你的QQ中毒了吗?

writezy

       上次在理工的新生群里碰到一个小白,中了QQ病毒,自动发送一些诱惑性名称的网址和可执行文件.他说用了杀毒软件也不行,那我说面对着么强悍的病毒,只好用传说中最直接,最经济,最环保,最牛B,最显人强的杀毒方法----手工查杀!由于不同的网址有不同的删除方法,所以文章是长了点,不懂的也可学习学习:
" r9 ^/ S, x2 J6 _
     1.http://dvd.qq92.com删除方法
! ]7 L! i; j+ U6 ]% a$ E% J4 D     用任务管理器结束smss.exe（一个是系统进程无法结束，一个是病毒可以结束），结束可能存在的intrenat.exe winsym.exe winpass.exe。
　　然后删除以下文件：
　　%WINDIR%\intrenat.exe
: n9 S! R1 Y% W5 c+ T" n　　%WINDIR%\smss.exe
9 f1 T/ f9 m9 I7 P　　%System%\winsym.exe
　　%System%\winpass.exe
6 y3 A& J& Y4 T0 i5 ?" X* ]　　删除注册表中HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run: %WINDIR%\smss.exe
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices: %WINDIR%\smss.exe
. U9 z  E) k2 i2 E　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run: %WINDIR%\smss.exe
　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices: %WINDIR%\smss.exe
8 P: [7 f9 W& ?  k! U) M　　
, ^3 m- m5 q8 e, d, x" R5 V　　2.http://www.joyiex.com删除方法
　　先结束Explorer.exe进程，然后再把Explorer.exe运行起来。
. g  P* p' M' d* Q% B! i3 D　　
$ E! O7 N& [& M# X: o2 F9 y　　在注册表编辑器里修改HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL下Checkedvalue的值为1。　　
4 ], s  a% Z( o  G6 z/ p　　然后删除以下文件：
, H; P% s; E1 c* A' p# |# D4 p　　%Windows%\bak.exe
　　%System%\huangjiaju.exe（0字节）
3 m# C/ ?) I9 c% m/ a　　%System%\cc1.exe
　　%System%\cc2.exe
% ^" u7 [; n6 D" r　　%System%\cc3.exe
" B+ B6 e; \  j! u' R* Z　　%System%\whboy.exe
* ]* X# C8 \7 K1 F4 b0 T+ d, F/ M" Q　　%System%\whboy.txt
$ X& ~, m. Y% d- I- g% ~　　%System%\whboy***.txt（***为数字）
　　编辑SYSTEM.INI文件中Shell = Explorer.exe %System%\whboy.exe为Shell Explorer.exe（Windows 9x）；
( L: L1 R+ J7 s$ u6 C' v$ E! K& ~3 W　　在注册表编辑器中定位到“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”，编辑右边“Shell”的内容，将“Explorer.exe %System%\whboy.exe”修改为“Explorer.exe”（Windows NT/2000/XP/2003）。
　　一直有变化的主要是%System%目录下xx1.exe、xx2.exe和xx3.exe这三个文件，如遇变化与上述内容不同请误死搬硬套，稍做变通可自行解决
　　　　
6 ?' o" [. m& q2 s　　3.http://www.mydj2005.com删除方法
6 p% v6 j2 ^( \) i　　在安全模式下删除：
8 v* G% {8 `$ V/ R　　%System%\down1.exe
　　%System%\down2.exe
8 q& W6 N/ X' w& f3 a: Q- f　　%System%\huangjiaju.exe（0字节）
　　%System%\migpwda.exe
# J: _  _( ?# |2 [  r5 s% T# w1 N- K& B　　%System%\migpwdb.exe
　　%System%\migpwdc.exe（关联TXT）
　　删除病毒的启动项：
5 D5 V+ F- o+ b( t1 t# k7 ?. t- `/ F  h　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce
　　windows update = %System%\migpwda.exe/
　　
　　病毒把TXT文件关联修改为“%System%\migpwdc.exe %1”，你可以从注册表中修改或者使用工具（如REGFIX）进行修复。
! h. ]1 C# x1 T6 {1 d- Y( v　　编辑SYSTEM.INI文件中Shell = Explorer.exe %System%\migpwdb.exe为Shell = Explorer.exe（Windows 9x）
- _0 B/ A" k8 p　　在注册表编辑器中定位到“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”，编辑右边“Shell”的内容，将“Explorer.exe %System%\migpwdb.exe”修改为“Explorer.exe”（Windows NT/2000/XP/2003）。
　　
4 o4 {3 ?1 D6 U) U  [6 g　　　　
5 I# J* Z% u. F1 n2 `　　蠕虫病毒，通过QQ传播，依赖系统：WIN9X/NT/2000/XP.该病毒用Delphi语言编写，运行后把自己复制到系统＂system32＂目录下，病毒文件名为＂Explorer.exe＂，伪装成系统文件，修改注册表实现开机自启动。病毒会修改ini和txt文件的关联方式，用户打开这两种文件时会先运行病毒。
+ b/ C- a. j- k$ o　　病毒运行后会驻留内存，查找并结束防火墙和任务管理器，防止病毒被结束。查找QQ聊天窗口，自动发送消息，＂哈哈。来看看这个。用QQ昵称为自己速配情侣，看看和你配的叫什么http://***快看看＂，用户点击该网址后会中毒。病毒还会从网上下载新的病毒文件，发送的QQ消息内容会随之更改
8 D7 @3 k+ M1 u% |* D　　
7 k+ v* O- {* B* L& k  k　　删除方法
3 `" E3 p) F# J9 O; i8 B　　安全模式下删除%windows%/smss.exe文件
　　搜索注册表，所有smss相关的项一概删除
8 ?1 [0 i1 ]/ X　　再修改startpage（就是ie默认的首页）
+ R# h4 Z/ O0 ]: ~+ Q" B7 U+ m+ G　　
2 Y. ~9 J  y4 M" m1 p3 ^% e　　注：%System%文件夹默认为：
2 C- k& m/ k! P' X+ Z　　C:\Windows\System (Windows 95/98/Me),
　　C:\Winnt\System32 (Windows NT/2000),
: Z- g9 |* f$ ]/ _; [% V　　或 C:\Windows\System32 (Windows XP).
　　
% }: X! g3 j- S/ `8 \5 f' H　　4.http://wwwnet/rm.asp?.rm删除方法
4 b: e! `  n$ S3 b8 v. b, f3 [4 x　　删除病毒对注册表所作的更改
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run: member.exe
7 k7 V. |' [- b+ E8 h　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run: services.exe
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices: member.exe
& }# M5 k! o' X! l　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices: services.exe
　　HKEY_CLASSES_ROOT\CLSID\{9F352324－0FC5－41b4－99E2－E0757AFFFEF6}.
　　然后重新启动删除以下文件：
# V9 t) K  _3 }, t; c' h　　%WINDIR%\services.exe
　　%system%\browscue.dll
- L( q0 c7 E$ k2 A1 w* q' u4 H　　%system%\member.exe
　　%System%\winsocks.dll
  ]) n' v9 v! S　　还有桌面上和系统盘根目录下和%Documents and Settings%\“用户名”下可能生成的a1.exe , a2.exe , a3.exe
　　　
　　5.http://www.400.net删除方法
, [1 Q% Z! T3 y, ]+ R3 z) t　　先用任务管理器结束Explorer.exe进程，然后重新运行Explorer.exe，接着删除以下文件：
　　%Windows%\bak.exe
　　%System%\whboy.exe
　　[%System%\whboy.txt 和 %System%\whboy***.txt（***为数字）]——这两个文件如果有的话
　　编辑SYSTEM.INI文件中Shell = Explorer.exe %System%\whboy.exe为Shell = Explorer.exe（Windows 9x/Me）；
　　在注册表编辑器中定位到“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”，编辑右边“Shell”的内容，将“Explorer.exe %System%\whboy.exe”修改为“Explorer.exe”（Windows NT/2000/XP/2003）。——重点是那个txt文件，必须先结束Explorer.exe才能够删除它。
$ n5 `1 i* d3 D( e" d; h　　
$ }+ z3 d# H- |' r2 t) l7 z. [7 i& J　　6.http://www.joyiex.com删除方法
　　先用任务管理器结束Explorer.exe进程，接着删除以下文件（可以通过WinRAR的主程序删除文件）：
　　%System%\msapi.exe
　　%System%\msapi.dll
2 v( N* a5 F- H8 A0 S" j7 V' z* |! c　　此病毒已经禁用注册表编辑器，大家可以在网上搜索解锁办法或者使用注册表修复工具可以轻松解锁
, I: n% f" ?1 A& U　　
# W& e  P& {- R8 N　　其他的几个是武汉男生
　　安全模式下，先用任务管理器结束Explorer.exe进程，接着删除以下文件：
5 U5 y3 s( |, S　　%Windir%\bak.exe
( T; C, q! i- b9 B1 u　　%System%\whboy.exe
9 R0 A" c3 q9 H) s' R　　[%System%\whboy.txt 和 %System%\whboy***.txt（***为数字）]——这两个文件如果有的话
　　编辑SYSTEM.INI文件中Shell = Explorer.exe %System%\whboy.exe为Shell = Explorer.exe（Windows 9x/Me）；
　　在注册表编辑器中定位到“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”，编辑右边“Shell”的内容，将“Explorer.exe %System%\whboy.exe”修改为“Explorer.exe”（Windows NT/2000/XP/2003）。
　　！　
　 　
3 q  }8 W9 Z* y    7.http://www.QQ.5qt.net删除方法
5 F9 y# ~; E- m# p$ R　　在安全模式下删除：
: V5 i% m2 F, c: M+ R6 r　　%System%\logonuit.exe
4 B/ s8 h  T: I3 ~' a6 ~- L4 u　　%System%\mstinitt.exe（关联TXT文件）
　　%System%\windows.exe
, g8 i/ |; b& g　　删除病毒加在HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce下的启动项：windows update = %System%\logonuit.exe
　　编辑SYSTEM.INI文件中Shell = Explorer.exe %System%\windows.exe为Shell = Explorer.exe（Windows 9x）；
　　在注册表编辑器中定位到“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”，编辑右边“Shell”的内容，将“Explorer.exe %System%\windows.exe”修改为“Explorer.exe”（Windows NT/2000/XP/2003）。
　　还要恢复TXT关联。
: V6 d( C! J) u) F/ t+ X　　
　　8.http://photo..com/pic.asp?删除方法
. R/ @; V1 F: H0 p- S4 r　　到注册表编辑器里删除这些信息：
　　HKEY_CLASSES_ROOT\CLSID\{081FE200－A103－11D7－A46D－C770E4459F2F}
　　
　　[HKEY_LOCAL_MACHINE\Software\CLASSES\LNTERAPI64.classname]
　　
- y' F( z* m4 _7 W　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\ShellExecuteHooks下的{081FE200－A103－11D7－A46D－C770E4459F2F}
　　
8 n5 V# L  K( N' H% \# s8 Q' A　　HKEY_CLASSES_ROOT\CLSID\{9F352324－0FC5－41b4－99E2－E0757AFFFEF7}
　　
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\SharedTaskScheduler下的{9F352324－0FC5－41b4－99E2－E0757AFFFEF7}
　　　
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
　　(默认) = ＂winmem＂
　　＂services＂ = ＂%Windows%\services.exe
9 k3 A* _3 v+ f- c% A　　
+ u; i7 t, ?* O: K　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
　　＂services＂ = ＂%Windows%\services.exe＂\
　
　　重新启动计算机后删除以下文件：
　　%Windows%\services.exe
　　%Windows%\MlcrosoftSound.wav（MlcrosoftSound.wav的第二个字母是L）
& e+ b2 O/ D3 o; f: b, l　　%System%\bhjx.dll
　　%System%\lnterapi32.dll（lnterapi32.dll的第一个字母是L
( }' q1 A) q9 C- @4 H% u+ s　　%System%\lnterapi64.dll（lnterapi32.dll的第一个字母是L）
6 T/ O$ N: F$ g4 o+ {1 P* E　　%System%\SVCH0ST.EXE（SVCH0ST.EXE中的0是数字0，不是字母O）
3 N" C& l9 ?- E! J  p+ ]4 E　　%System%\winco.exe
- @5 l6 t1 }# \! u0 x　　%System%\winco1.exe
　　%System%\winco2.exe
　　%System%\winmem.exe
　　%System%\WinSocks.dll

    9.QQ自动发送一些诱惑性名称的可执行文件（图标是压缩文档的图标）
/ {( A& P( L/ p/ c0 ^( q　　打开任务管理器，结束掉RUNDLL32.EXE和TIMP1atform.exe（注意那是数字1）
　　然后让Windows显示隐藏文件，找到以下文件并且将其删除：`
6 S7 f& k* P7 k) M+ j* j　　%System%\?.exe
　　%System%\notepad?.exe
　　%Windir%\System\RUNDLL32.EXE
　　QQ目录中的TIMP1atform.exe（注意是数字1不是字母l，别删错了）
　　然后打开注册表编辑器删除：
" M4 ?) Y& U$ [' o6 J5 b  K　　HKEY_LOCAL_MACHINE\Software\Classes\MSipv和HKEY_CURRENT_USER\Software\Classes\MSipv下的MainSetup、MainUp、MainVer三项DWORD键值
5 x5 `' p- H' e　　最后通过注册表修复工具修复EXE和TXT文件关联，重新启动即可。
9 p* V! a1 g3 |

[此贴子已经被作者于2005-7-23 2:42:17编辑过]

7 w! L( J. Q! g6 T

writezy

<>HOHO........................</P><>发完闪人................</P><>.</P>

writezy

<>up</P><>someone want to see it</P>

守株待兔

<DIV class=quote><B>以下是引用<I>writezy</I>在2005-7-22 14:44:21的发言：</B>

9 X( ]% t" m/ B- U# q3 |. l* d<>up</P>
<>someone want to see it</P></DIV>
0 q$ @) P! i, [" [  s% g6 B0 p
! B8 P8 w8 J5 l; l. X' e  ]) @
& ?2 b4 X+ g; E6 m3 `$ ~1 }* a还真被你说中了

writezy

<DIV class=quote><B>以下是引用<I>守株待兔</I>在2005-7-22 15:26:17的发言：</B>

<>没看,我复制给别人了</P>
<>我估计那人看的头都大了</P>
& v; h7 h* ^; S' U+ v<>连谢谢都忘了说</P></DIV>
/ W) y( {8 y5 }3 C8 h* w
我找了老半天的,你要付钱哦...

守株待兔

<>好说,好说.</P>

writezy

你是谁啊?介绍下那.............

守株待兔

<DIV class=quote><B>以下是引用<I>守株待兔</I>在2005-7-22 15:28:52的发言：</B>
+ Q, \- f1 h$ S9 i+ t) P
4 R9 v- d% `* G$ ]7 m<>好说,好说.</P></DIV>

4 k* w  o. @* v, n- c0 U8 V- y4 y
偶是守株待兔

桃子还西瓜

偶以前中过,可惜那时你还米发~~偶只好系统重装了~~

writezy

噶好的帖,强烈要求置顶啊,不然浪费啊.................

守株待兔

<DIV class=quote><B>以下是引用<I>writezy</I>在2005-7-23 2:47:45的发言：</B>
9 T/ r' c4 ]+ \5 x噶好的帖,强烈要求置顶啊,不然浪费啊.................</DIV>
& O  c& N9 w& i5 \# M6 s' m
2 K5 k4 I+ T# T/ l
快沉了，偶来水上

桃子还西瓜

偶也水下~~

writezyII

守株待兔

<DIV class=quote><B>以下是引用<I>writezyII</I>在2005-7-23 15:51:21的发言：</B>
6 [' m1 t+ m& Y( Q" D+ ^</DIV>


3 X8 Q1 |: R3 W) s/ O这是楼主的马甲吗？

桃子还西瓜

那马甲的名字也太明显了么~~

亦涸

writezy

<DIV class=quote><B>以下是引用<I>桃子还西瓜</I>在2005-7-23 20:04:03的发言：</B>
那马甲的名字也太明显了么~~</DIV>

$ d: k- N% x" \7 }$ R0 ?9 E" T2 ^) k被你发现类，找打．．．．．．．．．．．．．．杀人灭口先

[此贴子已经被作者于2005-7-23 21:21:02编辑过]

亦涸

打不起还躲不起吗

守株待兔

<DIV class=quote><B>以下是引用<I>亦涸</I>在2005-7-23 22:55:07的发言：</B>
  N) R) z  m0 I+ r' k4 x打不起还躲不起吗</DIV>


, S; b7 m3 L, }! ^8 R0 I9494
; D# y3 Q3 w0 A8 T% n! ]

亦涸