瑞星卡卡安全论坛

其实我一直用的是遨游，但是昨天突然机子中毒了，具体症状是：瑞星卡卡，杀毒，防火墙被关闭，打不开，任务管理器打不开，除了C盘其他盘都打不开（包括右键），进安全模式还是打不开，总是自动安装一个什么风行网络电视，卸载后它自己还会安装。
最后我下载了360软件，以上症状消除。找出AUTORUN和病毒若干，但IE的主页总是被修改成：www.6700.cn?tn=102780。我试了卡卡，能发现这个问题，但是修复不了，360，能发现，修复了没作用，超级兔子和优化大师根本不能发现这问题，按照网页上，修改注册表的主页却不能修改，总是www.6700.cn?tn=102780绑在IE上很难受，不知道我中的什么毒，杀干净了没有，还有这个www.6700.cn?tn=102780怎么给去掉。？？？

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon)

呵呵
驱动级病毒



解决问题需要配合

1.扫日志前建议清理助手清理系统
http://www.arswp.com/download.html
升级清理助手，全盘扫描，只清理高危险项目,其他项目请自己判断
同时观察清理助手是否报告系统文件被替换。

如清理无效
2.扫日志前关闭无用进程，如QQ，迅雷及播放器程序

3.到官方下载SReng
下载地址
http://www.kztechs.com/sreng/download.html
SREng/智能扫描
等扫描完成,保存日志(LOG格式)

PS：如主程序SREng**.exe无法运行,导致无法扫描日志
将主程序改名为小狮子.bat

4.为了对病毒准确定位和判断，找出替换文件的病毒，必须同时上传金山清理专家日志
下载金山清理专家
http://www.duba.net/qing/
金山清理专家-在线系统诊断（隐藏安全项）-导出诊断报告-（全选）-导出报告


5.2份日志/报告以附件上传（点击我回的贴的右下角的“引用”，然后就应该知道怎么以附件发了），贴到反病毒/反流氓软件论坛.已发帖请跟贴，勿另开新帖。

如以上工具不能打开或正常运行，短消息call我

提交日志文件SREngLOG.log
下载页面：http://www.kztechs.com/sreng/download.html
操作方法：
1、下载后解压缩，运行SREngPS.EXE；
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
4、选择保存路径，文件名保持默认，直接点击【保存】；
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；
6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序。

6700  我也中过··
是有个驱动守着···
还是 提交日志文件SREngLOG.log
然后看下是那个驱动··

试试将下面的红色字符代码复制到记事本中再保存后缀名为“inf”的文件名，比如保存为“设置.inf”(不包括引号文件名可随意取)再找到它击右键在选择菜单上选择“安装”即可（正确的保存时的方法是将那些红色代码复制到记事本中：然后先点击→记事本里“保存→保存类型”→的下拉菜单，然后选择→“所有文件”，→在文件名处输入比如“设置.inf”→在“保存类型”下面那项→“编码（E）”的下拉菜单里一定要选择“ANSI”项，然后再点击→“保存”就OK了）。
[version]
Signature=$CHICAGO$
[defaultinstall]
addreg=My.add.reg
[My.add.reg]

HKCR,Software\Microsoft\Internet Explorer\Main,"Start Page",0,"www.hao123.com"
HKCR,CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command,,,"""C:\Program Files\Internet Explorer\iexplore.exe""""www.hao123.com"""

附件: Report.txt

附件: SREngLOG.log

其中windows清理助手  查出8个高危和一个什么我给修复掉了。

注册表：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\enc98.EXE]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ua80.EXE]

驱动程序：
[00215061 / 00215061][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32\Drivers\00215061.sys><N/A>
[tvezf / tvezf][Running/Boot Start]
  <\SystemRoot\system32\drivers\tvezf.sys><N/A>

LS的什么意思，我知道enc98.EXE和ua80.EXE]不正常，如何删除和修复？
注册表直接删除？驱动呢？

驱动程序也是注册表的项目，为便于分类而独立……

我想请问具体的修复或者删除步骤该如何操作？

用什么软件进行什么步骤。。

用你扫描日志的那个工具即可，使用方法置顶帖有介绍。

如果以下文件存在，建议用强删工具一次性删除后再进行相关注册表项目的删除操作，否则可能由于病毒进程守护而导致注册表项操作失败：
C:\WINDOWS\system32\Drivers\00215061.sys
C:\WINDOWS\system32\drivers\tvezf.sys

置顶帖不是奖状，有空自己研究下吧。

谢了 我先试试

有C:\WINDOWS\system32\drivers\tvezf.sys

没上面那个，这个删不掉，说是正在使用。

还有用扫描日志的工具，那2个修改不了啊。只有路径，其他都是灰色的。

请认真看帖……
强删工具种类很多，置顶帖都有介绍和提供下载地址，自己找一下……

\tvezf.sys已经删除 
请帮助

先关闭IE，再拔掉网线，之后，右键瑞星杀软在系统托盘的小伞，选择“禁用所有监控”，完成后再进行IFEO项目的删除操作。

这可能是因为瑞星杀软对IFEO项进行保护所致。

那两个IFEO项目不需要你手动编辑，是直接劫持相关应用程序的，直接删除即可。

关闭猫，去网，禁用所有监控，删除后那2项依然挺拔在扫描项目里。

才发现  tvzef在使用冰刃强制删除后仍然存在。

汗，用瑞星的主动防御，观察是什么程序创建了这两个应用程序劫持项……:default2:

我前几天也不幸中了这个大奖啊！先是IE主页变成3292网址导航，无法更改。在网上找了一个办法在注册表上把3292.cn后的数字去掉就可以改变IE主页。但重启电脑后主页就变为http://www.6700.cn/?tn=102747，用了不少杀毒软件和清理软件都解决不了问题，今天看到这个贴子中的介绍就重新用Windows清理助手清理了一下，可能是Windows清理助手今天的升级中有清理隐藏驱动的功能，经过清理后我的IE主页就变为空白页了。多次重启电脑都没有出现http://www.6700.cn/?tn=102747页面。我打开注册表查找6700.cn，原来修改都说无效，现在可以进行修改了。谢谢2楼的建议，终于解决了我的苦恼。

如果您有空  请远程协助我。

我QQ34172750

我的机搞不了远程，你可以看看这个：http://bbs.ikaka.com/showtopic-8417665.aspx

请问我这属于病毒还是属于流氓软件？
用SCRENG删不掉，用别的手段可否删除呢？

MS这2项，开机就存在，安全模式也存在，好象是最底层启动时就有。。而且SCRENG也删不掉。

再扫描最新日志来看

这个完全可以删除的

只是操作要一气呵成

重新做系统了。