瑞星卡卡安全论坛

各位高手：
你们好！
我的计算机昨天点击浏览器右键时总是弹出“uu500.com/ting.htm；tingcn.com/uu500.htm”网页。今天早上一开机，又弹出“AV.mx168.com”等好几个网页， 而且提示正在从网页中下载、、、、、、、等等。
扫描代码如下：
HijackThis_815汉化版扫描日志 V1.99.1
保存于      8:17:38, 日期 2005-11-1
操作系统：  Windows 2000 SP4 (WinNT 5.00.2195)
浏览器：    Internet Explorer v6.00 (6.00.2600.0000)

当前运行的进程：         
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\regsvc.exe
D:\Rising\Rav\CCenter.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.exe
D:\Rising\Rav\RavTimer.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINNT\System32\BCUP.exe
C:\WINNT\System32\bcsysnote.exe
C:\WINNT\System32\internat.exe
C:\Program Files\Real\RealPlayer\RealPlay.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\System32\conime.exe
D:\RISING\RAV\Ravmond.exe
D:\RISING\RAV\RavStub.exe
d:\rising\rav\RAVMON.EXE
D:\Rising\Rav\RAVTRAY.EXE
D:\Rising\Rav\RavService.exe
D:\Program Files\WinRAR\WinRAR.exe
D:\Temp\Rar$EX00.356\HijackThis1991zww.exe

R3 - URLSearchHook: (no name) - {BB936323-19FA-4521-BA29-ECA6A121BC78} - (no file)
O2 - BHO: ThunderIEHelper Class - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:\WINNT\System32\xunleibho_v5.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - D:\PROGRA~1\FlashGet\jccatch.dll
O3 - IE工具栏增项: 博采 - {4DA2EE61-6399-4C39-AEB9-0D990E610D29} - C:\WINNT\System32\bocaitoolbar.dll
O3 - IE工具栏增项: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - D:\PROGRA~1\FlashGet\fgiebar.dll
O3 - IE工具栏增项: @msdxmLC.dll,-1@2052,电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - 启动项HKLM\\Run: [Synchronization Manager] mobsync.exe /logon
O4 - 启动项HKLM\\Run: [RavTimer] D:\Rising\Rav\RavTimer.exe
O4 - 启动项HKLM\\Run: [RavTray] D:\Rising\Rav\RavTray.exe
O4 - 启动项HKLM\\Run: [RavMon] D:\Rising\Rav\RavMon.exe -system
O4 - 启动项HKLM\\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - 启动项HKLM\\Run: [BCUpdate] C:\WINNT\System32\BCUP.exe
O4 - 启动项HKLM\\Run: [ADShow] C:\WINNT\System32\bcsysnote.exe
O4 - 启动项HKLM\\Run: [assistse] "C:\PROGRA~1\3721\assistse.exe"
O4 - HKCU\..\Run: [Internat.exe] internat.exe
O4 - HKCU\..\Run: [IEXPLORE.EXE] IEXPLORE.EXE http://www.uu500.com
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - D:\Program Files\FlashGet\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - D:\Program Files\FlashGet\jc_all.htm
O9 - 浏览器额外的按钮: 金山卓越 - {8DE0FCD4-5EB5-11D3-AD25-00002100131B} - C:\WINNT\system32\KAV_IE~1.dll
O9 - 浏览器额外的按钮: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - 浏览器额外的“工具”菜单项: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - 浏览器额外的按钮: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\PROGRA~1\FlashGet\flashget.exe
O9 - 浏览器额外的“工具”菜单项: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\PROGRA~1\FlashGet\flashget.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://10.102.18.153/plugin/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A166E8D6-FCB1-4784-BD1C-4021F534B805}: NameServer = 192.168.1.2
O23 - NT 服务: Distributed File System Services (Distfsv) - Unknown owner - C:\WINNT\System32\Distfsv.exe
O23 - NT 服务: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - NT 服务: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - NT 服务: RavService - Unknown owner - D:\Rising\Rav\RavService.exe" /service (file missing)
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - D:\Rising\Rav\CCenter.exe
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - D:\RISING\RAV\Ravmond.exe

对了，还有IE主页无法更改。

【回复“豆腐芹菜”的帖子】



恢复被禁用的注册表编辑器：
打开记事本并复制下面的信息，记得最后一行留几行空余。保存为顾名思义的editreg.reg：
REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"disableRegistrytools"=dword:00000000
保存后运行它，当提示是否导入时按“确定”即可。



卸载博采：
1、打开任务管理器，终止bcup.exe进程；
2、“开始”，“运行”，输入regsvr32 -u %Systemroot%\system32\BoCaiToolBar.dll；
3、进入%systemroot%\system32目录，删除bcup.exe，bcsysnote.exe 和bocaitoolbar.dll文件；
4、打开注册表编辑器，删除以下两项后重新启动计算机：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\BCUpdate和HKEY_LOCAL_MACHINE\SOFTWARE\BlogChina。



清空IE临时文件，暂时关闭系统还原。重新启动至安全模式，关闭所有不必要的窗口，使用HijackThis扫描后修复（在需要修复的项目前面打对勾，然后按“Fix checked”或“修复”，修复前会询问您是否需要备份，请选择“Yes”或“是”）：
R3 - URLSearchHook: (no name) - {BB936323-19FA-4521-BA29-ECA6A121BC78} - (no file)
O4 - HKCU\..\Run: [IEXPLORE.EXE] IEXPLORE.EXE http://www.uu500.com
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://10.102.18.153/plugin/swflash.cab
O23 - NT 服务: Distributed File System Services (Distfsv) - Unknown owner - C:\WINNT\System32\Distfsv.exe
显示隐藏文件和系统文件，删除（如果存在的话）：
C:\WINNT\System32\Distfsv.exe
恢复文本文件关联。
待修复完成，如果问题依旧，请附上新的在安全模式下扫描的HijackThis扫描日志。
以上建议仅供参考，如果您认识其中的一些设置抑或是您的手动设置，就不必执行。

谢谢！
问题已经解决。