“木马群”病毒专杀及修复工具（20080627更新带驱动版专杀） bbs.ikaka.com

lqqk7 - 2008-5-3 22:01:00

引用:

原帖由 jiarui 于 2008-5-3 15:46:00 发表
你好大版主:default7:

我按照你说的方法处理了一下我的电脑

现将扫描日志承上烦请阅示:default6:

先下载工具：
windows清理助手下载：http://www.arswp.com/download.html
XDelBox下载：http://www.dodudou.com/down/ 打开后选择【原创软件】，下载XDelBox1.7支持奥运版。
清理临时文件工具ATF-Cleaner-cn下载：http://www.qispace.com.cn/attachment.php?fid=34
———————————————————————————————————————
务必断开网络链接后再进行以下操作；
———————————————————————————————————————
使用XDelBox删除以下文件：
使用时一定拔掉所有移动存储设备，将下面分隔线中的的文件路径全部复制，然后打开XDelBox直接使用右键菜单的“剪贴板导入不检查路径”导入，勾选“抑制再生”、“驱动安全删除模式”、“备份文件”，最后选择右键菜单的“立刻重启删除”。
———————————————————————————————————————
c:\windows\system32\ttdxydxy1013.dll
c:\windows\system32\dqdlqdlq1007.dll
c:\windows\system32\ttkafkaf1072.dll
c:\windows\system32\dqwlvwlv1014.dll
c:\windows\system32\dqsadsad1042.dll
c:\windows\system32\dqhadhad1069.dll
c:\windows\system32\dqqacqac1044.dll
c:\windows\system32\dqmysmys1049.dll
c:\windows\system32\ypcqchlp.dll
c:\windows\system32\dqshyshy1053.dll
c:\windows\system32\ttcbdcbd1049.dll
c:\windows\system32\zptlbsys.dll
c:\windows\system32\oohxbbyt.dll
c:\windows\system32\yxcsbhlp.dll
c:\windows\system32\zycbbime.dll
c:\windows\system32\ypdjdbmp.dll
c:\windows\system32\zxptdjpg.dll
c:\windows\system32\ptjhchlp.dll
c:\windows\system32\yzztdmsn.dll
c:\windows\system32\ypcqbhlp.dll
c:\windows\system32\mpwdbapi.dll
c:\windows\system32\zxmsawin.dll
c:\windows\system32\dqwhxwhx1029.dll
c:\windows\system32\dqbaibai1067.dll
c:\windows\system32\dqdabdab1071.dll
c:\windows\system32\rpcadmin.dll
c:\windows\system32\drivers\vshh8me.sys
c:\windows\system32\drivers\bootdrv.sys
c:\docume~1\new\locals~1\temp\~wxp2ins.390.tmp
c:\windows\system32\drivers\aliide.sys
———————————————————————————————————————
重启计算机后会看到一个请选择要启动的操作系统的提示，倒计时5秒，
第一个选项是你自己的Windows系统，
第二个选项是XDelBox的Go XDelBox To Del Files，
默认自动选择第二项，会进入类似DOS的界面，这期间什么操作都不用做，等待它自动运行即可，
待病毒文件删除后会自动重启进入Windows系统，
然后再按以下步骤操作：
———————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【注册表】，将以下项删除：
[{491b5851-c453-4b6d-9b28-fb099ed84c7f}] <>
[{de6d095b-bda9-4c89-b810-046df5350d41}] <C:\WINDOWS\system32\ttDXYDXY1013.dll>
[{b855ec1a-a8f8-4f59-ab45-08de1dae1ae2}] <C:\WINDOWS\system32\dqDLQDLQ1007.dll>
[{77f7e039-7181-4a6d-b1bb-8c81f81e833a}] <C:\WINDOWS\system32\ttKAFKAF1072.dll>
[{67ba0720-e5a5-4b59-92cc-63faf4816f27}] <C:\WINDOWS\system32\dqWLVWLV1014.dll>
[{d70eb86c-312a-48d5-a89f-0c1f4b75cc72}] <C:\WINDOWS\system32\dqSADSAD1042.dll>
[{a5ce5479-6f05-4ba0-b657-eb31f75cc408}] <C:\WINDOWS\system32\dqHADHAD1069.dll>
[{c71a35d3-baa3-46e5-9f6e-d81bb893846a}] <C:\WINDOWS\system32\dqQACQAC1044.dll>
[{c5c2054b-fca9-4968-b457-baf9499a5beb}] <C:\WINDOWS\system32\dqMYSMYS1049.dll>
[{40AF1289-F140-A140-D012-C1458759FC04}] <C:\WINDOWS\system32\ypcqchlp.dll>
[{3f372ded-857d-4732-b207-3c1c21c959bb}] <C:\WINDOWS\system32\dqSHYSHY1053.dll>
[{ba2e3580-64db-4d59-85ad-7a6415485954}] <C:\WINDOWS\system32\ttCBDCBD1049.dll>
[{40940F85-F015-14F1-A05F-F69858AC6D04}] <C:\WINDOWS\system32\zptlbsys.dll>
[{3B1AEF69-DDAE-FDAD-DCAB-698F026ABDB3}] <C:\WINDOWS\system32\oohxbbyt.dll>
[{25671234-7890-ABCD-CDEF-567801237652}] <C:\WINDOWS\system32\yxcsbhlp.dll>
[{2A698102-5904-AFD0-20DF-CD1A65829CA2}] <C:\WINDOWS\system32\zycbbime.dll>
[{61954FAC-1023-154F-895A-1458258AD816}] <C:\WINDOWS\system32\ypdjdbmp.dll>
[{81698482-6555-3666-1222-954784129018}] <C:\WINDOWS\system32\zxptdjpg.dll>
[{328DF602-9541-A985-210A-984A698C6F23}] <C:\WINDOWS\system32\ptjhchlp.dll>
[{4490415F-65F8-B5C5-D8BA-9405FB120544}] <C:\WINDOWS\system32\yzztdmsn.dll>
[{30AF1289-F140-A140-D012-C1458759FC03}] <C:\WINDOWS\system32\ypcqbhlp.dll>
[{25694105-5108-9405-3695-954187462152}] <C:\WINDOWS\system32\mpwdbapi.dll>
[{4A041F13-A111-12A3-B0CF-F99818AA68A4}] <C:\WINDOWS\system32\zxmsawin.dll>
[{674bbd87-85d0-4144-849d-6c6d3b76cdec}] <dqWHXWHX1029.dll>
[{3c0a13c5-4df0-4430-9718-bf99ff81334a}] <C:\WINDOWS\system32\dqBAIBAI1067.dll>
[{86ba2ef4-3501-47cf-a71d-8759997a44d0}] <C:\WINDOWS\system32\dqDABDAB1071.dll>
———————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【服务】-【Win32服务应用程序】，将以下项删除：
[Remote Procedure Call (RPC) Administrative Service / 6to4] <C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\rpcadmin.dll>
———————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【服务】-【驱动程序】，将以下项删除：
[vshh8m / vshh8me] <System32\DRIVERS\vshh8me.sys>
[bootdrv / bootdrv] <\SystemRoot\System32\Drivers\bootdrv.sys>
[Atixeve2734 / Atixeve2734] <\??\C:\DOCUME~1\new\LOCALS~1\Temp\~wxp2ins.390.tmp>
[AliIde / AliIde] <\SystemRoot\System32\DRIVERS\aliide.sys>
———————————————————————————————————————
打开SREngPS.EXE，选择【系统修复】-【浏览器加载项】，将以下项删除：
[] <C:\WINDOWS\system32\zxptdjpg.dll>
[] <C:\WINDOWS\system32\ypdjdbmp.dll>
[] <C:\WINDOWS\system32\zxmsawin.dll>
[] <C:\WINDOWS\system32\yzztdmsn.dll>
[] <C:\WINDOWS\system32\ypcqchlp.dll>
[] <C:\WINDOWS\system32\zptlbsys.dll>
[] <C:\WINDOWS\system32\oohxbbyt.dll>
[] <C:\WINDOWS\system32\ptjhchlp.dll>
[] <C:\WINDOWS\system32\ypcqbhlp.dll>
[] <C:\WINDOWS\system32\zycbbime.dll>
[] <C:\WINDOWS\system32\mpwdbapi.dll>
[] <C:\WINDOWS\system32\yxcsbhlp.dll>
[] <C:\WINDOWS\system32\ypcqchlp.dll>
———————————————————————————————————————
使用刚下载的“清理临时文件工具ATF-Cleaner-cn”，全选所有项目，点击【立即清理】；
———————————————————————————————————————
使用刚下载的“Windows清理助手”清理你的系统。
———————————————————————————————————————

bounce黄 - 2008-5-3 23:46:00

我刚才试了下,瑞星又升级,全盘杀毒过了,劳烦再看下日志,谢谢~
另外请教:为什么没有检测到病毒呢?卡卡扫描出的垃圾文件如何处理呢?再次感激~

附件: SREngLOG.log

lqqk7 - 2008-5-4 11:05:00

引用:

原帖由 bounce黄 于 2008-5-3 23:46:00 发表
我刚才试了下,瑞星又升级,全盘杀毒过了,劳烦再看下日志,谢谢~
另外请教:为什么没有检测到病毒呢?卡卡扫描出的垃圾文件如何处理呢?再次感激~

百度工具条可以卸掉
没病毒当然查不到了
垃圾文件可以清除掉

巧目盼兮 - 2008-5-4 21:18:00

楼主帮忙看看

附件: SREngLOG.log

中分 - 2008-5-5 8:07:00

学习了。

lqqk7 - 2008-5-5 11:10:00

引用:

原帖由 巧目盼兮 于 2008-5-4 21:18:00 发表
楼主帮忙看看

4个系统文件已经被病毒替换过了，按下面的方法操作。
先下载工具：
windows清理助手下载：http://www.arswp.com/download.html
清理临时文件工具ATF-Cleaner-cn下载：http://www.qispace.com.cn/attachment.php?fid=34
SREng辅助修复程序：http://www.qispace.com.cn/attachment.php?fid=51
———————————————————————————————————————
使用刚下载的“SREng辅助修复程序”，分别运行：5.替换Explorer.exe；6.替换logonui.exe；7.替换Userinit.exe；8.替换 ctfmon.exe；
———————————————————————————————————————
使用刚下载的“清理临时文件工具ATF-Cleaner-cn”，全选所有项目，点击【立即清理】；
———————————————————————————————————————
使用刚下载的“Windows清理助手”清理你的系统。
———————————————————————————————————————

巧目盼兮 - 2008-5-5 17:26:00

:kaka15: 楼主,太崇拜你了,按你的方法我弄了一下,现在把弄了后再检查的结果发来你看看,麻烦你了

附件: SREngLOG.log

jiarui - 2008-5-6 8:48:00

你好大版主

我的老电脑又遇到新问题了

我用XDelBox1.7支持奥运版清理系统后不能进入windows

总是提示hal.dll文件丢失

但我不选择从XDelBox1.7而是选择xp进系统又能正常进入

请问这种情况如何处理

我下载了一个hal.dll 但手头上又没有xp安装光盘

请赐教

lqqk7 - 2008-5-6 11:09:00

引用:

原帖由 巧目盼兮 于 2008-5-5 17:26:00 发表
:kaka15: 楼主,太崇拜你了,按你的方法我弄了一下,现在把弄了后再检查的结果发来你看看,麻烦你了

还是不行，可能你的dllcache里面已经没有那些正常的系统文件了

下载附件，解压缩。

按“Ctrl+Alt+Del”键打开任务管理器，结束ctfmon.exe进程和explorer.exe进程，在任务管理器上点【文件】-【新建任务】-【浏览】，把压缩包中的explorer.exe复制到c:\windows下覆盖，将压缩包中的logonui.exe、ctfmon.exe、userinit.exe都复制到C:\WINDOWS\system32文件夹里覆盖。

附件: xpsp2系统文件.zip

lqqk7 - 2008-5-6 11:13:00

引用:

原帖由 jiarui 于 2008-5-6 8:48:00 发表
你好大版主

我的老电脑又遇到新问题了

我用XDelBox1.7支持奥运版清理系统后不能进入windows

总是提示hal.dll文件丢失
[/siz

“不选择从XDelBox1.7而是选择xp进系统又能正常进入”这句话没太明白
现在启动菜单里还有xdelbox的选项是吗？

巧目盼兮 - 2008-5-6 18:41:00

:kaka14: 偶像,再次按你的方法弄了一下,不知道如何了,我把检测结果发来你再看看,真是太麻烦你了

附件: SREngLOG.log

jiarui - 2008-5-6 20:13:00

是滴
现在启动菜单里还有xdelbox的选项
进不了xp之前好像就有点问题
用xdelbox清理完后显示A：\echo off（好像是这两个词记不太清楚了:kaka6: ）

然后就一直停留在这个状态重启了也没用

栾聪 - 2008-5-7 13:22:00

:default87: 我公司17台电脑全部中招，网关欺骗-ARP攻击..最后把网络断开，全部重做系统，但是今天5.7号病毒再次来临，希望大家看看找出解决方法。

lqqk7 - 2008-5-7 14:12:00

引用:

原帖由 巧目盼兮 于 2008-5-6 18:41:00 发表
:kaka14: 偶像,再次按你的方法弄了一下,不知道如何了,我把检测结果发来你再看看,真是太麻烦你了

貌似还是不对啊
你去看看这些文件的md5
c:\windows\ime\imjp8_1\imjpmig.exe
c:\windows\explorer.exe
c:\windows\system32\ctfmon.exe
c:\windows\system32\logonui.exe
c:\windows\system32\userinit.exe

附件是计算md5的工具

附件: HashCalc.rar

lqqk7 - 2008-5-7 14:13:00

引用:

原帖由 jiarui 于 2008-5-6 20:13:00 发表
是滴
现在启动菜单里还有xdelbox的选项
进不了xp之前好像就有点问题
用xdelbox清理完后显示A：\echo off（好像是这两个词记不太清楚了:kaka6: ）

然后就一直停留在这个状态重启了也没用[

c盘下面有一个boot.ini
再看看还有没有一个boot.ini.bak
都是隐藏文件

lqqk7 - 2008-5-7 14:15:00

引用:

原帖由栾聪于 2008-5-7 13:22:00 发表
:default87: 我公司17台电脑全部中招，网关欺骗-ARP攻击..最后把网络断开，全部重做系统，但是今天5.7号病毒再次来临，希望大家看看找出解决方法。

参考 http://bbs.ikaka.com/showtopic-8367063.aspx

巧目盼兮 - 2008-5-7 17:17:00

你去看看这些文件的md5
c:\windows\ime\imjp8_1\imjpmig.exe
c:\windows\explorer.exe
c:\win [/quote]
只是计算吗，我很菜:default2:

jiarui - 2008-5-7 20:16:00

boot.ini找到两个都在c盘下的ghost8文件夹下
boot.ini.bak这个文件没有

lqqk7 - 2008-5-7 21:16:00

引用:

原帖由 巧目盼兮 于 2008-5-7 17:17:00 发表
你去看看这些文件的md5
c:\windows\ime\imjp8_1\imjpmig.exe
c:\windows\explorer.exe
c:\win

只是计算吗，我很菜:default2: [/quote]

把你qq号通过论坛悄悄话发给我！

lqqk7 - 2008-5-7 21:17:00

引用:

原帖由 jiarui 于 2008-5-7 20:16:00 发表
boot.ini找到两个都在c盘下的ghost8文件夹下
boot.ini.bak这个文件没有

用记事本打开c:\boot.ini
看看里面的内容是什么？

zrz12 - 2008-5-8 11:05:00

我家里电脑也中了木马群，中了病毒后，瑞星和360就被自动关闭了，我在断网的情况下，用启动盘启动，用搜索的办法，把当时创建的新文件全部删除，在注册表里把启动栏也清理了，难后再重启系统，就可以正常运行瑞星和360，还是在断网的情况下把电脑杀了一遍后，自认为没有问题，可是一连接互联网，就出现自动拷贝木马到C盘，瑞星和360被强制关闭的现象。此是瑞星无法升级，网页也打不开，重复操作N遍都是这种情况。这是什么原因请楼主帮忙指点一下，不胜感激。

lqqk7 - 2008-5-8 11:26:00

引用:

原帖由 zrz12 于 2008-5-8 11:05:00 发表
我家里电脑也中了木马群，中了病毒后，瑞星和360就被自动关闭了，我在断网的情况下，用启动盘启动，用搜索的办法，把当时创建的新文件全部删除，在注册表里把启动栏也清理了，难后再重启系统，就可以正常运行瑞星和360，还是在断网的情况下把电脑杀了一遍后，自认为没有问题，可是一连接互联网，就出现自动拷贝木马到C盘，瑞星和360被强制关闭的现象。此是瑞星无法升级，网页也打不开，重复操作N遍都是这种情况。这是什

没处理干净或者重复感染

jiarui - 2008-5-8 13:28:00

bootini里的内容是
[boot loader]
timeout=1
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
C:\ = "DOS"

fsy3966 - 2008-5-8 15:39:00

按一楼的做法试了下，现在电脑已经正常了，谢版主了

fsy3966 - 2008-5-8 16:02:00

版主问下，YRJZT.exe是什么程序，这里面一直带着这个病毒Trojan.DL.Win32.Mnless.aaq，这个又是什么病毒，我一直查杀，可过了又有，它一出现，网就就无法打开！大版主指教下，我可是小白啊！

lqqk7 - 2008-5-8 20:59:00

引用:

原帖由 fsy3966 于 2008-5-8 16:02:00 发表
版主问下，YRJZT.exe是什么程序，这里面一直带着这个病毒Trojan.DL.Win32.Mnless.aaq，这个又是什么病毒，我一直查杀，可过了又有，它一出现，网就就无法打开！大版主指教下，我可是小白啊！

去扫描一份日志吧，如果总是出现的话可能不只这一个病毒！

lqqk7 - 2008-5-8 21:13:00

引用:

原帖由 jiarui 于 2008-5-8 13:28:00 发表
bootini里的内容是
[boot loader]
timeout=1
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Profession......

这个是C盘根目录下的boot.ini吗？如果是的话应该不会有xdelbox的选项了，倒是可能会有个DOS工具箱

jiarui - 2008-5-9 15:25:00

C盘根目录下没有boot.ini
该文件有两个都是在c盘的ghost文件夹下
启动时还有xdelbox的选项
选择该项后就会提示hal.dll文件损坏

lqqk7 - 2008-5-9 17:09:00

引用:

原帖由 jiarui 于 2008-5-9 15:25:00 发表
C盘根目录下没有boot.ini
该文件有两个都是在c盘的ghost文件夹下
启动时还有xdelbox的选项
选择该项后就会提示hal.dll文件损坏

照着图设置完了再去看看

jiarui - 2008-5-9 21:48:00

按照您的设置，小白找到以下内容，下一步如何操作呢？？衷心谢谢大版主！

[boot loader]
timeout=5
default=c:\grldr
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
c:\grldr="Go XDelBox To Del Files"

瑞星卡卡安全论坛