今天看啥 热点：
电脑应该是中毒了，可是没杀毒软件，360网站一打开就自动关闭，没法下载，安全模式一进入就蓝屏，请高手求救！！！！
应该只能重做系统了……
您好：&&&&&&& 你好楼主 这个问题我电脑也出现过&&&&&&& 你开机做先系统&& 最好全格 &&&&&&& 大概就好使了&&&&&&&&希望对你有帮助& 。 请重新安操作系统.干脆重新装个系统好了建议重新安装系统就可以了
修复，不过很复杂的 ，比重装个系统麻烦多了 最近发现很多人出现了打不开shadu软件 反病 毒工具 甚至带有病 毒字样的窗口 今天就接到了这样的一个样本 先前 这是一个可以说结合了几乎所有病 毒的特征的病毒 除了感染文件之外 可以说是比熊猫有过之而无不及！ 病毒特征： 1.破坏安全模式 2.结束常见杀毒软件以及反病毒工具进程 3.监控窗口 4.关闭自动更新以及Windows安全中心 5.屏蔽显示隐藏文件 6.下载木马 7.IFEO映像劫持 8.GHOST文件引导破坏 9.各盘符均有引导启动关联文件，即便你重装系统盘也照样发作 分析报告 File: 1201AEC1.exe Size: 36435 bytes MD5: 23D80E8E5C2B7EB19E006E80C9BD4BFB SHA1: E6C652B424FA62AF6BE5 CRC32: 27CA1195 加壳方式：UPX 病毒运行后 在C:\Program Files\Common Files\Microsoft Shared\MSInfo\下面释放一个同样由8个数字和字母组成的组合的文件名的dll 和一个同名的dat 文件 我这里是C:\Program Files\Common Files\Microsoft Shared\MSInfo\41115BDD.dll 这个随机的数字应该与机器码有关 该dll插入Explorer进程 Timplatform以及ctfmon进程 删除C:\WINDOWS\system32\verclsid.exe 将其重命名为verclsid.exe.bak 释放41115BDD.exe（随机8位）和autorun.inf到除系统分区外的其他分区 注册表相关操作 删除 HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-0} HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-0} HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-0} HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-0} 破坏安全模式 修改 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue值 为0x HKU\S-1-5-21---0 \Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden为0x HKU\S-1-5-21---0 \Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\SuperHidden为0x 屏蔽显示隐藏文件 修改常见杀毒软件服务的start键值为0x 如HKLM\SYSTEM\ControlSet001\Services\RfwService\Start: 0x 修改HKLM\SYSTEM\CurrentControlSet\Services\wuauserv\Start 和HKLM\SYSTEM\CurrentControlSet\Services\wscsvc\start键值为0x 关闭自动更新 添加IFEO映像劫持项( 我的意见是用Autoruns删除映像劫持) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360Safe.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\adam.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AgentSvr.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AppSvc32.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\autoruns.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avgrssvc.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AvMonitor.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options&# HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\CCenter.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ccSvcHst.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FileDsty.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FTCleanerShell.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\HijackThis.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IceSword.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\iparmo.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Iparmor.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\isPwdSvc.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kabaload.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KaScrScn.SCR HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KASMain.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KASTask.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAV32.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVDX.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVPFW.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVSetup.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KAVStart.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KISLnchr.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KMailMon.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KMFilter.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFW32.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFW32X.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPFWSvc.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KRegEx.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options&# HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KsLoader.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVCenter.kxp HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvDetect.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvfwMcl.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP.kxp HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP_1.kxp HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvol.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvolself.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvReport.kxp HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVScan.kxp HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVSrvXP.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVStub.kxp HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvupload.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kvwsc.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvXP.kxp HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvXP_1.kxp HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatch.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatch9x.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatchX.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\loaddll.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MagicSet.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mcconsol.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmqczj.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmsk.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\NAVSetup.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32krn.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\nod32kui.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFW.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFWLiveUpdate.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QHSET.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ras.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rav.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMon.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavStub.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavTask.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RegClean.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwcfg.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RfwMain.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwProxy.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwsrv.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RsAgent.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rsaupd.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\runiep.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safelive.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\scan32.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\shcfg32.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SmartUp.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SREng.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\symlcsvc.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SysSafe.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojanDetector.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Trojanwall.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojDie.kxp HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UIHost.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxAgent.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxAttachment.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxCfg.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxFwHlp.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxPol.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UpLive.EXE.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WoptiClean.exe HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\zxsweep.exe 被劫持到C:\Program Files\Common Files\Microsoft Shared\MSInfo\下面的那个dat文件 下载dl1.exe到临时文件夹 首先下载看病毒是否需要更新 然后分别下载
到program files 文件夹 并把他们命名为ycnt1.exe~ycnt10.exe 具体每个文件的生成物就不一一列举了 不过值得一提的是ycnt9.exe这个木马 他生成C:\WINDOWS\system32\win1ogo.exe 并且该木马试图向局域网内所有用户的80端口每隔5000ms进行arp欺骗 插入&script language=javascript src=&&/script&代码 也就是局域网内所有用户在打开网页时都会被插入这段代码 所有木马文件植入完毕后 生成物如下 C:\WINDOWS\system32\drivers\npf.sys C:\WINDOWS\system32\Kvsc3.dll C:\WINDOWS\system32\msdebug.dll C:\WINDOWS\system32\nwiztlbu.exe C:\WINDOWS\system32\Packet.dll C:\WINDOWS\system32\RemoteDbg.dll C:\WINDOWS\system32\testdll.dll C:\WINDOWS\system32\WanPacket.dll C:\WINDOWS\system32\win1ogo.exe C:\WINDOWS\system32\windds32.dll C:\WINDOWS\system32\winpcap.exe C:\WINDOWS\system32\wpcap.dll C:\WINDOWS\system32\xpdhcp.dll C:\WINDOWS\Kvsc3.exe C:\WINDOWS\testexe.exe C:\Program Files\Common Files\cssrs.exe sreng日志反映如下（在处理一些东西后扫描的这里提前列出） [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] &testrun&&C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\testexe.exe& [] &Kvsc&&C:\WINDOWS\Kvsc3.exe& [] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] &{15BDBDD-115B-111BD1115BDD}&&C:\Program Files\Common Files\Microsoft Shared\MSINFO\41115BDD.dll& [] [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] &Userinit&&C:\WINDOWS\system32\userinit.exe,C:\Program Files\Common Files\cssrs.exe,& [N/A] [PID: 1400][C:\WINDOWS\Explorer.EXE] [Microsoft Corporation, 6.00. (xpsp_sp2_rtm.040803- 2158)] [C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\testdll.dll] [N/A, ] [C:\WINDOWS\system32\Kvsc3.dll] [N/A, ] 解决办法如下： 1.确定那个8位随机数的dll的名称 这里我们选用winrar确定那个dll的名称 方法是：打开winrar.exe 工具 查看 在上面的地址栏中 进入c:\program files\common files\microsoft shared\msinfo目录 我这台被感染的电脑的文件名为41115bdd.dll 2.使用强制删除工具删除那个dll文件 这里我们选用Xdelbox1.2这个软件 XDelBox1.2（Dos级别灭杀工具）： 1、dos级文件删除方式，打造病毒清除新模式 2、无须进入安全模式，即可删除所有病毒文件 3、支持一次重启批量删除多个文件 4、复制路径的删除添加方式更适用于网络求助(支持拖曳) 注意：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入。导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作，删除完成后会自动重启进入你安装的操作系统。操作前注意保存电脑中正在打开的文档。有关XDelBox的详细说明请看xdelbox1.2目录下help.chm 重起机器后 3.恢复被映像劫持的软件 这里我们使用autoruns这个软件 由于这个软件也被映像劫持了 所以我们随便把他改个名字 打开这个软件后 找到Image hijack (映像劫持） 删除除了Your Image File Name Here without a pathSymbolic Debugger for Windows 2000Microsoft Corporationc:\windows\system32\ntsd.exe 以外的所有项目 4.此时我们就可以打开sreng了 呵呵 打开sreng 系统修复 高级修复 点击修复安全模式 在弹出的对话框中点击是 5.恢复显示隐藏文件 把下面的 代码拷入记事本中然后另存为1.reg文件 Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL ] &RegPath&=&Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced& &Text&=&@shell32.dll,-30500& &Type&=&radio& &CheckedValue&=dword: &ValueName&=&Hidden& &DefaultValue&=dword: &HKeyRoot&=dword: &HelpID&=&shell.hlp#51105& 双击1.reg把这个注册表项导入 好了 此时病毒对于我们的所有限制已经解除了 6.清除其下载的木马了 重起机器 进入安全模式 双击我的电脑，工具，文件夹选项，查看，单击选取&显示隐藏文件或文件夹& 清除&隐藏受保护的操作系统文件 用WINRAR打开 然后查看以下路径，将发现的名字都删（里面是病毒下载下来的木马） C:\Documents and Settings\Administrator\Local Settings\Temp\testexe.exe C:\Documents and Settings\Administrator\Local Settings\Temp\testexe.dll C:\Documents and Settings\Administrator\Local Settings\Temp\dl1.exe C:\Program Files\Common Files\Microsoft Shared\MSInfo\41115BDD.dat（随机8位数字字母组合） C:\WINDOWS\Kvsc3.exe C:\WINDOWS\testexe.exe C:\WINDOWS\Help\41115BDD.chm（随机8位数字字母组合） C:\WINDOWS\system32\DirectX\DirectX.ini C:\WINDOWS\system32\drivers\npf.sys C:\WINDOWS\system32\Kvsc3.dll C:\WINDOWS\system32\msdebug.dll C:\WINDOWS\system32\nwiztlbu.exe C:\WINDOWS\system32\Packet.dll C:\WINDOWS\system32\RemoteDbg.dll C:\WINDOWS\system32\testdll.dll C:\WINDOWS\system32\WanPacket.dll C:\WINDOWS\system32\win1ogo.exe C:\WINDOWS\system32\windds32.dll C:\WINDOWS\system32\winpcap.exe C:\WINDOWS\system32\wpcap.dll C:\WINDOWS\system32\xpdhcp.dll C:\WINDOWS\41115BDD.hlp（随机8位数字字母组合） C:\WINDOWS\Kvsc3.exe C:\WINDOWS\testexe.exe C:\Program Files\Common Files\cssrs.exe C:\Program files\ycnt1.exe~ycnt10.exe(如果有的话） 最后别忘了 7.还是用winrar 删除各个分区下面的autorun.inf和 41115BDD.exe（随机8位数字字母组合） 一定不要双击 最好的方法是用winrar看 8.装杀毒软件 保护好你的电脑 到此为止，病毒已经完全清除。。。提问者评价谢谢我已经装系统了，但是还是谢谢你，至少学了些知识
如果你的电脑中了AUTO病毒也会造成这种现象，我的共享资料中的AutoGuarder2.rar、 AV终结者专杀.com、U盘防御_AutoRun病毒克星_2.3.rar和USBCleaner6.0.rar都是很好的杀这种病毒的软件，不过本人感觉还是AutoGuarder2.rar要好一些，它的功能比较全，不仅可以杀还可以免疫一些常见的病毒，希望能帮到你。 如果还不行的话只有重装系统了。重装后也是用上述软件查杀病毒，重新查杀一次，重启，安装磁谍机病毒免疫器（我共享资料中有）。这样一般能解决你说的问题，需要强调的是，在一键恢复或重新做了系统后，千万不要打开你的任何一个硬盘，否则会前功尽弃的。
相关搜索：
相关阅读：
相关频道：
电脑知识最近更新}