瑞星卡卡安全论坛

重新做系统Ｎ遍了！　只要一上ＱＱ　就会出来一个中奖广告，接着只要重新启动电脑　就无法进入ＷＩＮＤＯＷＳ界面！　我都重新做系统很多次了　筋疲力尽的．．．．．．．

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

附件: SREngLOG.log

请用解压工具WinRAR依路径打开其他盘所有包含.exe程序文件的文件夹,找文件夹内是否有大量的USP10.dll文件存在。以及QQ目录内是否有psapi.dll文件存在，如果有，就将文件尽量多的压缩发来，急需要文件样本。
如果找到类似文件，就压缩打包发至论坛

呵呵 楼主加油啊 他的好象和我一样啊    这是不是个木马群啊  我看这两天中这个病毒的人不少啊~~
  :default5:

先跪谢了朋友，真是麻烦您了！
我按先前的操作步骤http://bbs.ikaka.com/showtopic-8592615-2.aspx　操作了一下　问题如下：
　　１　在扫日志的SRENG工具》启动项目》注册表》里将<AppInit_DLLs>项目置空（就是选择“编辑”）这必须关闭杀毒软件的监控，否则改不了可能。
就是将 <AppInit_DLLs> 的“值”项编辑置空
你可以选择其中一个红色项，然后编辑时你可能看不到什么，只需要在值项里输入任意一个字母或数字即可
这个步骤有点问题　好象那个值很顽固　清除不了！
　　２　手工直接去IE浏览器的菜单里找“工具”项里选择“internet选项”点击“删除文件”勾选“删除脱机文件”再点“确定”清空IE缓存。
　我的ＩＥ里没有＂删除文件＂这一向
我下面把目前的情况发上来　在线等您的帮助！谢谢了

附件: SREngLOG.log

下载附件，解压到C盘，运行antivirus.exe，点开始处理，然后会自动重启，重启后再扫一个LOG（因为还需要做最后的处理）

附件: Antivirus.rar

建议使用XDelBox(下载地址：http://bbs.ikaka.com/attachment.aspx?attachmentid=446806）
删除以下文件：（使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择剪贴板导入.在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储设备


c:\docume~1\admini~1\locals~1\temp\1567434
c:\docume~1\admini~1\locals~1\temp\1468382
c:\docume~1\admini~1\locals~1\temp\1249675
c:\docume~1\admini~1\locals~1\temp\1139754
c:\windows\system32\abcmodce.dll
c:\windows\system32\acgphffk.dll
c:\windows\system32\eijomoco.dll
c:\windows\system32\fdlildni.dll
c:\windows\system32\hgcmkeea.dll
c:\windows\system32\hpamgiag.dll
c:\windows\system32\jadakmge.dll
c:\windows\system32\jgbfbmlk.dll
c:\windows\system32\jkonggld.dll
c:\windows\system32\kfhojkam.dll
c:\windows\system32\llpgifkd.dll
c:\windows\system32\mglfiedm.dll
c:\windows\system32\ncjphgha.dll
c:\docume~1\admini~1\locals~1\temp\wowinitcode.dat
c:\program files\internet explorer\powernent.onz
c:\windows\system32\anymie360.dll
c:\windows\fonts\comres.dll
c:\windows\fonts\ctm04004.ttf
c:\windows\fonts\ctm09003.ttf
c:\windows\fonts\ctm12004.ttf
c:\windows\system32\bggodpke.dll
c:\windows\system32\bhobpgpm.dll
c:\windows\system32\dpcjkigg.dll
c:\windows\system32\egblcejm.dll
c:\windows\system32\icbhljif.dll
c:\windows\system32\ipkcglln.dll
c:\windows\system32\mollblbi.dll
c:\windows\system32\mciocack.dll
c:\windows\system32\naekpage.dll
c:\windows\system32\omafifbj.dll
c:\windows\system32\padnmpih.dll
c:\windows\system32\plgkaopo.dll
c:\windows\fonts\ctm01025.ttf
c:\windows\fonts\ctmres.dll
c:\windows\fonts\ctm11008.ttf
c:\windows\system32\mhcgafbk.dll
c:\windows\system32\anymie360.exe
c:\windows\anymie360.exe

删除重启后使用SREng修复下面各项：

启动项目 －－ 注册表之如下项删除：

  <Alcmtr><anymie360.exe>  []
<{6A8D34D7-08D7-421F-AFF6-956A0BD6F0BF}><C:\Program Files\Internet Explorer\PowerNeNt.Onz>  []
    <{6855B5B2-6E75-46EB-BB25-33829A50ED07}><C:\WINDOWS\system32\mollblbi.dll>  []
    <{294C0557-65ED-49F6-A180-EF4F5B89B7FF}><C:\WINDOWS\system32\ipkcglln.dll>  []
    <{86AF2FB3-26F8-4186-9DA1-435ABAC0C0A0}><C:\WINDOWS\system32\omafifbj.dll>  []
    <{9AD76921-76D9-475C-8C1C-F84FC559E294}><C:\WINDOWS\system32\padnmpih.dll>  []
    <{7AE49A0E-CA35-4027-A5BD-CE7E36183498}><C:\WINDOWS\system32\naekpage.dll>  []
    <{D9C34200-A267-4827-97E1-7B3EE93120FB}><C:\WINDOWS\system32\dpcjkigg.dll>  []
    <{B18B9096-4CF2-42D0-9A02-DCE58359A82E}><C:\WINDOWS\system32\bhobpgpm.dll>  []
    <{2CB1532F-42BD-41E6-A429-90B159F82909}><C:\WINDOWS\system32\icbhljif.dll>  []
    <{9504A898-961B-4B6F-88F8-1C6C10D95D8E}><C:\WINDOWS\system32\plgkaopo.dll>  []
    <{B008D94E-1471-4577-8F1E-D6F65C4069A6}><C:\WINDOWS\system32\bggodpke.dll>  []
    <{E0B5CE36-AAF1-415B-A5D7-47FAC00D943E}><C:\WINDOWS\system32\egblcejm.dll>  []
    <{6C28CAC4-EC8C-4146-90AB-1859398B9232}><C:\WINDOWS\system32\mciocack.dll>  []
    <{61C0AFB4-F9D4-49A7-A4EF-55D272C45DF1}><C:\WINDOWS\system32\mhcgafbk.dll>  []
    <6855B5B2><C:\WINDOWS\system32\mollblbi.dll>  []
    <294C0557><C:\WINDOWS\system32\ipkcglln.dll>  []
    <86AF2FB3><C:\WINDOWS\system32\omafifbj.dll>  []
    <9AD76921><C:\WINDOWS\system32\padnmpih.dll>  []
    <7AE49A0E><C:\WINDOWS\system32\naekpage.dll>  []
    <D9C34200><C:\WINDOWS\system32\dpcjkigg.dll>  []
    <B18B9096><C:\WINDOWS\system32\bhobpgpm.dll>  []
    <2CB1532F><C:\WINDOWS\system32\icbhljif.dll>  []
    <9504A898><C:\WINDOWS\system32\plgkaopo.dll>  []
    <B008D94E><C:\WINDOWS\system32\bggodpke.dll>  []
    <E0B5CE36><C:\WINDOWS\system32\egblcejm.dll>  []
    <6C28CAC4><C:\WINDOWS\system32\mciocack.dll>  []


<AppInit_DLLs><C:\WINDOWS\fonts\CtmRes.dll C:\WINDOWS\fonts\ComRes.dll 编辑为<AppInit_DLLs><>

启动项目 －－ 服务－－ 驱动程序之如下项删除:
SREng-在"启动项目->服务－>驱动程序中"选中"隐藏已认证的微软项目"然后删除下面名称的驱动程序(选中有问题的驱动后，点"删除服务"，点“设置”按钮即可。注意弹出的窗口中要点 "否NO"才是确认删除服务）(不能删除的就禁用:启动类型改为disabled,点中修改启动类型，点设置):
[msiffei / msiffei][Stopped/]
[Safe Mon 360 / SafeMon0]
[io / io][Running/]



系统修复——浏览器加载项之如下项删除



[]
  {6A8D34D7-08D7-421F-AFF6-956A0BD6F0BF} <C:\Program Files\Internet Explorer\PowerNeNt.Onz, N/A>
[]
  {6A8D34D7-08D7-421F-AFF6-956A0BD6F0BF} <C:\Program Files\Internet Explorer\PowerNeNt.Onz, N/A>
    <61C0AFB4><C:\WINDOWS\system32\mhcgafbk.dll>  []

用下载的“清理临时文件工具ATF-Cleaner-cn”，全选所有项目，点击“立即清理”
下载：http://bbs.ikaka.com/attachment.aspx?attachmentid=447126
用W i n d o w s 清理助手 ，清理系统。
W i n d o w s 清理助手 下载：http://www.arswp.com/

xiexie le  wo de shurufa mei le !  an ni  de fangfa zuo le  xianzai wenti ruxia:

启动项目 －－ 服务－－ 驱动程序之如下项删除:
SREng-在"启动项目->服务－>驱动程序中"选中"隐藏已认证的微软项目"然后删除下面名称的驱动程序(选中有问题的驱动后，点"删除服务"，点“设置”按钮即可。注意弹出的窗口中要点 "否NO"才是确认删除服务）(不能删除的就禁用:启动类型改为disabled,点中修改启动类型，点设置):
[msiffei / msiffei][Stopped/]
[Safe Mon 360 / SafeMon0]
[io / io][Running/]

wo mei you zhao dao zhe xie qudong chengxu !


系统修复——浏览器加载项之如下项删除



[]
  {6A8D34D7-08D7-421F-AFF6-956A0BD6F0BF} <C:\Program Files\Internet Explorer\PowerNeNt.Onz, N/A>
[]
  {6A8D34D7-08D7-421F-AFF6-956A0BD6F0BF} <C:\Program Files\Internet Explorer\PowerNeNt.Onz, N/A>
    <61C0AFB4><C:\WINDOWS\system32\mhcgafbk.dll>  []

zhe liang ge ye mei zhao dao !

3  wo de shurufa bu jian le

4  kan kan xian zai de qingkuang

问题.jpg (29.30 K)

2009-1-31 17:44:10

附件: SREngLOG.log

重新按照5楼的操作做一下，5楼的附件需要重新下载，已更新附件

好了　按你是说的做了　再帮我看看　谢谢大家了　
我也快被折磨死了　浪费我三天时间了　我真是欲哭无泪　　痛苦死了！！

附件: SREngLOG.log

咋就那么人中这毒呢？

——————————————————————————————————————————
这里下载手工清理木马群工具包，并解压至C盘任意文件夹里。（全部工具内附操作说明）：
http://bbs.ikaka.com/attachment.aspx?attachmentid=480689
———————————————————————
下载usp10.dll扫描清理工具。
http://bbs.ikaka.com/attachment.aspx?attachmentid=481869

然后作好下面操作需要的所有准备，彻底断网处理。不断网无法解决问题。
———————————————————————
用工具包内的“XDELBOX删除文件工具”去删除病毒文件。工具包必须全部解压至C盘后应用。

如果XDELBOX工具操作中提示出错，不能操作，可以继续使用工具包内其他SmtDel工具、费尔工具、超级巡警、EasyDelete工具删除病毒文件。（全部内附操作说明图）

启动XDELBOX程序。复制粘贴下面文件操作删除：

C:\WINDOWS\System32\Drivers\msiffei.sys
C:\WINDOWS\system32\956EDF81.dat
C:\Program Files\Internet Explorer\PowerNeNt.Onz
C:\WINDOWS\system32\glendeen.dll
C:\WINDOWS\system32\pncnkkbf.dll
C:\WINDOWS\system32\babdeagk.dll
C:\WINDOWS\system32\anymie360.exe
C:\WINDOWS\anymie360.exe

重启电脑自动运行完毕进入系统后，不论删除结果如何立即继续下面操作。

运行usp10.dll扫描清理工具扫描电脑，并继续下面操作。
————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里将<AppInit_DLLs>项目置空（就是选择“编辑”）这必须关闭杀毒软件的监控，否则改不了可能。

就是将 <AppInit_DLLs> 的“值”项编辑置空

你可以选择其中一个红色项，然后编辑时你可能看不到什么，只需要在值项里输入任意一个字母或数字即可。
————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除：
启动项目
注册表
    <Alcmtr><anymie360.exe>  [N/A]
    <{A208A986-1B85-411B-A126-ABAB0BD6FBD2}><C:\WINDOWS\system32\aigoapom.dll>  [File is missing]
    <{D8982EA5-BBDD-49A2-B738-A4C9920E651E}><C:\WINDOWS\system32\dopoieal.dll>  [File is missing]
    <{CDD51CE0-8D86-431D-8F37-524758363F7B}><C:\WINDOWS\system32\cddlhceg.dll>  [File is missing]
    <{2B1F8701-0E3E-48D1-A9FC-F4E6A063F23C}><C:\WINDOWS\system32\ibhfongh.dll>  [File is missing]
    <{12F76718-BF71-4B81-AF1D-E64F03C126F1}><C:\WINDOWS\system32\hifnmnho.dll>  [File is missing]
    <{EB142542-4F59-4981-B123-A890CD6DCBEF}><C:\WINDOWS\system32\ebhkilki.dll>  [File is missing]
    <{18EFC1B7-640A-4B8F-AC00-0AD187960B99}><C:\WINDOWS\system32\hoefchbn.dll>  [File is missing]
    <{F8BDBC0A-EEA9-4F2B-84D3-99B5423C3B50}><C:\WINDOWS\system32\fobdbcga.dll>  [File is missing]
    <{58DF3872-17DC-42E9-9404-E24A1DE846C3}><C:\WINDOWS\system32\lodfjoni.dll>  [File is missing]
    <{6A8D34D7-08D7-421F-AFF6-956A0BD6F0BF}><C:\Program Files\Internet Explorer\PowerNeNt.Onz>  [File is missing]
    <{E787DCC8-D95B-4C3D-BABC-576B17BADE96}><C:\WINDOWS\system32\enondcco.dll>  [File is missing]
    <{BABDEA04-7EC9-4628-87AA-8F134964EAE3}><C:\WINDOWS\system32\babdeagk.dll>  []
    <{97C744BF-72F4-4119-82B9-A2BA5DE1DDC6}><C:\WINDOWS\system32\pncnkkbf.dll>  []
    <{05E7DEE7-B9AB-4B05-BB78-39519D870273}><C:\WINDOWS\system32\glendeen.dll>  []
    <61C0AFB4><C:\WINDOWS\system32\mhcgafbk.dll>  [File is missing]
    <A208A986><C:\WINDOWS\system32\aigoapom.dll>  [File is missing]
    <D8982EA5><C:\WINDOWS\system32\dopoieal.dll>  [File is missing]
    <CDD51CE0><C:\WINDOWS\system32\cddlhceg.dll>  [File is missing]
    <2B1F8701><C:\WINDOWS\system32\ibhfongh.dll>  [File is missing]
    <12F76718><C:\WINDOWS\system32\hifnmnho.dll>  [File is missing]
    <EB142542><C:\WINDOWS\system32\ebhkilki.dll>  [File is missing]
    <18EFC1B7><C:\WINDOWS\system32\hoefchbn.dll>  [File is missing]
    <F8BDBC0A><C:\WINDOWS\system32\fobdbcga.dll>  [File is missing]
    <58DF3872><C:\WINDOWS\system32\lodfjoni.dll>  [File is missing]
    <E787DCC8><C:\WINDOWS\system32\enondcco.dll>  [File is missing]
    <BABDEA04><C:\WINDOWS\system32\babdeagk.dll>  []
    <97C744BF><C:\WINDOWS\system32\pncnkkbf.dll>  []
    <05E7DEE7><C:\WINDOWS\system32\glendeen.dll>  []
————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》驱动程序》里面找下面项删除
==================================
驱动程序
[msiffei / msiffei][Stopped/Manual Start]
  <System32\Drivers\msiffei.sys><N/A>

[Safe Mon 360 / SafeMon0][Running/System Start]
  <\??\C:\WINDOWS\system32\956EDF81.dat><N/A>
—————————————————————————————
在扫日志的SRENG工具》系统修复》浏览器加载项》里面找下面删除
==================================
浏览器加载项
[]
  {6A8D34D7-08D7-421F-AFF6-956A0BD6F0BF} <C:\Program Files\Internet Explorer\PowerNeNt.Onz, N/A>
[]
  {6A8D34D7-08D7-421F-AFF6-956A0BD6F0BF} <C:\Program Files\Internet Explorer\PowerNeNt.Onz, N/A>
————————————————————————————————————
在扫日志的SRENG工具》系统修复》HOSTS文件》选择“重置”再“保存”

——————————————————————————————————————
手工直接去IE浏览器的菜单里找“工具”项里选择“internet选项”点击“删除文件”勾选“删除脱机文件”再点“确定”清空IE缓存。

用工具包内的“系统垃圾文件清理工具”清空能清空的垃圾文件，不能清空的不管它
————————————————————————————————————
当扫描usp10.dll扫描清理工具提示重启电脑时

再重启电脑，反复检查，操作的结果，

连网用W i n d o w s 清理助手 ，清理你那系统。
W i n d o w s 清理助手 下载：http://www.arswp.com/

杀毒软件升级至最新版本全盘杀。

记得打全系统漏洞补丁

http://bbs.ikaka.com/showtopic-8417665.aspx#3487007
从上面下载输入法并替换

打开ＳＲＥng,点启动项目－－＞＞＞＞＞注册表

双击HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><cddlhceg.dll,fobdbcga.dll,hoefchbn.dll,hifnmnho.dll,dopoieal.dll,lodfjoni.dll,ebhkilki.dll,ibhfongh.dll,aigoapom.dll,glendeen.dll,pncnkkbf.dll,babdeagk.dll,enondcco.dll>  [N/A]
把<AppInit_DLLs>后面的内容清空


在运行里输入regedit，打开[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]键值，删除


<{A208A986-1B85-411B-A126-ABAB0BD6FBD2}><C:\WINDOWS\system32\aigoapom.dll>  [File is missing]
    <{D8982EA5-BBDD-49A2-B738-A4C9920E651E}><C:\WINDOWS\system32\dopoieal.dll>  [File is missing]
    <{CDD51CE0-8D86-431D-8F37-524758363F7B}><C:\WINDOWS\system32\cddlhceg.dll>  [File is missing]
    <{2B1F8701-0E3E-48D1-A9FC-F4E6A063F23C}><C:\WINDOWS\system32\ibhfongh.dll>  [File is missing]
    <{12F76718-BF71-4B81-AF1D-E64F03C126F1}><C:\WINDOWS\system32\hifnmnho.dll>  [File is missing]
    <{EB142542-4F59-4981-B123-A890CD6DCBEF}><C:\WINDOWS\system32\ebhkilki.dll>  [File is missing]
    <{18EFC1B7-640A-4B8F-AC00-0AD187960B99}><C:\WINDOWS\system32\hoefchbn.dll>  [File is missing]
    <{F8BDBC0A-EEA9-4F2B-84D3-99B5423C3B50}><C:\WINDOWS\system32\fobdbcga.dll>  [File is missing]
    <{58DF3872-17DC-42E9-9404-E24A1DE846C3}><C:\WINDOWS\system32\lodfjoni.dll>  [File is missing]
    <{6A8D34D7-08D7-421F-AFF6-956A0BD6F0BF}><C:\Program Files\Internet Explorer\PowerNeNt.Onz>  [File is missing]
    <{E787DCC8-D95B-4C3D-BABC-576B17BADE96}><C:\WINDOWS\system32\enondcco.dll>  [File is missing]
    <{BABDEA04-7EC9-4628-87AA-8F134964EAE3}><C:\WINDOWS\system32\babdeagk.dll>  []
    <{97C744BF-72F4-4119-82B9-A2BA5DE1DDC6}><C:\WINDOWS\system32\pncnkkbf.dll>  []
    <{05E7DEE7-B9AB-4B05-BB78-39519D870273}><C:\WINDOWS\system32\glendeen.dll>  []

内容
找到[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
键值，删除


    <61C0AFB4><C:\WINDOWS\system32\mhcgafbk.dll>  [File is missing]
    <A208A986><C:\WINDOWS\system32\aigoapom.dll>  [File is missing]
    <D8982EA5><C:\WINDOWS\system32\dopoieal.dll>  [File is missing]
    <CDD51CE0><C:\WINDOWS\system32\cddlhceg.dll>  [File is missing]
    <2B1F8701><C:\WINDOWS\system32\ibhfongh.dll>  [File is missing]
    <12F76718><C:\WINDOWS\system32\hifnmnho.dll>  [File is missing]
    <EB142542><C:\WINDOWS\system32\ebhkilki.dll>  [File is missing]
    <18EFC1B7><C:\WINDOWS\system32\hoefchbn.dll>  [File is missing]
    <F8BDBC0A><C:\WINDOWS\system32\fobdbcga.dll>  [File is missing]
    <58DF3872><C:\WINDOWS\system32\lodfjoni.dll>  [File is missing]
    <E787DCC8><C:\WINDOWS\system32\enondcco.dll>  [File is missing]
    <BABDEA04><C:\WINDOWS\system32\babdeagk.dll>  []
    <97C744BF><C:\WINDOWS\system32\pncnkkbf.dll>  []
    <05E7DEE7><C:\WINDOWS\system32\glendeen.dll>  []
键值

下载xdelbox软件，地址---<<<<下载
打开网址后点击网上的原创软件项目

下载xdelbox，打开xdelbox

用右键点击中间部分，选择从剪帖板导入引用部分的内容




点键点击立即重新启动进行文件删除

重启后打开SREng
删除浏览器加载项中如下项目
［quote］{6A8D34D7-08D7-421F-AFF6-956A0BD6F0BF} <C:\Program Files\Internet Explorer\PowerNeNt.Onz, N/A>
Soft>
[FGCatchUrl]
  {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} <C:\Program Files\FlashGet\jccatch.dll, (Signed) www.flashget.com>
[]
  {6096E38F-5AC1-4391-8EC4-75DFA92FB32F} <, >
[]
  {6A8D34D7-08D7-421F-AFF6-956A0BD6F0BF} <C:\Program Files\Internet Explorer\PowerNeNt.Onz, N/A>

[/quote]

天月来了！　我按你说的办法做了！但是

在扫日志的SRENG工具》系统修复》浏览器加载项》里面找下面删除
==================================
浏览器加载项
[]
  {6A8D34D7-08D7-421F-AFF6-956A0BD6F0BF} <C:\Program Files\Internet Explorer\PowerNeNt.Onz, N/A>
[]
  {6A8D34D7-08D7-421F-AFF6-956A0BD6F0BF} <C:\Program Files\Internet Explorer\PowerNeNt.Onz, N/A>
　　
里面这两个项我没找到！其他都按你说的做了　　现在我不敢开ＱＱ　害怕一重新启动　又出现原来的状况

现在我把目前为止的ＬＯＧ发上来　麻烦你在帮我看看　谢谢了

附件: SREngLOG.log

天月不在吗？　我等你呢！

我真的要崩溃了！突然发现电脑瑞星和防火墙又打不开了！　
开始任务栏里所有程序无法显示调用！　
系统还显示虚拟内存太低　不会又要重来一便吧？？？？
死了算了！
下面是最新ＬＯＧ

附件: SREngLOG.log

已经持续三天了！　重新做系统７遍了　我真的要疯了

大家都帮助我一下　谢谢你们了！

就显示这样

还是没人帮我　我不敢关机

在线等中

楼主重装下瑞星试试吧..个人觉得重装了应该能行的..还有楼主是用扫日志的这台机上网的吗?不是话就先别连网...如果是的话那你的机子就没事了..