qhbpri.dll病毒清除

注册表的系统设置项“AppInit_DLLs”可以为任一个进程调用一个dll列表,早期的进程插入式木马的伎俩，通过修改注册表中的[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/CurrentVersion/Windows/AppInit_DLLs]来达到插入进程的目的。缺点是不实时，修改注册表后需要重新启动才能完成进程插入。

         HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Windows这里需要注意：AppInit_DLLs这个项目，正常情况下它的值应该是空的。这个项目表示每当一个程序启动的时候，AppInit_DLLs中的dll文件就会注入到该程序里面去启动。举个例子：如果AppInit_DLLs=qhbpri.dll，那么在登录windows后，系统加载了explorer.exe，那么qhbpri.dll也会出现在其中。dll文件虽然不能自己运行，但等他注入到应用程序中，其中代码还是会被执行，一些qq密码盗窃木马就是用上面的原理工作的。由于dll是寄生在exe中运行，在进程管理器中是看不到它的，所以360提示未知启动项AppInit_DLLs的时候需要注意到底什么文件添加到该项目下。

         针对当前360安全卫士提示未知启动项AppInit_DLLs，自启动项AppInit_DLLs - avzxamn.dll，表示C:/WINDOWS/system32/下面的avzxamn.dll将在下次启动时之后加载到进程中。即自启动项AppInit_DLLs - avzxamn.dll的文件路径为C:/WINDOWS/system32/avzxamn.dll。
字串9

 

解决办法：
               1.清理掉系统木马、病毒程序。（要借助360诊断报告分析，用360粉碎机，粉碎explorer进程中挂载的无版权信息的DLL文件，防止进行下面操作之后复发）。

               2.安全模式（防止木马重新写入注册表）下任务栏>>开始>>运行>>键入regedit>>到HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Windows>>在右边双击AppInit_DLLs，查看下数值数据里面到底加载什么文件，右键点击AppInit_DLLs选择修改，将数据清空之后确定（建议使用其他注册表编辑工具进行操作）。（删除dll开机加载到进程的注册表数据）

 

               3.然后搜索数值数据里面木马想要加载的dll文件，使用360安全卫士粉碎机删除即可。（彻底删除木马文件） 字串2

               4. 一些安全/正常的程序也可能提示未知AppInit_DLLs，例如：卡巴斯基。这就要看360安全卫士提示未知程序的路径，像卡巴斯基的允许就可以了。

字串7

         可以使用qhbpri专杀工具>>下载：http://bbs.360safe.com/viewthread.php?tid=265824&extra=page%3D1
如果专杀失效 请把诊断报告中 Explorer后加载的DLL文件帖上来。

字串4

下面是其它的一些建议。 字串3

samsinn :光解决AppInit_DLLs是不够的
QUOTE:

字串2

扫描的病机sreng日志如下
启动项目
[HKEY_LOCAL_MACHINE/Software/Microsoft/WindowsNT/CurrentVersion/Windows]
<AppInit_DLLs><ztipri.dll> []
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/ShellExecuteHooks]
<{2F12545B-1212-1314-5679-4512ACEF8902}><C:/WINDOWS/system32/wdbpri.dll>
<{26368135-64FA-BC34-DA32-DCF4FD431C92}><C:/WINDOWS/system32/qhbpri.dll>
<{91351752-5628-1547-FFAB-BADC13512AF9}><C:/WINDOWS/system32/ztipri.dll>
<{22311A42-AC1B-158F-FD32-5674345F23A2}><C:/WINDOWS/system32/dhbpri.dll>
<{5A65498A-7653-9801-1647-987114AB7F45}><C:/WINDOWS/system32/zxepri.dll>
<{613AF41A-21B1-131B-1BFC-D2A90DF4A2B6}><C:/WINDOWS/system32/xyepri.dll>
该类木马不仅修改AppInit_DLLs,而且还改了ShellExecuteHooks.一般都是U盘病毒传播 字串4

本想可以修改注册表权限,完全禁止病毒的创建

但是有些杀毒软件需要动注册表这两处(例如瑞星可能需要改ShellExecuteHooks)
所以没办法,只好先防U盘病毒吧
方法就是禁止自动播放功能了又发现O23 - 未知 - Service: pdwu [Windows pdwu RunThem] - C:/PROGRA~1/kyrp/uibz.dll

通过系统程序C:/WINDOWS/System32/svchost.exe以服务的方式加载映像模块
C:/PROGRA~1/kyrp目录里有很多dll文件,只要加载一个,其他dll也跟着注入进程
病毒创建的服务名和Programfiles里的文件夹都是用随机名的