两个流氓软件让电脑进入桌面后“罢工”半分钟

endurer 原创

2007-01-14 第1版

昨天一位网友重装了Win XP系统后不久，发现开机进入桌面后要等半分钟才能进行操作，不正常！让偶帮忙检查。

用 pe_xscan 扫描 log，发现如下可疑项：
/------------
pe_xscan by Purple Endurer
2007-1-13 10:44:5
Windows XP Service Pack 1(5.1.2600)
管理员用户组

O2 - BHO wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:/WINDOWS/System32/wmpdrm.dll

O2 - BHO BandIE Class - {77FEF28E-EB96-44FF-B511-3185DEA48697} - C:/PROGRA~1/baidu/bar/BaiduBar.dll

O3 - IE工具栏:  - {B580CF65-E151-49C3-B73F-70B13FCA8E86} - C:/PROGRA~1/baidu/bar/BaiduBar.dll

O4 - HKLM/../Run: [spoolsv] C:/WINDOWS/System32/spoolsv/spoolsv.exe -printer
------------/

原来有两个流氓软件在作怪：

文件说明符 : C:/WINDOWS/system32/spoolsv/spoolsv.exe
属性 : A---
语言 : 中文(中国)
文件版本 : 2, 0, 0, 3
说明 : 傲讯浏览器辅助工具
版权 : Copyright (C) 2006
备注 : 傲讯浏览器辅助工具
产品版本 : 2, 0, 0, 3
产品名称 : 傲讯浏览器辅助工具
公司名称 : 广州傲讯信息科技有限公司
合法商标 : 傲讯(TM)
内部名称 : spoolsv.exe
源文件名 : spoolsv.exe
创建时间 : 2006-10-8 16:15:26
修改时间 : 2006-10-8 16:15:26
访问时间 : 2007-1-13 0:0:0
大小 : 45056 字节 44.0 KB
MD5 : ca0e9f2948604660bd94d012d65d24a8

文件说明符 : C:/WINDOWS/system32/wmpdrm.dll
属性 : A---
语言 : 中文(中国)
文件版本 : 2, 2, 0, 2
说明 : 傲讯浏览器辅助工具
版权 : Copyright (C) 2006
备注 : 傲讯浏览器辅助工具
产品版本 : 2, 2, 0, 2
产品名称 : 傲讯浏览器辅助工具
公司名称 : Allsum Info. Tech. Ltd.
合法商标 : 傲讯(TM)
内部名称 : wmpdrm.dll
源文件名 : wmpdrm.dll
创建时间 : 2006-12-1 15:46:28
修改时间 : 2006-12-1 15:46:28
访问时间 : 2007-1-13 0:0:0
大小 : 172032 字节 168.0 KB
MD5 : 20e6b0e65c694d3765b2c8dedb9d0c6f

都是臭名昭注的了……

修复：

(以下操作可参考：【系统修复系列之】基本操作索引
http://endurer.bokee.com/2591241.html)

卸载百度搜霸

重启电脑到安全模式

用WinrAR 删除以下文件和文件夹：

C:/WINDOWS/System32/wmpdrm.dll
C:/WINDOWS/system32/1116
C:/WINDOWS/system32/bakcfs
C:/WINDOWS/system32/mscache
C:/WINDOWS/system32/msibm
C:/WINDOWS/system32/msicn
C:/WINDOWS/system32/spoolsv

用HijackThis扫描并修复上列pe_xscanlog中的可疑项目。

清空IE临时文件夹和c:/windows/prefetch文件夹