[求助]紧急呼救！浏览器被劫持，网友们来处理一下！

6618 · 发表于 2005-7-4 16:55:56

第二次扫描的时候会列出，你上传的是第一扫描的，再描一次就会列出。另我上了你说的那个网站，我的电脑确实会多出一个BHO，但能修复，不会再重成，重启电脑再扫描也没再生成，我估计是我的电脑的系统较新，是WIN2003且打了SP1补丁的，而你的电脑可能系统没我的新，上这个网站后，除了BHO还有别的病毒文件。

xdg3669 · 发表于 2005-7-4 17:00:16

[这个贴子最后由xdg3669在 2005/07/04 05:09pm 第 1 次编辑]

我的系统是WINXP SP2已更新到6月30日，这个控件有什么作用:
如果是我下面的ActiveX对象我会删掉。
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409

[color=#DC143C]好象是什么合法性检测，是系统？

xdg3669 · 发表于 2005-7-4 17:03:11

下面引用由6618在 2005/07/04 04:55pm 发表的内容：
第二次扫描的时候会列出，你上传的是第一扫描的，再描一次就会列出。另我上了你说的那个网站，我的电脑确实会多出一个BHO，但能修复，不会再重成，重启电脑再扫描也没再生成，我估计是我的电脑的系统较新，是WIN ...

我 SCAN了几次也测出现！

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: BrowseHelper Class - {80BF4637-D65B-43F3-BB60-C5DD3D5FB7B9} - C:\Program Files\KV2005\KvShell_1.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O3 - IE工具栏增项: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O3 - IE工具栏增项: CyberArticle Express - {769A6A36-ED24-4376-BC7C-80225BF35698} - C:\Program Files\CyberArticle\CAExp.dll
O3 - IE工具栏增项: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - IE工具栏增项: BitCometBar - {3F1ABCDB-A875-46c1-8345-B72A4567E486} - C:\Program Files\BitComet\BitCometBar\BitCometBar0.1.dll
O3 - IE工具栏增项: 江民杀毒工具栏 - {B5A34A93-D538-43A7-8371-864CB6148D12} - C:\Program Files\KV2005\KvShell_1.dll
O4 - 启动项HKLM\\Run: [SKYNET Personal FireWall] C:\PROGRA~1\SkyNet\FireWall\pfw.exe
O4 - 启动项HKLM\\Run: [SoundMan] SOUNDMAN.EXE
O4 - 启动项HKLM\\Run: [KvMonXP] C:\Program Files\KV2005\KVMonXP.kxp /auto
O4 - 启动项HKLM\\Run: [WinPatrol] C:\WINDOWS\WinPatrol\winpatrol.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: AutoCAD 启动加速器.lnk = C:\Program Files\Common Files\Autodesk Shared\acstart16.exe
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - C:\Program Files\FlashGet\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - C:\Program Files\FlashGet\jc_all.htm
O8 - IE右键菜单中的新增项目: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - IE右键菜单中的新增项目: 添加到天极收藏夹 - C:\WINDOWS\system32\YeskyComponents\AddFavorite.htm
O10 - 未知的文件在 Winsock LSP: c:\windows\system32\kvwspxp.dll
O10 - 未知的文件在 Winsock LSP: c:\windows\system32\kvwspxp.dll
O10 - 未知的文件在 Winsock LSP: c:\windows\system32\kvwspxp.dll
O14 - IERESET.INF: START_PAGE_URL=http://mayi.01www.com/
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=36467&clcid=0x409
O17 - HKLM\System\CCS\Services\Tcpip\..\{F93EF27A-8DA0-4A03-8E45-38CE4AC3EB6F}: NameServer = 202.103.224.68 202.103.225.68
O23 - NT 服务: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Program Files\Common Files\Acronis\Schedule2\schedul2.exe
O23 - NT 服务: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
O23 - NT 服务: KVSrvXP - JiangMin New Tech Ltd. - C:\PROGRA~1\KV2005\KVSrvXP.exe
O23 - NT 服务: KVWSC - Jiangmin Co.Ltd - C:\Program Files\KV2005\kvwsc.exe
O23 - NT 服务: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - NT 服务: VMware Authorization Service (VMAuthdService) - VMware, Inc. - C:\Program Files\VMware\VMware Workstation\vmware-authd.exe
O23 - NT 服务: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - C:\WINDOWS\system32\vmnetdhcp.exe
O23 - NT 服务: VMware NAT Service - VMware, Inc. - C:\WINDOWS\system32\vmnat.exe

6618 · 发表于 2005-7-4 17:06:13

[UploadFile=2_1120467786.jpg]
多出的控件如上图，这是我第一次扫描的结果，我本来是用HijackThis1991来修复的，后用它恢复回去时却出错，把备份的文件复制到HijackThis1990下出可恢复回来，本来我是想删掉旧版的，看来还是先留着吧。

xdg3669 · 发表于 2005-7-4 17:13:46

[这个贴子最后由xdg3669在 2005/07/04 05:21pm 第 2 次编辑]

正是这个无名无姓的BHO，删后过段时间又会出现！

6618 · 发表于 2005-7-4 17:13:57

下面引用由xdg3669在 2005/07/04 05:00pm 发表的内容：
我的系统是WINXP SP2已更新到6月30日，这个控件有什么作用:

那么新的系统，还中招，那好像不关系统的事？我用的是“卖咖啡”企业版8.0I，它有“缓冲区溢出保护”的不知道江民2005有没有类似的保护
我也不知道有什么用，因为我不明白，所以我用HIJACKTHIS删掉，反正不行可以恢复回去。

6618 · 发表于 2005-7-4 17:19:30

下面引用由xdg3669在 2005/07/04 05:13pm 发表的内容：
正是这个无名无姓的BHO，删后过段时间又会出现！

可我修复后，再扫描就不会出现了，重启后也不会再出现，过段时间再出现？好的，我看看我的电脑过段时间会不会再出现。如果过段时间再出现，那肯定是治了标，没有治本。

xdg3669 · 发表于 2005-7-4 17:23:25

[这个贴子最后由xdg3669在 2005/07/04 05:26pm 第 1 次编辑]

下面引用由6618在 2005/07/04 05:19pm 发表的内容：
可我修复后，再扫描就不会出现了，重启后也不会再出现，过段时间再出现？好的，我看看我的电脑过段时间会不会再出现。如果过段时间再出现，那肯定是治了标，没有治本。

看来该把这个网站免疫掉了，介绍下有更好免疫方法吗？[color=#DC143C]简单免疫这个网站是没多大作用的，应该治本！

6618 · 发表于 2005-7-4 17:25:49

朋友，现在你的那台被劫持的电脑能上网了吗？
如果过段时间我的电脑会被出现像和你一样的情况的话，那肯定是治了标，没有治本。我会用DOS版的瑞星全面查杀C盘。
建议用瑞星DOS的较新版（到光盘启动旧区的下，不知是第二页还是第三页，总之自己找找。）全面查杀C盘。

xdg3669 · 发表于 2005-7-4 17:29:26

现在这台电脑正在上网，但到目前还没有出现！

xdg3669 · 发表于 2005-7-4 17:31:31

下面引用由6618在 2005/07/04 05:25pm 发表的内容：
朋友，现在你的那台被劫持的电脑能上网了吗？
如果过段时间我的电脑会被出现像和你一样的情况的话，那肯定是治了标，没有治本。我会用DOS版的瑞星全面查杀C盘。
建议用瑞星DOS的较新版（到光盘启动旧区的下，不　...

这个系统从没在DOS杀过，可能该杀！

xdg3669 · 发表于 2005-7-4 17:35:58

下面引用由6618在 2005/07/04 05:13pm 发表的内容：
那么新的系统，还中招，那好像不关系统的事？我用的是“卖咖啡”企业版8.0I，它有“缓冲区溢出保护”的不知道江民2005有没有类似的保护
我也不知道有什么用，因为我不明白，所以我用HIJACKTHIS删掉，反正不行可　...

唉！原来用卡巴的，很好用，只是后来反盗啦，临时改用江民！

6618 · 发表于 2005-7-4 17:46:56

下面引用由xdg3669在 2005/07/04 05:29pm 发表的内容：
现在这台电脑正在上网，但到目前还没有出现！

重启后再描扫没有那个BHO的话，我想应该是杀掉了。让时间去验证吧。

6618 · 发表于 2005-7-5 07:51:38

我的电脑到现在也没出现劫持的现象，杀掉了。

xdg3669 · 发表于 2005-7-5 18:02:17

我的到昨晚还出现一次！但扫描没有异常BHO，莫明其妙！只好在htost屏闭！

6618 · 发表于 2005-7-8 00:14:03

[这个贴子最后由6618在 2005/07/08 00:53am 第 2 次编辑]

今天晚上弹出一个“一个金山病毒警告框”我用HIJACKTHIS描了一下，又发现了那个BHO。
不知朋友之前你没有没弹出这个对话框？
朋友不防看看这一帖：
http://bbs.wwwfox.net/cgi-bin/topic.cgi?forum=8&topic=11423&show=0

xdg3669 · 发表于 2005-7-8 20:56:31

[这个贴子最后由xdg3669在 2005/07/09 08:39am 第 2 次编辑]

下面引用由6618在 2005/07/08 00:14am 发表的内容：
今天晚上弹出一个“一个金山病毒警告框”我用HIJACKTHIS描了一下，又发现了那个BHO。
不知朋友之前你没有没弹出这个对话框？
朋友不防看看这一帖：
http://bbs.wwwfox.net/cgi-bin/topic.cgi?forum=8&topic= ...

我的没有没弹出这个对话框？用HijackThis1991扫描又出现了BHO：
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)

经搜索也没有你哪的lockfileqy.dll和hmtoolbar.dll这两个文件！搜索注册表把有关{A5366673-E8CA-11D3-9CD9-0090271D075B}CLSID键值、数据删除后不久它又生回去！又找不到BHO DLL删除！
只是浏览网页时会不断重启IE窗口网址：http://www.5xt.net/v，不浏览网页不会！

:em30:————————————————————————————————————————
[glow=255,red,2]你的回复使我受益无尽！[/glow]

xdg3669 · 发表于 2005-7-12 10:01:53

[这个贴子最后由xdg3669在 2005/07/12 10:20am 第 4 次编辑]

我已找到根源所在！请参看：

http://forum.ikaka.com/topic.asp?board=67&artid=6689008

-------------------------------------------------------------------------------

你的指导使我终生受益！

6618 · 发表于 2005-7-12 17:08:56

好样的，终于把这个问题解决了，顶一贴。

		自动登录	找回密码
密码			注册

[求助]紧急呼救！浏览器被劫持，网友们来处理一下！