★我要吧★

标题: 手工查杀QQ病毒的方法 [打印本页]
作者: liu9812345    时间: 2009-7-28 19:23
标题: 手工查杀QQ病毒的方法
1.删除方法
. ^  [" h$ ^# w9 @　　在安全模式下删除以下文件：
  D8 `7 y! m' f4 v　　%Windows%\N0tepad.exe（关联TXT文件，金山影霸RM图标）/ ~/ a& U; ~; F' O' W; ~" P
　　%Windows%\System\N0tepad.exe（关联TXT文件，金山影霸RM图标）_
3 b- W8 F# Y# G$ B# ^' W* K% v　　%Windows%\System\taskmgr.exe（金山影霸RM图标）5 B! L3 u( s( a, O  @
　　%Windows%\System\win.dll, j  ~. s) n5 h* u' T
　　%Windows%\System\windll.dll
& p0 F$ C' P. p8 B　　%Windows%\System32\N0tepad.exe（关联TXT文件，金山影霸RM图标）
% `' ]2 o7 f. F" S' D; A　　注意：N0tepad.exe中的0是数字0，不是字母O。
: C5 ]6 h( V; u　　
. K, M4 ~2 Z# B4 H8 r　　去掉病毒的启动项信息：
$ C  S9 N) P+ j/ t% X2 {　　[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
; I9 @  y' @  P0 V+ T　　＂taskmgr＂=＂%Windows%\System\taskmgr.exe　& k9 g+ `" b6 t* l
　　最后还要恢复TXT文件关联。+ c- q$ U, A% N7 s& S/ U. I9 t
    软件下载址：资源共享　　/ n2 e3 X$ P8 I5 O* P% t$ k& T
　　+ S9 z; x+ K& Y) w/ y' L5 m; \
    2.删除方法
$ e' Z" }. D4 h. ~3 X　　用任务管理器结束smss.exe（一个是系统进程无法结束，一个是病毒可以结束），结束可能存在的intrenat.exe winsym.exe winpass.exe。/ G5 X4 _8 m$ ^8 g. F' K/ N1 J1 F
　　然后删除以下文件：+ F" e/ Z( k% s1 f  x4 O
　　%WINDIR%\intrenat.exe8 ^: J$ y: @! x8 k$ \
　　%WINDIR%\smss.exe
+ J- j3 u" L. {9 q. h　　%System%\winsym.exe
  t& v! d! ]7 y8 B  r! o* ^: e　　%System%\winpass.exe
9 L! U9 @: V% {) I2 U, j7 M' k# l　　删除注册表中HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run: %WINDIR%\smss.exe2 |1 v, y& X- m9 W' o
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices: %WINDIR%\smss.exe' b- {1 Z' O. H) ?. N$ Z2 E
　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run: %WINDIR%\smss.exe
) Z/ C& F1 F/ J# J/ i* @9 C% t　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices: %WINDIR%\smss.exe, @6 s4 ?% Q# j! Q) K* B, `
　　5 x; T( J, o9 a, L% g( P6 {! g5 c
　　3.删除方法1 y# k1 c5 X% \, c% W
　　先结束Explorer.exe进程，然后再把Explorer.exe运行起来。" E2 m9 w* k4 \& l5 t# Z5 S3 d( X
　　
7 k7 [0 |' X$ h+ k% V7 Q　　在注册表编辑器里修改HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL下Checkedvalue的值为1。　　. O/ @. p/ }- P, @: F
　　然后删除以下文件：2 y; l/ s( B3 e* p. O
　　%Windows%\bak.exe
9 b: T% |) h0 X$ H$ x6 r# {　　%System%\huangjiaju.exe（0字节）+ p  J3 m% G$ c8 m" \) M6 G
　　%System%\cc1.exe
* H" K" }) `# R5 L& c$ y1 _　　%System%\cc2.exe" F0 X4 W1 D# @% R$ ]7 T) i. \
　　%System%\cc3.exe
* J9 F6 A5 a- l7 ?5 O. l　　%System%\whboy.exe
9 r. `- N6 N5 U6 ]( s　　%System%\whboy.txt; ?9 M% b* W  w/ K# R! m4 J0 k. c
　　%System%\whboy***.txt（***为数字）0 v$ j# d; N5 J' c# R9 P  A
　　编辑SYSTEM.INI文件中Shell = Explorer.exe %System%\whboy.exe为Shell Explorer.exe（Windows 9x）；
- g. D9 q3 `$ Z8 a; L! [0 \* ?　　在注册表编辑器中定位到“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”，编辑右边“Shell”的内容，将“Explorer.exe %System%\whboy.exe”修改为“Explorer.exe”（Windows NT/2000/XP/2003）。
4 k2 m9 ?1 @/ O2 s　　一直有变化的主要是%System%目录下xx1.exe、xx2.exe和xx3.exe这三个文件，如遇变化与上述内容不同请误死搬硬套，稍做变通可自行解决2 G4 i! R2 ?) l) A3 g
　　　　3 d2 q' F1 \. O- g0 v+ W
　　4.删除方法6 o( U4 ?: ?/ g5 H
　　在安全模式下删除：
; X  k! m0 r, x$ L, a( X, P: t7 W! J' Y　　%System%\down1.exe% w0 Q8 [. \/ ~, l' R7 z5 v) [/ n
　　%System%\down2.exe8 _, L, U0 R6 {  o5 z2 N& a) t
　　%System%\huangjiaju.exe（0字节）. u* M2 A4 ?/ T: ?5 N
　　%System%\migpwda.exe
( m- G: n3 b0 \　　%System%\migpwdb.exe' t% a7 t- w2 c+ H+ w& J
　　%System%\migpwdc.exe（关联TXT）
; z* i& ^: G* |2 S9 ]5 {3 t# C　　删除病毒的启动项：
' \' e- j1 u2 ?# N　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce' \$ y& u( s( Z1 [+ i
　　windows update = %System%\migpwda.exe/
  x$ d- J2 Q1 z　　. k# D  J" ^8 V# M( G
　　病毒把TXT文件关联修改为“%System%\migpwdc.exe %1”，你可以从注册表中修改或者使用工具（如REGFIX）进行修复。
4 P. d' c# [" I; f1 Z( c　　编辑SYSTEM.INI文件中Shell = Explorer.exe %System%\migpwdb.exe为Shell = Explorer.exe（Windows 9x）
* u: }1 c. \. d) w5 H8 k　　在注册表编辑器中定位到“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”，编辑右边“Shell”的内容，将“Explorer.exe %System%\migpwdb.exe”修改为“Explorer.exe”（Windows NT/2000/XP/2003）。
0 w+ J. Z6 J6 H, p; R$ \) N# K, }　　 6 c- j+ `. @0 v
　　　　) m; h  B$ h8 ^% O+ s: i- Z
　　蠕虫病毒，通过QQ传播，依赖系统：WIN9X/NT/2000/XP.该病毒用Delphi语言编写，运行后把自己复制到系统＂system32＂目录下，病毒文件名为＂Explorer.exe＂，伪装成系统文件，修改注册表实现开机自启动。病毒会修改ini和txt文件的关联方式，用户打开这两种文件时会先运行病毒。
0 {" w6 {: G* R　　病毒运行后会驻留内存，查找并结束防火墙和任务管理器，防止病毒被结束。查找QQ聊天窗口，自动发送消息，＂哈哈。来看看这个。用QQ昵称为自己速配情侣，看看和你配的叫什么http://***快看看＂，用户点击该网址后会中毒。病毒还会从网上下载新的病毒文件，发送的QQ消息内容会随之更改
5 `6 R5 s0 [8 i* W/ m2 X) B　　
. R$ G) B7 h2 u# r' f* |' B0 `* Z　　删除方法
/ d  T$ a$ h: \- F  J0 |　　安全模式下删除%windows%/smss.exe文件 6 @& O' ?1 y9 B; ?: p) G5 L9 P7 J1 v$ t
　　搜索注册表，所有smss相关的项一概删除 1 X- V- H6 Q5 W; ]
　　再修改startpage（就是ie默认的首页）; z/ G- [5 F0 u& B: d1 m& t4 S
　　
6 W& [4 v9 m3 r2 k1 k' c　　注：%System%文件夹默认为：4 [5 ], F5 ~: f7 ?9 P' P% M
　　C:\Windows\System (Windows 95/98/Me), ; {! I0 h! ]1 D4 z* v
　　C:\Winnt\System32 (Windows NT/2000), ) q7 j% `7 w& x  k! @0 i
　　或 C:\Windows\System32 (Windows XP).
6 Z  A7 d9 G; |/ ?* P) ~' c8 e　　
/ P/ y) G( ]# G, F- W+ D" N' t2 u% I" s　　6.删除方法  g+ P5 X% l+ D3 X" z2 M
　　删除病毒对注册表所作的更改
1 g9 |$ }) y+ B0 K. O2 ~- S　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run: member.exe
# e6 w! n7 F6 O( C- y- i2 R& a　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run: services.exe* F, w( U/ T; V! F+ m, a# S
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices: member.exe ; l  u' m( Y# ?
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices: services.exe2 o6 F3 i8 i$ z) [! e
　　HKEY_CLASSES_ROOT\CLSID\{9F352324－0FC5－41b4－99E2－E0757AFFFEF6}.6 r+ ~0 X9 x7 C: ^; \  w+ l/ u
　　然后重新启动删除以下文件：4 H2 m$ j9 y" M) n
　　%WINDIR%\services.exe/ ?  D9 ~2 H! e. n+ z
　　%system%\browscue.dll
* U! A0 p3 ]) N, a8 c　　%system%\member.exe
' a  T9 p9 U, X3 g  T1 u: M　　%System%\winsocks.dll
% Z- A9 y* n. q2 E　　还有桌面上和系统盘根目录下和%Documents and Settings%\“用户名”下可能生成的a1.exe , a2.exe , a3.exe9 Z. I4 `; {. a% Z4 N/ d$ Q
　　　
0 c3 i) H, q0 }* _) Y5 T8 C( B　　7.删除方法1 x% j, d1 S2 [* R
　　先用任务管理器结束Explorer.exe进程，然后重新运行Explorer.exe，接着删除以下文件：
9 O0 f# R/ Z6 J. g" X6 n　　%Windows%\bak.exe
( A2 N8 y1 A4 M: o) c$ E; m6 m　　%System%\whboy.exe
' w' h+ N8 c' h( r' {8 Y　　[%System%\whboy.txt 和 %System%\whboy***.txt（***为数字）]——这两个文件如果有的话 # p) O1 }. m- u7 u$ U5 N9 u
　　编辑SYSTEM.INI文件中Shell = Explorer.exe %System%\whboy.exe为Shell = Explorer.exe（Windows 9x/Me）；0 u5 X# v- I. Y# _" m
　　在注册表编辑器中定位到“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”，编辑右边“Shell”的内容，将“Explorer.exe %System%\whboy.exe”修改为“Explorer.exe”（Windows NT/2000/XP/2003）。——重点是那个txt文件，必须先结束Explorer.exe才能够删除它。
, I  D3 ~# U' S* x9 `  C( Q　　$ ?! j* ?6 E& ]4 y- @' C# b
　　8.删除方法3 [1 V+ t" `  X  }3 K) [! G
　　先用任务管理器结束Explorer.exe进程，接着删除以下文件（可以通过WinRAR的主程序删除文件）：
+ u4 v1 ~7 o  Z) j: t% P　　%System%\msapi.exe# \( {9 Z' Y% T3 J/ Y# \1 Z8 a
　　%System%\msapi.dll
# Q7 f4 [0 E: {  f' b2 Z* a0 a　　此病毒已经禁用注册表编辑器，大家可以在网上搜索解锁办法或者使用注册表修复工具可以轻松解锁
, S/ \* O' P6 ?. o. X　　$ O, F" C% R! d
　　其他的几个是武汉男生/ s8 y3 S9 F$ S( i, |4 j  {/ P
　　安全模式下，先用任务管理器结束Explorer.exe进程，接着删除以下文件：' V! E& K3 j6 g) c0 v" v
　　%Windir%\bak.exe
  K7 ^: A0 O8 {2 h　　%System%\whboy.exe
* _$ _6 D- m& x% x　　[%System%\whboy.txt 和 %System%\whboy***.txt（***为数字）]——这两个文件如果有的话+ g$ g9 ]( [2 G; r1 I  @8 B6 U
　　编辑SYSTEM.INI文件中Shell = Explorer.exe %System%\whboy.exe为Shell = Explorer.exe（Windows 9x/Me）；
4 x/ Y* z; w. u- B2 A" W$ ?　　在注册表编辑器中定位到“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”，编辑右边“Shell”的内容，将“Explorer.exe %System%\whboy.exe”修改为“Explorer.exe”（Windows NT/2000/XP/2003）。
, ^9 {) P; Q* m0 W4 c- j- c0 p8 Z　　！　
  i4 o% _; H* h/ x$ \- I. V　　9.删除方法 9 o) [6 v( t9 x- @/ c
　　在安全模式下删除：
* w* r" j4 W4 y  C3 t; q　　%System%\logonuit.exe
9 G1 W) L; v+ E( F2 p0 `' V1 Y% G　　%System%\mstinitt.exe（关联TXT文件）
5 Q. B$ p3 i$ Q! J. `2 b4 }' x　　%System%\windows.exe$ w/ f' b/ D$ w: q9 }
　　删除病毒加在HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce下的启动项：windows update = %System%\logonuit.exe9 w0 a+ M: B2 u/ c: }3 q; k! i- a  E
　　编辑SYSTEM.INI文件中Shell = Explorer.exe %System%\windows.exe为Shell = Explorer.exe（Windows 9x）；
7 I3 u' _, K8 ?, A2 {. I　　在注册表编辑器中定位到“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”，编辑右边“Shell”的内容，将“Explorer.exe %System%\windows.exe”修改为“Explorer.exe”（Windows NT/2000/XP/2003）。
4 P" E, M% }1 u　　还要恢复TXT关联。
  O3 _3 K( G7 ~& e/ F" M4 }1 O' |　　+ C6 e$ b, v- \) R! R5 V/ F
　　10.删除方法
* i$ L2 A* O  F, f, \0 M) d　　到注册表编辑器里删除这些信息：
8 V' Z$ M2 j8 f+ W8 Y　　HKEY_CLASSES_ROOT\CLSID\{081FE200－A103－11D7－A46D－C770E4459F2F}- ~+ O5 |3 t5 s% S$ x, Z, x
　　. F, B! v! ~# O0 R
　　[HKEY_LOCAL_MACHINE\Software\CLASSES\LNTERAPI64.classname]
' f$ l- C  m, z' V4 i3 V/ x" w　　; H+ d, g1 p5 X2 s) ^: m
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\ShellExecuteHooks下的{081FE200－A103－11D7－A46D－C770E4459F2F}
, \+ }' u9 L) i: x- s. m　　8 g& L0 j  @; W  S& J
　　HKEY_CLASSES_ROOT\CLSID\{9F352324－0FC5－41b4－99E2－E0757AFFFEF7}
6 i8 I0 m9 h& H' ~7 o　　; y8 n  e9 W: {
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\SharedTaskScheduler下的{9F352324－0FC5－41b4－99E2－E0757AFFFEF7}
' t; ]: ?6 A3 C( `9 Z　　　6 K4 G9 j: w) g% x0 ~- N  x% g
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
. U6 p: }$ ^8 @  Z* g1 h　　(默认) = ＂winmem＂5 @8 t9 P9 i! A1 G& Y: V
　　＂services＂ = ＂%Windows%\services.exe
& P, q- A) R2 ^+ Y5 C3 z　　
  J& x5 t& v* u3 v4 {' O, z' r　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices" S" W. F- A. R7 g
　　＂services＂ = ＂%Windows%\services.exe＂\ 4 I4 a: X% |# Z" c7 u: ^% c9 H
　 2 M$ C) Z4 Y" m9 X' M& V
　　重新启动计算机后删除以下文件：
+ b3 y% B$ S0 _* q　　%Windows%\services.exe* x" v) s5 h5 T& q
　　%Windows%\MlcrosoftSound.wav（MlcrosoftSound.wav的第二个字母是L）9 f/ Q) v/ x. Y1 a- n% ~9 t
　　%System%\bhjx.dll3 K- W2 W. m: v  D2 }1 M
　　%System%\lnterapi32.dll（lnterapi32.dll的第一个字母是L4 j5 n0 k/ s! K  j. W- w) ~
　　%System%\lnterapi64.dll（lnterapi32.dll的第一个字母是L）
( T! L7 X7 }* Y+ U) @　　%System%\SVCH0ST.EXE（SVCH0ST.EXE中的0是数字0，不是字母O）
" A3 e( @# h! E- B1 R, X- T8 C% e+ o+ @　　%System%\winco.exe1 r# ~% |. G* g6 K/ ]
　　%System%\winco1.exe
8 T8 e6 ^; K0 [% _　　%System%\winco2.exe
4 K! \- ]  i9 w　　%System%\winmem.exe
) d5 L" k6 h' o" E5 _  s  N　　%System%\WinSocks.dll
5 V+ e( r# [: a2 n
: H6 G- b: X7 ^0 I# S8 Z11.QQ自动发送一些诱惑性名称的可执行文件（图标是压缩文档的图标）$ a8 h. J# B$ f4 D
　　打开任务管理器，结束掉RUNDLL32.EXE和TIMP1atform.exe（注意那是数字1）
5 z" O; T3 v7 q% I　　然后让Windows显示隐藏文件，找到以下文件并且将其删除：`
# r/ ?3 M  n$ S1 I7 r1 q　　%System%\.exe: N! }  V. R4 ]
　　%System%\notepad.exe" d- U; u& `% x) H" y, }$ d  V
　　%Windir%\System\RUNDLL32.EXE. J( c9 K9 C" _& c" b+ r1 W
　　QQ目录中的TIMP1atform.exe（注意是数字1不是字母l，别删错了）8 b) r7 ~- M5 n0 y
　　然后打开注册表编辑器删除：
9 d- O; h, R0 Q3 }9 x: `$ Z0 @! ^/ h　　HKEY_LOCAL_MACHINE\Software\Classes\MSipv和HKEY_CURRENT_USER\Software\Classes\MSipv下的MainSetup、MainUp、MainVer三项DWORD键值# ?4 N, V% @+ P0 c
　　最后通过注册表修复工具修复EXE和TXT文件关联，重新启动即可。
作者: hijk7474    时间: 2009-7-28 19:33
好东西大家一起分享～
作者: dell1992    时间: 2009-7-28 19:55
这样很麻烦呀
作者: lulovehui    时间: 2009-7-28 20:42
这么多啊！看完很不容易啊！
作者: so290118301    时间: 2009-7-29 11:35
谢谢了，我QQ就经常被盗
作者: dongdongdong199    时间: 2009-8-6 13:46
♡♡♡太麻烦了，但发个帖也不容易，顶你一下以资鼓励♡♡♡
作者: liuqian360    时间: 2009-8-6 18:43
顶一下
作者: q7526749    时间: 2009-8-6 23:14
顶顶顶顶
作者: winman182000    时间: 2009-8-7 00:30
看上去很复杂啊,我看不懂,看来要花点时间
作者: jcm    时间: 2009-8-9 19:45
呵呵 用不着吧
作者: 123007159    时间: 2009-8-10 03:00
真的很 厉害啊
作者: chenchaofan    时间: 2009-8-19 21:59
谢谢分享~   顶
作者: houzi014    时间: 2009-8-21 14:57
谢谢分享、学到了很多
作者: 茜缇春晓    时间: 2009-8-22 16:56
有点太麻烦了:D;:
作者: jinten    时间: 2009-8-22 17:04
貌似比较麻烦 学习学习了
作者: zls2    时间: 2009-8-22 17:23
太复杂了- -
作者: gogosky    时间: 2009-8-22 18:02
学习了~谢谢
作者: lydgqx    时间: 2009-8-22 22:10
好东西啊,顶起
作者: kdashh    时间: 2009-8-23 08:53
看上去很复杂啊,我看不懂,看来要花点时间  谢谢分享
作者: 日番谷    时间: 2009-8-23 09:09
看一下就很累了，不要说动手了，真的太麻烦了。。。
作者: 460463619    时间: 2009-8-26 11:03
我支持   太强大了
作者: adenolas    时间: 2009-9-15 12:16
精彩，好东西看看 先
作者: xiaosi    时间: 2009-10-1 12:01
顶一下，不错哦
作者: a2653003    时间: 2009-10-1 12:20
:o;:回帖乃美德
% ~2 ]1 f) z  C2 m) `7 K1 ^6 H( h% x- f" k# W
太长了，先会再看
作者: huay0411    时间: 2009-10-1 12:38
学习学习 好帖子:h,k,h,
作者: 哆嗦    时间: 2009-10-1 12:49
看看学习:'(
作者: mq2752639    时间: 2009-11-22 23:11
提示: 作者被禁止或删除 内容自动屏蔽
作者: qq1070135833    时间: 2009-11-25 19:08
路过  顶下  (*^__^*) 嘻嘻……
作者: lsd99    时间: 2009-11-25 21:19
哥们,俺找的就是你. 可惜太复杂了 . 看不懂
作者: 唯美生命    时间: 2010-3-15 09:26
路过看下，呵呵，好东西需要支持
作者: jingling253    时间: 2010-3-15 20:59
回帖好习惯
作者: johnnyjjdd    时间: 2010-8-18 09:16
这个有点难度啊
作者: qq1239779814    时间: 2013-12-1 15:49
学习了，感谢楼主。
作者: hope    时间: 2013-12-26 14:46
先看看再说
作者: 十二月的奇遇    时间: 2025-9-19 19:54
谢谢分享，看看能用上吗
作者: 无聊一天    时间: 2025-10-19 13:23
好复杂  没看懂



欢迎光临 ★我要吧★ (https://www.abc369.net/) Powered by Discuz! X3.4