endurer 原创
2006-04-19 第1版
一位网友反映,他的电脑每次开机瑞星都提示C:/Program Files/Internet Explorer/Iexplore.exe发现病毒。
在她发的HijackThis的log(完整log见:http://forum.ikaka.com/topic.asp?board=28&artid=7422438&page=35)中发现如下可疑的项目:
O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:/WINDOWS/system32/wmpdrm.dll (file missing)
O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:/Documents and Settings/All Users/Application Data/Microsoft/IEHelper/IEHelper_8925.dll
O2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:/Program Files/CoolWebsite/QuickLink.dll
O2 - BHO: BandIE Class - {77FEF28E-EB96-44FF-B511-3185DEA48697} - C:/PROGRA~1/baidu/bar/baidubar.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:/WINDOWS/system32/WinSC.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:/PROGRA~1/HBClient/tbhelper.dll
O2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:/WINDOWS/system32/obwbkya.dll
O4 - 启动项HKLM//Run: [host32] ; C:/WINDOWS/system32/host.exe
O4 - 启动项HKLM//Run: [RichMedia] C:/WINDOWS/system32/Rundll32.exe "C:/PROGRA~1/HBClient/tbhelper.dll",WaitWindows
O23 - NT 服务: IEXP - Unknown owner - C:/WINDOWS/cn.exe
O23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:/Program Files/Common Files/smartde/sde.exe
回复如下:
请先到
[必读]反浏览器劫持论坛说明及常用小软件下载
http://forum.ikaka.com/topic.asp?board=67&artid=5188931
下载CWShredder.exe
下面的操作方法请参考:
反浏览器劫持的一些常用操作
http://forum.ikaka.com/topic.asp?board=67&artid=6490491
开始--》设置--》控制面板--》添加删除程序--》卸载: 雅虎助手,百度超级搜霸,RichMedia
把瑞星升级到最新版本
重新启动到安全模式
如果使用了系统还原功能, 请先关闭此功能。
停止并禁用此服务:
IEXP
SDAgent Service (SDAgentService)
设置系统显示所有文件和文件夹,不隐藏已知文件类型扩展名
寻找如下文件:
C:/WINDOWS/cn.exe
C:/WINDOWS/system32/host.exe
C:/WINDOWS/system32/wmpdrm.dll
C:/WINDOWS/system32/WinSC.dll
C:/Documents and Settings/All Users/Application Data/Microsoft/IEHelper/IEHelper_8925.dll
C:/Program Files/CoolWebsite/QuickLink.dll
把找到的文件用压缩软件(如winrar, winzip)打包备份,再删除找到的文件。
待全部修复工作完成后,把压缩包作为email附件发到endurer@163.com,请在email中注明此贴的网址
删除文件夹:
C:/Program Files/CoolWebsite
C:/Program Files/Common Files/smartde
关闭所有IE窗口,运行CWShredder.exe让它修复(Fix)
相关教程:CoolWebSearch专杀——CoolWeb Shredder(CoolWeb粉碎机)简介
http://community.rising.com.cn/Forum/msg_read.asp?FmID=28&SubjectID=3926810&page=1
请关闭所有浏览器窗口和文件夹窗口,重新使用HijackThis扫描,在下列建议修复的项目前打上勾,然后点[修复](Fix)(如果你清楚某项是安全的,可以不处理):
O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:/WINDOWS/system32/wmpdrm.dll (file missing)
O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:/Documents and Settings/All Users/Application Data/Microsoft/IEHelper/IEHelper_8925.dll
O2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:/Program Files/CoolWebsite/QuickLink.dll
O2 - BHO: BandIE Class - {77FEF28E-EB96-44FF-B511-3185DEA48697} - C:/PROGRA~1/baidu/bar/baidubar.dll
O2 - BHO: NewWeb Controller - {9ACEEE30-143F-471A-AA45-72B061FE7D60} - C:/WINDOWS/system32/WinSC.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:/PROGRA~1/HBClient/tbhelper.dll
O2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:/WINDOWS/system32/obwbkya.dll
O4 - 启动项HKLM//Run: [host32] ; C:/WINDOWS/system32/host.exe
O4 - 启动项HKLM//Run: [RichMedia] C:/WINDOWS/system32/Rundll32.exe "C:/PROGRA~1/HBClient/tbhelper.dll",WaitWindows
O23 - NT 服务: IEXP - Unknown owner - C:/WINDOWS/cn.exe
O23 - NT 服务: SDAgent Service (SDAgentService) - 北京兴华基业软件技术有限公司 - C:/Program Files/Common Files/smartde/sde.exe
清空IE临时文件夹
用瑞星全面查杀病毒
host.exe
Kaspersky报为:not-a-virus:AdWare.Win32.Hengbang.k
cn.exe
Kaspersky报为:Backdoor.Win32.Hupigon.gen
QuickLink.dll
Kaspersky报为:not-a-virus:AdWare.Win32.AdHelper.ad
WinSC.dll
Kaspersky报为:not-a-virus:AdWare.Win32.NewWeb.c
IEHelper_8925.dll
Kaspersky报为:not-a-virus:AdWare.Win32.IEHlpr.d