一个灰鸽子、一个很棒小秘书新变种、几个广告程序

endurer　原创
2006-04-19　第1版

一位网友反映，他的电脑每次开机瑞星都提示C:/Program Files/Internet Explorer/Iexplore.exe发现病毒。

在她发的HijackThis的log(完整log见：http://forum.ikaka.com/topic.asp?board=28&artid=7422438&page=35)中发现如下可疑的项目：

---

O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:/WINDOWS/system32/wmpdrm.dll (file missing)

O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:/Documents and Settings/All Users/Application Data/Microsoft/IEHelper/IEHelper_8925.dll

O2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:/Program Files/CoolWebsite/QuickLink.dll

O2 - BHO: BandIE Class - {77FEF28E-EB96-44FF-B511-3185DEA48697} - C:/PROGRA~1/baidu/bar/baidubar.dll

O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:/WINDOWS/system32/WinSC.dll

O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:/PROGRA~1/HBClient/tbhelper.dll

O2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:/WINDOWS/system32/obwbkya.dll

O4 - 启动项HKLM//Run: [host32] ; C:/WINDOWS/system32/host.exe
O4 - 启动项HKLM//Run: [RichMedia] C:/WINDOWS/system32/Rundll32.exe "C:/PROGRA~1/HBClient/tbhelper.dll",WaitWindows

O23 - NT 服务: IEXP - Unknown owner - C:/WINDOWS/cn.exe

O23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:/Program Files/Common Files/smartde/sde.exe

---

回复如下：

---

请先到

[必读]反浏览器劫持论坛说明及常用小软件下载
http://forum.ikaka.com/topic.asp?board=67&artid=5188931

下载CWShredder.exe



下面的操作方法请参考：
反浏览器劫持的一些常用操作
http://forum.ikaka.com/topic.asp?board=67&artid=6490491


开始--》设置--》控制面板--》添加删除程序--》卸载： 雅虎助手，百度超级搜霸，RichMedia

把瑞星升级到最新版本

重新启动到安全模式

如果使用了系统还原功能, 请先关闭此功能。

停止并禁用此服务：
IEXP
SDAgent Service (SDAgentService)


设置系统显示所有文件和文件夹，不隐藏已知文件类型扩展名

寻找如下文件:

C:/WINDOWS/cn.exe
C:/WINDOWS/system32/host.exe
C:/WINDOWS/system32/wmpdrm.dll
C:/WINDOWS/system32/WinSC.dll
C:/Documents and Settings/All Users/Application Data/Microsoft/IEHelper/IEHelper_8925.dll
C:/Program Files/CoolWebsite/QuickLink.dll

把找到的文件用压缩软件(如winrar, winzip)打包备份，再删除找到的文件。

待全部修复工作完成后，把压缩包作为email附件发到endurer@163.com,请在email中注明此贴的网址

删除文件夹：
C:/Program Files/CoolWebsite
C:/Program Files/Common Files/smartde

关闭所有IE窗口，运行CWShredder.exe让它修复(Fix)
相关教程：CoolWebSearch专杀——CoolWeb Shredder（CoolWeb粉碎机）简介
http://community.rising.com.cn/Forum/msg_read.asp?FmID=28&SubjectID=3926810&page=1


请关闭所有浏览器窗口和文件夹窗口，重新使用HijackThis扫描,在下列建议修复的项目前打上勾，然后点[修复](Fix)（如果你清楚某项是安全的，可以不处理）：

O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:/WINDOWS/system32/wmpdrm.dll (file missing)
O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:/Documents and Settings/All Users/Application Data/Microsoft/IEHelper/IEHelper_8925.dll

O2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:/Program Files/CoolWebsite/QuickLink.dll

O2 - BHO: BandIE Class - {77FEF28E-EB96-44FF-B511-3185DEA48697} - C:/PROGRA~1/baidu/bar/baidubar.dll

O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:/WINDOWS/system32/WinSC.dll

O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:/PROGRA~1/HBClient/tbhelper.dll

O2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:/WINDOWS/system32/obwbkya.dll

O4 - 启动项HKLM//Run: [host32] ; C:/WINDOWS/system32/host.exe
O4 - 启动项HKLM//Run: [RichMedia] C:/WINDOWS/system32/Rundll32.exe "C:/PROGRA~1/HBClient/tbhelper.dll",WaitWindows

O23 - NT 服务: IEXP - Unknown owner - C:/WINDOWS/cn.exe

O23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:/Program Files/Common Files/smartde/sde.exe


清空IE临时文件夹

用瑞星全面查杀病毒

---

host.exe
Kaspersky报为：not-a-virus:AdWare.Win32.Hengbang.k

cn.exe
Kaspersky报为：Backdoor.Win32.Hupigon.gen

QuickLink.dll
Kaspersky报为：not-a-virus:AdWare.Win32.AdHelper.ad

WinSC.dll
Kaspersky报为：not-a-virus:AdWare.Win32.NewWeb.c

IEHelper_8925.dll
Kaspersky报为：not-a-virus:AdWare.Win32.IEHlpr.d