瑞星卡卡安全论坛

今天刚升级瑞星杀毒软件发现中了RootKit.Win32.Hooker.a病毒，无法彻底清除。请告知如何手动清除，谢谢！
病毒信息：文 件 名：hklbz.sys
                文件路径：C：\windows\system32\drivers\hklbz.sys
                病毒名称：RootKit.Win32.Hooker.a

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; InfoPath.1; TheWorld)

是回写类rookits病毒

请配合
严格按照步骤操作
1.扫日志前建议清理助手清理系统
http://www.arswp.com/download.html
升级清理助手，只清理高危险项目

如清理无效
2.扫日志前关闭无用进程，如QQ，迅雷及播放器程序

3.到官方下载SReng
下载地址
http://www.kztechs.com/sreng/download.html
SREng/智能扫描

等扫描完成,保存日志(LOG格式)

PS：如主程序SREng**.exe无法运行,导致无法扫描日志
将主程序改名为小狮子.bat

如还不能运行尝试该版本SRENG
http://bbs.ikaka.com/attachment.aspx?attachmentid=412527）
如2.6的能用，请勿使用2.4版本

4.为了最大程度减少对病毒的误判，和对病毒准确定位和判断，必须同时上传金山清理专家日志
下载金山清理专家

http://www.duba.net/qing/

金山清理专家-在线系统诊断（隐藏安全项）-导出诊断报告-（全选）-导出报告



5.2份日志/报告以附件上传（点击我回的贴的右下角的“引用”，然后就应该知道怎么以附件发了），贴到反病毒区.已发帖请跟贴，勿另开新帖。

如以上工具不能打开或正常运行，短消息call我

如果能找到这个文件就用冰刃之类的删了

师父
回写类的东东

要靠主动防御去抑制的:default3:

小弟愚昧，下了WINDOWS清理助手，清理后重新启动，用瑞星杀毒病毒还是存在啊。T_T

要日志
2份！
放到附件里！:default2:
和病毒完整路径！

两份日志以上传，请指示

附件: SREngLOG.log

附件: Report.txt

操作前强烈要求先断网
1.建议使用XDelBox删除以下文件：(Xdelbox1.7下载地址：http://www.qispace.com.cn/read.php/1.htm    的工具19或http://www.dodudou.com/down/index.php?dirpath=./01.原创软件&order=0）
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。
C:\WINDOWS\system32\drivers\hklbz.sys

SRENG-    启动项目 －－ 服务－－ 驱动程序之如下项删除：
(选中有问题的驱动/服务后，点"删除服务"，点"设置"按钮即可。注意弹出的窗口中要点"否NO"才是确认删除服务）

[hklb / hklbz][Running/Boot Start]
  <\SystemRoot\system32\drivers\hklbz.sys><N/A>

依照您的指示步骤执行了，勾选抑制再生 驱动安全模式（带勾）备份文件（带勾）然后导入了文件路径C:\WINDOWS\system32\drivers\hklbz.sys 然后在待删除文件列表里的路径上点右键选择 立刻重启执行删除 ，电脑无任何反应。怎么办啊:default11: 快要疯了~~~it's boring~~~~~~~

http://bbs.ikaka.com/showtopic-8442813.aspx
3楼里的工具

（解压后运行)
只要勾上抑制再生即可（必钩）

从设备管理非即插即用驱动程序里看看能不能卸载

勾选抑制再生 然后导入了文件路径C:\WINDOWS\system32\drivers\hklbz.sys 然后在待删除文件列表里的路径上点右键选择 立刻重启执行删除 ，电脑还是无任何反应。根本不重新启动T_T

我指3楼里除了XDELBOX

费尔，超级巡警的效果都不次于XD

我用费尔，添加了路径C:\WINDOWS\system32\drivers\hklbz.sys 然后选择 了 “清除，并抑制文件再次生成”选项 重启后 用瑞星查杀 病毒依然存在:default12:

我的方法试了么？我感觉既然是驱动windows就应该能卸载。

不行啊

晕
谁让你重启
让你删除文件
我教你用别的方法抑制病毒回写
前提！！
瑞星查杀到病毒，病毒文件被删除
法一：
用主动防御
参见
http://bbs.ikaka.com/showtopic-8407471.aspx

应用程序访问控制：
系统动作限制
去掉全部√

注册表和文件访问控制
添加对象
*
限制其对

C:\WINDOWS\system32\drivers\hklbz.sys
的创建及修改


法二：
C:\WINDOWS\system32\drivers\文件夹里新建名为hklbz.sys的文件夹

奇怪windows允许安装怎么不允许卸载？等别人想办法吧

我想问一下你卸载驱动后重启，再次查看设备管理那个地方还有那个驱动？

我依照18楼的方法试验了下，病毒已删除。可是又出现新病毒Trojan.Win32.Undef.qwd
文件名称：p8zNrZ.dll      完全路径：windows\system32\p8zNrZ.dll
病毒特征：启动计入界面弹出错误 提示:RUNDLL C:\WINDOWS\system32\p8zNrZ.dll 时出错拒绝访问。
请教您，我电脑为什么如此脆弱，可是我今天防火墙 和杀毒软件都是刚升级的，而且WINDOWS补丁也是今天刚打的，怎么还中毒啊？

这个
杀毒后遗症吧

进入注册表编辑器
查找
p8zNrZ.dll
删除结果

我想知道你卸载那个驱动后，到设备管理再次查看，那个驱动还在？

什么叫杀毒后遗症？有无解决办法？怎么做能把中都几率减到最小？

是只提示加载错误吧
？

没了，病毒删除了。谢谢，你的方法不繁琐且很有效

p8zNrZ.dll 是染毒的文件。病毒名称是：Trojan.Win32.Undef.qwd 。路径：windows\system32\p8zNrZ.dll  一重新启动界面弹出错误 提示:RUNDLL C:\WINDOWS\system32\p8zNrZ.dll 时出错拒绝访问。

21楼的方法试了没？

奇怪好多遇到好多怎样的情况XB不管用。。

如何进入注册表编辑器

那个直接删除就完了