瑞星卡卡安全论坛

帅哥，晚上好！
我已按你的方法试了，结果不怎么样。
1、注册表中找不到[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System] ；
2、卡卡也不能起效用；
3、瑞星修复工具也是一样的。
现在任务管理还是不能执行。:default21:

是不是XP-SP2
是的话
传你一个taskmgr.exe

关于taskmgr.exe，在两个目录里都有，长度和我现在机子上的一样。我没替代，只是将我现在这台机子上的taskmgr.exe在那台机子执行，结果没执行得了，与原来效果一样。
先附上两个taskmgr.exe文件。在哪里附啊？

天月，附件是两个目录下的taskmgr.exe文件。费心了。:default3:

附件: t.rar

我试过用好的SP2上的taskmgr.exe在那台机子上执行，结果也不行。我已将原来的两个文件放在34楼了。:default8:

随后附上用最新的sreng2扫描的日记。:default6:

C:\WINDOWS\TEMP\~wxp2ins.343.tmp
C:\WINDOWS\TEMP\~wxp2ins.406.tmp
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp13.tmp
C:\WINDOWS\system32\d32dx9.sys
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpD.tmp
C:\WINDOWS\system32\drivers\msosmsp2p32.sys
找到这些可疑的进程。
注册表键值的位置应该是有的，这个键值是系统内容，肯定会存在的。
既然找不到，可以去下载瑞星的注册表修复工具来试试，有可能无法运行，可以将该工具的扩展名改为.com或者.scr就能执行了

RegClean.com已经试过了，提示注册表没有修改过，真是晕。
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\下只有一个子目录，即“explorer”，找不到system。:default3:

映像劫持引起

解决方法如下
附件去映像劫持

然后
操作前强烈要求先断网
1.建议使用XDelBox删除以下文件：(Xdelbox1.7下载地址：http://www.qispace.com.cn/read.php/1.htm    的工具19或http://www.dodudou.com/down/index.php?dirpath=./01.原创软件&order=0）
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\system32\mtewdh.dll
c:\windows\system32\wklsdd.dll
c:\windows\system32\mfdesy.dll
c:\windows\system32\zefdst.dll
c:\windows\system32\tdffdl.dll
c:\windows\system32\ddserh.dll
c:\windows\system32\rfdswc.dll
c:\windows\system32\cdwqfs.dll
c:\windows\system32\wrqszl.dll
c:\windows\system32\jfrwdh.dll
c:\windows\system32\sgdewg.dll
c:\windows\system32\hhrdxd.dll
c:\windows\system32\zgxfdx.dll
c:\windows\system32\fsrgeb.dll
c:\windows\system32\zgrjdx.dll
c:\windows\system32\cedafb.dll
c:\windows\system32\jggtsr.dll
c:\windows\system32\pedadt.dll
c:\windows\system32\tdggrz.dll
c:\windows\system32\jdsaex.dll
c:\windows\system32\fmcvxy.dll
c:\windows\system32\wyrsdj.dll
c:\windows\system32\tfsdmz.dll
c:\windows\system32\jhfrxz.dll
c:\windows\system32\jfdses.dll
c:\windows\system32\sjhrdh.dll
c:\windows\system32\mmmhxggd1068.dll
c:\windows\system32\wyhesm.dll
c:\windows\system32\mmkafnfw1104.dll
c:\windows\system32\mmcbdktk1086.dll
c:\windows\system32\mmbaikok1097.dll
c:\windows\system32\mmdxybqe1040.dll
c:\windows\system32\mmqacnar1066.dll
c:\windows\system32\mmhadpqg1100.dll
c:\windows\system32\mmmhxggd1070.dll
c:\windows\system32\mmkafnfw1110.dll
c:\windows\system32\mmbaikok1100.dll
c:\docume~1\admini~1\locals~1\temp\tmp13.tmp
c:\docume~1\admini~1\locals~1\temp\tmpd.tmp
c:\windows\system32\d32dx9.sys
c:\docume~1\admini~1\locals~1\temp\tmp13.tmp
c:\windows\temp\~wxp2ins.406.tmp
c:\windows\temp\~wxp2ins.343.tmp
c:\windows\system32\drivers\bdguard.sys

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[kcien32]    <kcien32.exe>
[{189F087F-4378-405F-85FA-37D955AD7A8C}]    <C:\WINDOWS\system32\mtewdh.dll>
[{E8A3B193-77E3-4FB3-986D-F4FA4828BAFC}]    <C:\WINDOWS\system32\wklsdd.dll>
[{DC3D30AE-0380-4151-8934-EE98A34B0370}]    <C:\WINDOWS\system32\mfdesy.dll>
[{28EB3777-3E23-4E72-8449-A992D09D24C3}]    <C:\WINDOWS\system32\zefdst.dll>
[{C0595A7E-2E2F-4B34-A83A-019270A0A464}]    <C:\WINDOWS\system32\tdffdl.dll>
[{A9895933-6636-4281-BC58-EE6DE2AF96E3}]    <C:\WINDOWS\system32\ddserh.dll>
[{461D2AB4-29A5-45C2-9134-D52272D3DE38}]    <C:\WINDOWS\system32\rfdswc.dll>
[{011DB9B9-44B4-44D9-B17E-BC7608F2E549}]    <C:\WINDOWS\system32\cdwqfs.dll>
[{F99DEFDD-200B-4410-B572-E90883D527D2}]    <C:\WINDOWS\system32\wrqszl.dll>
[{841529CB-7F77-4B99-A895-B5441E0D302F}]    <C:\WINDOWS\system32\jfrwdh.dll>
[{8C41B7F7-3168-400D-A702-0E7EFE0BA304}]    <C:\WINDOWS\system32\sgdewg.dll>
[{17DFD111-BF3A-4CB4-ADB0-88FCBFE69821}]    <C:\WINDOWS\system32\hhrdxd.dll>
[{6E6CA8A1-81BC-4707-A54C-F4903DD70BAD}]    <C:\WINDOWS\system32\zgxfdx.dll>
[{EA5D4B0E-B8CE-4761-8C7E-5D26369F0EC6}]    <C:\WINDOWS\system32\fsrgeb.dll>
[{45AADFAA-DD36-42AB-83AD-0521BBF58C24}]    <C:\WINDOWS\system32\zgrjdx.dll>
[{84143967-B645-4BFF-B873-DA1DC886E9A7}]    <C:\WINDOWS\system32\cedafb.dll>
[{CAED0F3B-DF8B-4DBF-BB20-8DFBC3199068}]    <C:\WINDOWS\system32\jggtsr.dll>
[{5E907A48-400E-4EA8-9792-FFAE052D59E9}]    <C:\WINDOWS\system32\pedadt.dll>
[{4D165A2A-4BC1-4CA8-8299-08E05AAAB5A4}]    <C:\WINDOWS\system32\tdggrz.dll>
[{B29583D8-033A-4B9F-8553-7C5458F3FB8E}]    <C:\WINDOWS\system32\jdsaex.dll>
[{73AE86E6-7F03-4C3B-8980-FB1DA157D3C7}]    <C:\WINDOWS\system32\fmcvxy.dll>
[{1E51C0FD-EE36-434B-AD2A-FD1FF3731C38}]    <C:\WINDOWS\system32\wyrsdj.dll>
[{875E07B1-0614-43D9-A76E-D76A28AB3D7B}]    <C:\WINDOWS\system32\tfsdmz.dll>
[{7914E0AA-ECCB-4311-B584-C49538227824}]    <C:\WINDOWS\system32\jhfrxz.dll>
[{81AF1CF6-D1C9-4C6A-AC01-EDE54E71945B}]    <C:\WINDOWS\system32\jfdses.dll>
[{031B7024-4FC5-49B3-98EF-6B810FF12678}]    <C:\WINDOWS\system32\sjhrdh.dll>
[{a64c05af-9563-4de9-886c-76c98ecd47b8}]    <C:\WINDOWS\system32\MMMHXGGD1068.dll>
[{EB71E0B3-E97D-4D30-8733-E28266467617}]    <C:\WINDOWS\system32\wyhesm.dll>
[{9dc25ba5-ad5f-4df5-bdf0-24a700ea804a}]    <C:\WINDOWS\system32\MMKAFNFW1104.dll>
[{9025283f-80cd-4971-aafb-40fca1e47850}]    <C:\WINDOWS\system32\MMCBDKTK1086.dll>
[{2aa09488-373f-460c-acf4-ce95a839a626}]    <C:\WINDOWS\system32\MMBAIKOK1097.dll>
[{fda33785-b3cd-4db6-8c07-8a39cda4a4e9}]    <C:\WINDOWS\system32\MMDXYBQE1040.dll>
[{425f569c-47ec-4435-8cd3-9b57a86a3d20}]    <C:\WINDOWS\system32\MMQACNAR1066.dll>
[{425f569c-47ec-4435-8cd3-9b57a86a3d20}]    <C:\WINDOWS\system32\MMQACNAR1066.dll>
[{1c0f1519-297a-4c5c-a27b-f2d43e8c6597}]    <C:\WINDOWS\system32\MMHADPQG1100.dll>
[{d9ee1f60-ff6a-4191-b164-ea3041b5a9a6}]    <C:\WINDOWS\system32\MMMHXGGD1070.dll>
[{9f226412-083f-4be9-999f-063331561a00}]    <C:\WINDOWS\system32\MMKAFNFW1110.dll>
[{4be9f7b8-7953-4626-b4b5-3195fb1cc404}]    <C:\WINDOWS\system32\MMBAIKOK1100.dll>

    启动项目 －－ 服务－－ 驱动程序之如下项删除：(选中有问题的驱动/服务后，点"删除服务"，点"设置"按钮即可。注意弹出的窗口中要点"否NO"才是确认删除服务）


[zctp / zctp]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp13.tmp>
[mnsf / mnsf]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpD.tmp>
[HiddFldy / HiddFldy]    <\??\C:\WINDOWS\system32\d32dx9.sys>
[drop / drop]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp13.tmp>
[Atixeve28531 / Atixeve28531]    <\??\C:\WINDOWS\TEMP\~wxp2ins.406.tmp>
[Atixeve22484 / Atixeve22484]    <\??\C:\WINDOWS\TEMP\~wxp2ins.343.tmp>
[BdGuard / BdGuard]    <\SystemRoot\system32\drivers\BDGuard.SYS>

附件: 机器狗&映像劫持修复工具.rar

我很菜，想确认一下过程。
1、用机器狗&映像劫持修复工具(卡卡上的也可以吧)；
2、用XDelBox(我已下载)删；
3、重启后使用SREng修复启动项目。
对吗？:default3:

:default69:

按步骤就行

卡卡？
操作复杂罢了

好的，明天汇报战斗结果。谢谢了！:default6:

昨晚已按步骤处理了，结果任务管理器可以正常运行了，谢谢了！
    处理过程中有三点疑问：
1、用XDelBox删除时，只删掉一项，即c:\windows\system32\drivers\bdguard.sys，其余没有；
2、用SReng删除时，有4项没有文件名，如“[{17DFD111-BF3A-4CB4-ADB0-88FCBFE69821}]    <C:\WINDOWS\system32\hhrdxd.dll”，只能看到[ ]中的内容，我也删了；
3、还是用SReng删除驱动项时有2项没找到，即[mnsf / mnsf]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpD.tmp>和[drop / drop]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp13.tmp>(我后来在新扫的日记中没有发现这两项)。
不知上述疑点是否有遗留影响。
衷心感谢！:default54:
真的很开心。:default6:

不知道
怕遗留的话
上传新日志看下

机子不在身边，晚上传上来。谢谢哦！:default6:

附件是处理后新扫的日记。

附件: SREngLOG6.log

新扫日记已附在47楼，请帮我看看。谢谢！:default6: