg.exe
c:\windows\shaproc.exe
c:\windows\lotushlp.exe
c:\windows\avpsrv.exe
c:\windows\dbghlp32.exe
c:\docume~1\admini~1\locals~1\temp\tmp54.tmp
c:\documents and settings\all users\application data\microsoft\office\system\ntptdb.sys
c:\windows\system32\drivers\msosmsfpfis64.sys
c:\docume~1\admini~1\locals~1\temp\tmp56.tmp
c:\windows\system32\drivers\msosfpids32.sys
c:\docume~1\admini~1\locals~1\temp\~wxp2ins.598.tmp
c:\docume~1\admini~1\locals~1\temp\~wxp2ins.961.tmp
c:\program files\microsoft office\system\apcdli.sys
———————————————————————————————————————
重启计算机后会看到一个请选择要启动的操作系统的提示，倒计时5秒，
第一个选项是你自己的Windows系统，
第二个选项是XDelBox的Go XDelBox To Del Files，
默认自动选择第二项，会进入类似DOS的界面，这期间什么操作都不用做，等待它自动运行即可，
待病毒文件删除后会自动重启进入Windows系统，
然后再按以下步骤操作：
———————————————————————————————————————
从下面项可看出系统文件可能已被病毒修改：
<shell><Explorer.exe>  [(Verified)]
可以去C:\WINDOWS\system32\dllcache文件夹里找Explorer.exe文件，然后按“Ctrl+Alt+Del”键打开任务管理器，结束Explorer.exe进程，在任务管理器上点【文件】-【新建任务】-【浏览】，将C:\WINDOWS\system32\dllcache\Explorer.exe文件复制到C:\WINDOWS文件夹里替换。
———————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【注册表】，将以下项删除：
[WinSysM]    <C:\WINDOWS\684745M.exe>
[upxdnd]    <C:\WINDOWS\upxdnd.exe>
[PTSShell]    <C:\WINDOWS\PTSShell.exe>
[WINSvr32]    <C:\WINDOWS\WINSvr32.exE>
[vrhhytkn]    <C:\WINDOWS\rhtnmrkg.exe>
[SHAProc]    <C:\WINDOWS\SHAProc.exe>
[LotusHlp]    <C:\WINDOWS\LotusHlp.exe>
[AVPSrv]    <C:\WINDOWS\AVPSrv.exE>
[DbgHlp32]    <C:\WINDOWS\DbgHlp32.exe>
———————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【注册表】，编辑以下项，将其值改为空：
注意：一定不要删除这些项，将其值改为空即可！
[AppInit_DLLs]
———————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【服务】-【驱动程序】，将以下项删除：
[ping / ping]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp54.tmp>
[ntptdb / ntptdb]    <\??\C:\Documents and Settings\All Users\Application Data\Microsoft\Office\SYSTEM\ntptdb.sys>
[msfpfis64 / msfpfis64]    <\??\C:\WINDOWS\system32\drivers\msosmsfpfis64.sys>
[mnsf / mnsf]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp56.tmp>
[fpids32 / fpids32]    <\??\C:\WINDOWS\system32\drivers\msosfpids32.sys>
[Atixeve2758 / Atixeve2758]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~wxp2ins.598.tmp>
[Atixeve2122 / Atixeve2122]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~wxp2ins.961.tmp>
[apcdli / apcdli]    <\??\C:\Program Files\Microsoft Office\SYSTEM\apcdli.sys>
———————————————————————————————————————
打开SREngPS.EXE，选择【系统修复】-【浏览器加载项】，将以下项删除：
[]    <C:\Program Files\Internet Explorer\PLUGINS\WinSys8v.Sys>
———————————————————————————————————————
使用刚下载的“清理临时文件工具ATF-Cleaner-cn”，全选所有项目，点击【立即清理】
———————————————————————————————————————
使用刚下载的“Windows清理助手”清理你的系统。
———————————————————————————————————————
上述操作全部完成后重启电脑，确保杀毒软件监控和防火墙均已经正常开启，如果不能开启可以先修复；
然后连网，升级杀毒软件到最新版本，再断网进行全盘杀毒；
如果系统能够通过正版验证，建议通过windows update给系统打全补丁，或者使用第三方工具给系统打补丁；
如果仍有问题，请使用SREng重新扫描日志，将日志上传，并详细描述新的问题现象。

引用:

【zhenqiu的贴子】大侠，帮忙看看我的问题。按照你所说的做，我解决大部分问题，只有一个病毒怎么也清理不掉，C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pcto.dll.0DEL.VIR。清理前是pcto.dll（应该是pctools.dll，我改了一下名）。费尔木马强力清除助手/XDELBOX都用过，不行，涮不了。帮忙看看！感谢不尽！ ………………

先下载工具：
windows清理助手下载：http://www.arswp.com/download.html
XDelBox下载：http://www.dodudou.com/down/    打开后选择【原创软件】，下载XDelBox1.6。
清理临时文件工具ATF-Cleaner-cn下载：http://www.qispace.com.cn/attachment.php?fid=34
———————————————————————————————————————
务必断开网络链接后再进行以下操作；
———————————————————————————————————————
使用XDelBox删除以下文件：
XDelBox使用方法：http://forum.ikaka.com/topic.asp?board=28&artid=8381032
使用时一定拔掉所有移动存储设备，将下面分隔线中的的文件路径全部复制，然后打开XDelBox直接使用右键菜单的“剪贴板导入不检查路径”导入，勾选“抑制再生”、“驱动安全删除模式”、“备份文件”，最后选择右键菜单的“立刻重启删除”。
———————————————————————————————————————
c:\windows\nkeqtjzn.exe
c:\windows\system32\ftfeliuj.dll
c:\windows\system32\mfdesy.dll
c:\windows\system32\winbill070125.dll
c:\windows\338448m.exe
c:\documents and settings\all users\application data\microsoft\office\system\ntptdb.sys
c:\program files\microsoft office\system\apcdli.sys
———————————————————————————————————————
重启计算机后会看到一个请选择要启动的操作系统的提示，倒计时5秒，
第一个选项是你自己的Windows系统，
第二个选项是XDelBox的Go XDelBox To Del Files，
默认自动选择第二项，会进入类似DOS的界面，这期间什么操作都不用做，等待它自动运行即可，
待病毒文件删除后会自动重启进入Windows系统，
然后再按以下步骤操作：
———————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【注册表】，将以下项删除：
[bill]    <rundll32.exe "C:\windows\system32\winbill070125.dll" mymain>
[{DC3D30AE-0380-4151-8934-EE98A34B0370}]    <C:\windows\system32\mfdesy.dll>
[WinSysM]    <C:\windows\338448M.exe>
[pntkaebq]    <C:\windows\nkeqtjzn.exe>
———————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【服务】-【驱动程序】，将以下项删除：
[ntptdb / ntptdb]    <\??\C:\Documents and Settings\All Users\Application Data\Microsoft\Office\SYSTEM\ntptdb.sys>
[apcdli / apcdli]    <\??\C:\Program Files\Microsoft Office\SYSTEM\apcdli.sys>
———————————————————————————————————————
使用刚下载的“清理临时文件工具ATF-Cleaner-cn”，全选所有项目，点击【立即清理】；
———————————————————————————————————————
使用刚下载的“Windows清理助手”清理你的系统。
———————————————————————————————————————

引用:

【zhenqiu的贴子】========Content======== 现在这一台电脑没问题了。谢谢 我还有一台，一直安你的方法做，瑞星杀毒没什么问题，但感觉好像存在问题，只是我找不到原因，在光盘引导下查出有402个病毒，但是杀不了，我把资料传上来，你帮忙看看 ………………

先下载工具：
windows清理助手下载：http://www.arswp.com/download.html
XDelBox下载：http://www.dodudou.com/down/    打开后选择【原创软件】，下载XDelBox1.6。
清理临时文件工具ATF-Cleaner-cn下载：http://www.qispace.com.cn/attachment.php?fid=34

处理步骤看附件

引用:

【zhenqiu的贴子】还有图片看我的电脑图标都变了 ………………

右键点桌面空白处，属性，自定义桌面，选中我的电脑，更改图标，任选一个其他图标，确定，确定，确定。
然后重复上面的步骤再把我的电脑图标改成默认的。

引用:

【zhenqiu的贴子】另外： ………………

按“Ctrl+Alt+Del”键打开任务管理器，结束explorer.exe进程，在任务管理器上点【文件】-【新建任务】-【浏览】，将c:\windows\system32\dllcache\explorer.exe文件复制到C:\WINDOWS文件夹里替换。
。

引用:

【zhenqiu的贴子】【回复“lqqk7”的帖子】 ——————————————————————————————————————— 打开SREngPS.EXE，选择【启动项目】-【服务】-【驱动程序】，将以下项： [ntptdb / ntptdb] <\??\C:\Documents and Settings\All Users\Application Data\Microsoft\Office\SYSTEM\ntptdb.sys> [apcdli / apcdli] <\??\C:\Program Files\Microsoft Office\SYSTEM\apcdli.sys> 这一项没有删除吊，不要紧吧？请指示！ ………………

怎么删不掉？

引用:

【voluntine的贴子】我的电脑是xp sp2系统，网络链接正常，昨天中毒，瑞星不能正常启动，用楼主的方法一后，瑞星启动后马上变成红伞，无法实时监控。反复杀毒还是不行。附扫描结果，希望版主帮忙啊，谢谢！ ………………

c:\windows\temp\b.bat这个批处理是干什么的不能确定，你需要自己去判断。

先下载工具：
windows清理助手下载：http://www.arswp.com/download.html
XDelBox下载：http://www.dodudou.com/down/    打开后选择【原创软件】，下载XDelBox1.6。
清理临时文件工具ATF-Cleaner-cn下载：http://www.qispace.com.cn/attachment.php?fid=34
———————————————————————————————————————
务必断开网络链接后再进行以下操作；
———————————————————————————————————————
使用XDelBox删除以下文件：
XDelBox使用方法：http://forum.ikaka.com/topic.asp?board=28&artid=8381032
使用时一定拔掉所有移动存储设备，将下面分隔线中的的文件路径全部复制，然后打开XDelBox直接使用右键菜单的“剪贴板导入不检查路径”导入，勾选“抑制再生”、“驱动安全删除模式”、“备份文件”，最后选择右键菜单的“立刻重启删除”。
———————————————————————————————————————
c:\windows\downloaded program files\winio.sys
c:\docume~1\bmh\locals~1\temp\tmp58.tmp
c:\docume~1\bmh\locals~1\temp\tmp72.tmp
c:\docume~1\bmh\locals~1\temp\tmp3b.tmp
c:\docume~1\bmh\locals~1\temp\tmp27.tmp
c:\docume~1\bmh\locals~1\temp\tmp76.tmp
c:\docume~1\bmh\locals~1\temp\tmp33.tmp
c:\docume~1\bmh\locals~1\temp\tmp4c.tmp
———————————————————————————————————————
重启计算机后会看到一个请选择要启动的操作系统的提示，倒计时5秒，
第一个选项是你自己的Windows系统，
第二个选项是XDelBox的Go XDelBox To Del Files，
默认自动选择第二项，会进入类似DOS的界面，这期间什么操作都不用做，等待它自动运行即可，
待病毒文件删除后会自动重启进入Windows系统，
然后再按以下步骤操作：
———————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【服务】-【Win32服务应用程序】，将以下项删除：
[Help and Support / helpsvc]    <C:\WINDOWS\system32\interne.exe>
———————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【服务】-【驱动程序】，将以下项删除：
[WINIO / WINIO]    <\??\C:\WINDOWS\Downloaded Program Files\winio.sys>
[ptfs / ptfs]    <\??\C:\DOCUME~1\bmh\LOCALS~1\Temp\tmp58.tmp>
[ping / ping]    <\??\C:\DOCUME~1\bmh\LOCALS~1\Temp\tmp72.tmp>
[mnsf / mnsf]    <\??\C:\DOCUME~1\bmh\LOCALS~1\Temp\tmp3B.tmp>
[mhfp / mhfp]    <\??\C:\DOCUME~1\bmh\LOCALS~1\Temp\tmp27.tmp>
[fmsq / fmsq]    <\??\C:\DOCUME~1\bmh\LOCALS~1\Temp\tmp76.tmp>
[dohs / dohs]    <\??\C:\DOCUME~1\bmh\LOCALS~1\Temp\tmp33.tmp>
[cqit / cqit]    <\??\C:\DOCUME~1\bmh\LOCALS~1\Temp\tmp4C.tmp>
———————————————————————————————————————
使用刚下载的“清理临时文件工具ATF-Cleaner-cn”，全选所有项目，点击【立即清理】；
———————————————————————————————————————
使用刚下载的“Windows清理助手”清理你的系统。
———————————————————————————————————————
最好重新安装瑞星杀毒软件