瑞星卡卡安全论坛

发现问题

附件: 480315200583111258.JPG

这么说，我应该结束realshed进程。

两位版主，我说得对吗？

不得了,怎么又换寄生位置了.

附件: 480315200583120850.JPG

【回复“地区性”的帖子】
您可以使用附件.

选择系统设置--删除此项

如遇到开机显示加载失败,导入前贴中的REG文件即可.

附件:upiea

附件: 484230200583123823.rar

显示Rundll32进程用了它

附件: 480315200583201917.JPG

可是当我结束RUNDLL32进程,又换寄主了,难怪删不了它

附件: 480315200583202245.JPG

请在安全模式下进行以上操作，这样就不会有那么多进程调用了

怎么进入安全模式？

进入安全模式的方法:

重新启动电脑, 开机自动检测完后, 按[F8]键(可以一直按到启动菜单出来为止), 选择安全模式(Safe Mode)进入Windows。

【回复“endurer”的帖子】
谢谢老版主,我去试试.

楼主中木马了，是 advapi32

方法
清除ADVAPI32.EXE和AVICAP32.EXE木马

第一种方法：
1。重启进入安全模式（启动时按F8）
2。删除下列文件
1) windows\backup\*.*
2) windows\prefetch\advapi32*.* avicap32*.*
3) window\system32\MyIMLite\*.*(如果有的话,似乎这就是源头)
4) windows\downloaded program files\0319\*.*
这个目录在windows下搜索不到，也看不到（开了显示隐藏），
可采用以下方法搞定：
首先 点 开始 /运行/ 键入cmd /确定
接下来 cd d:回车
接下来 del c:\advapi32.exe/s/a 回车
接下来 del c:\avicap32.exe/s/a 回车
接下来 del c:\MuSearch.dll/s/a 回车
3。删除注册表中与advapi32.exe avicap32.exe MuSearch.dll 相关的键值,步骤如下：
首先 点 开始 /运行/ 键入regedit 确定
然后 点 编辑 /查找/ 分别键入advapi32.exe avicap32.exe MuSearch.dll 进行查找，
找到后全部清除掉。（不妨从头到底多查几遍，一定要弄干净喔 ！！！）

4。清除所有cookies,internet临时文件

第二种方法：

1、结束进程advapi32.exe、avicap32.exe、explorer.exe(这里要用到IceSword这个软件,先在IceSword的“监视进/线程创建”面板中找红字标出的explorer.exe，记住其PID，然后回到“进程”面板，按PID找到那个假explorer.exe，结束它。)
2、删除系统当前用户临时文件夹Temp下的backup和%Windows%下的backup文件夹
3、删除病毒对注册表所作的更改：
HKEY_CURRENT_USER\Software\advapi32.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

在开始-运行-x:\windows\downlo~1\（X是系统分区）就能看到病毒安装包，删除全部文件。。在注册表里认真查，删除，OK。。。

卸载DUDU和百度搜霸
＝＝＝＝＝＝＝＝＝＝＝＝＝＝
1.重启进入安全模式（启动时按F8）

2.删除下列文件
1) windows\backup\*.*
2) windows\prefetch\advapi32*.* avicap32*.*
3) window\system32\MyIMLite\*.*
4) windows\downloaded program files\0319\*.*
5) windows\downloaded program files\_IS_ISC.DLL
6) windows\downloaded program files\_IS_0518

这个目录在windows下搜索不到，也看不到（开了显示隐藏），
可采用以下方法搞定：
开始－－运行,输入cmd，确定
cd d:回车
del c:\advapi32.exe/s/a 回车
del c:\avicap32.exe/s/a 回车
del c:\MuSearch.dll/s/a 回车
5)ADVAPI.DLL2以及ADVCCAPI.DLL

3.删除注册表中与advapi32.exe　avicap32.exe　MuSearch.dll相关的键值
　步骤如下：
开始－－运行,键入regedit,确定
在菜单栏点击编辑－－查找,分别键入advapi32.exe avicap32.exe MuSearch.dll进行查找
找到后全部清除掉

4. 开始－－运行, 键入msconfig,确定
修改SYSTEM.INI，刪除 "DRIVERS=ADVAPI.DLL"


5.清除所有cookies,internet临时文件

=================================
MYIMLite的危害及其解除方法


1.开始－－运行, 键入msconfig,确定
修改启动，禁止UPDATE和MYIMLite启动

2.重启后删除 C:\WINDOWS\system32\MYIMLite 文件夹

3.开始－－运行,键入regedit,确定
在菜单栏点击编辑－－查找,键入MYIMLite进行查找
找到后全部清除掉

==================================
isc.exe解除方法

1.清空所有的临时文件

2.重启动系统，按F8进入安全模式删除以下5个文件：
ISC.dll
ISC.exe
ISC.ico
MuSearch.dll
Music.dll
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
删除C:\Program\DESKTOp media
C:\WINDOWS\WORLD2\TOOLBAR
C:\Program\Baidu

rundll32: winnt/download_1~/_is_isc.dll
就是这个东西，搞得系统启动后rundll32和explorer交替不停出错。
后来总算删掉。
这是在金山上看到的解决方案：
1. 断开网络，关闭所有浏览器窗口，退出/关闭可以退出/关闭的应用程序
2. 结束掉Rundll32.exe进程
3. 结束掉Explorer.exe进程（桌面、任务栏丢失）
以上步骤为确定那些_IS_*.DLL文件没有被调用，如果对系统熟悉也可不用这样处理
4. 把Explorer.exe进程再运行起来（恢复桌面、任务栏）
5. 删除%Windows%Downloaded Program Files目录下面所有_IS_*.*文件（使用WinRAR浏览找到文件并删除），删除%Windows%backup目录
6. 双击导入附件中的REG文件，删除那些东西在注册表里留下的信息
因为论坛不能上传文件，把reg文件内容写在这里，大家可以自己编辑。
REGEDIT4

[-HKEY_CURRENT_USERSoftwareadvapi32]

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
"advapi32"=-

[-HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowser Helper Objects{1272F701-349D-4DB3-BBCD-10CBDCD049FE}]

[-HKEY_CLASSES_ROOTCLSID{1272F701-349D-4DB3-BBCD-10CBDCD049FE}]

[-HKEY_CLASSES_ROOTCLSID{1CC08B2F-AFF1-11D9-9651-0003FF7E92CE}]

[-HKEY_CLASSES_ROOTTypeLib{1CC08B21-AFF1-11D9-9651-0003FF7E92CE}]

[-HKEY_CLASSES_ROOTTypeLib{7B781699-1FF6-45B6-8AA7-2CB16B587C24}]

为什么没有专杀工具？