电脑反应慢，不能浏览网页……检修~

女爷i 2024-02-25 04:44 29阅读 0赞

**endurer** 原创

2006-10-15 第**1**版

昨晚，一位同事说他的电脑反应慢，可以玩网游，但不能浏览网页……让我帮忙检查。

该电脑使用的是Win XP SP2，装有江民KV2006杀毒软件 和 Outpost防火墙。

进入桌面后系统反应确实慢，打开任务管理器，看到cpu使用率100%，检查进程列表，发现有名为RUNDLL.EXE和Update.exe的进程，终止它们，系统反应正常。

ping [www.163.com][]，正常，网络是通的。

想从网上下载软件分析系统，但无法浏览网页。

鉴于江民KV2006的不稳定性，网页监控有经常导致网页无法浏览的“传统”，于是把江民KV实时监控关了，还是不行。

到控制面板检查“添加删除程序”，发现了Desktop Media，MMSAssist（彩信）、webwork、雅虎助手等流氓软件。

由于Desktop Media会挂接Winsock LSP（在HijackThis的log中会报为O10项），杀毒软件如果杀了挂接的文件，但没有修复Winsock LSP，则无法网页（可参考：解决弹出窗口及AdWare.HBang（第5版），[http://endurer.bokee.com/4466883.html][http_endurer.bokee.com_4466883.html]）

尝试卸载Desktop Media，但没有成功……

想上QQ，请网友把所需软件传过来，但QQ登录也不成功……

重启电脑到带网络连接的安全模式，

打开命令提示符，输入并执行命令：ipconfig.exe /all > c:/net.txt，把当前网络配置信息保存到文件c:/net.txt中。

打开注册表编辑器，到

\[HKEY\_LOCAL\_MACHINE/SYSTEM/CurrentControlSet/Control/Network\]

先导出备份为network.reg，再删除两个与TCP/IP和当前网络连接有关的键。

到硬件管理器里卸载了网卡。

重新启动电脑，系统提示发现网卡，但找不到网卡驱动程序，没有显示任务栏和桌面图标，按 Ctrl+Alt+Del 打开任务管理器，用菜单：文件->新任务，找到刚才备份的network.reg，导入注册表，重启电脑。  
这次可以正常进入桌面，但网卡仍然因为没有找到驱动程序而未工作，打开先前保存网络配置信息的文件c:/net.txt，按里面的网卡类型手动选择驱动程序安装……OK！

终于可以浏览网页了！

到 [http://endurer.ys168.com][http_endurer.ys168.com] 下载 fix\_ie.bat，LSPFix.exe，HijackThis，IceSword，，瑞星杀毒助手 for Win 2000以上版本，下次启动时删除文件程序auto\_del。  
到 [http://purpleendurer.ys168.com][http_purpleendurer.ys168.com] 下载 文件批处理器 bat\_do。  
到瑞星网站下载瑞星注册表修复工具。

先运行瑞星注册表修复工具，未发现异常项目。

运行LSPFix.exe，未发现Desktop Media挂接LSP的项目。

运行 Hijackthis 扫描log，发现以下可疑项目：

/------------------  
Logfile of HijackThis v1.99.1  
Platform: Windows XP SP2 (WinNT 5.01.2600)  
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)  
Running processes:

C:/WINDOWS/SYSTEM32/RUNDLL.EXE

C:/Program Files/Common Files/update2/Update.exe

O2 - BHO: MyIEHelper Class - \{16B770A0-0E87-4278-B748-2460D64A8386\} - C:/Documents and Settings/All Users/Application Data/Microsoft/UserData/IEHelper\_5001.dll

O2 - BHO: raObject Class - \{46F194EB-B7DB-4B7A-BD42-5FF39FD17664\} - C:/PROGRA~1/pcast/hbcast.dll

O2 - BHO: Vision - \{6671A431-5C3D-463d-A7CF-5587F9B7E191\} - C:/PROGRA~1/MMSASS~1/mmsass~1.dll

O2 - BHO: (no name) - \{D83D38CF-77AE-4611-9EDE-72D910610236\} - C:/WINDOWS/system32/sys32version.dll

O4 - HKLM/../Run: \[NewRmtService \] C:/Program Files/NewRemoteControl/NewRmtService.exe

O4 - HKLM/../Run: \[Update\] C:/Program Files/Common Files/update2/Update.exe

O4 - HKLM/../Run: \[RichMedia\] C:/WINDOWS/system32/Rundll32.exe "C:/PROGRA~1/pcast/hbcast.dll",WaitWindows

O4 - HKCU/../Run: \[bgswitch\] C:/WINDOWS/system32/bgswitch.exe

O8 - Extra context menu item: >>彩信发送<< - res://C:/PROGRA~1/MMSASS~1/mmsass~1.dll/mms.htm

O20 - Winlogon Notify: skwinlogon - C:/WINDOWS/SYSTEM32/dll.dll

O21 - SSODL: webwork - \{4C611512-2C1D-44b2-A044-872AD2AD5A61\} - C:/WINDOWS/webwork/webwork.dll  
\-----------/

卸载：MMSAssist（彩信）、webwork、雅虎助手等流氓软件。

用WinRAR检查 c:/windows 和 c:/windows/system32，发现以下可疑文件：

/-----------------  
DLL.dll  
IE.exe（Kaspersky 报为 **Trojan-Spy.Win32.Agent.ct**，[http://www.viruslist.com/en/find?words=Trojan-Spy.Win32.Agent.ct][http_www.viruslist.com_en_find_words_Trojan-Spy.Win32.Agent.ct]）  
rundll.exe  
rundll32.exe（图标是张白纸）  
sys32version.dll（Kaspersky 报为 **Trojan-Clicker.Win32.BHO.f**，[http://www.viruslist.com/en/find?words=Trojan-Clicker.Win32.BHO.f][http_www.viruslist.com_en_find_words_Trojan-Clicker.Win32.BHO.f]；瑞星 报为 **Trojan.DL.Agent.xec**）  
cnt.exe（Kaspersky 报为 **Trojan-Clicker.Win32.BHO.f**）  
update21.exe  
update31.exe  
update41.exe  
……（都是update?1.exe，略了）  
update111.exe  
usercrd.dll（Kaspersky 报为 **not-a-virus:AdWare.Win32.Ncast.d**，[http://www.viruslist.com/en/find?words=not-a-virus:AdWare.Win32.Ncast.d][http_www.viruslist.com_en_find_words_not-a-virus_AdWare.Win32.Ncast.d]）  
\------------------/

都拖到bat\_do程序窗口中，在文件列表中都钩上  
把“用RAR压缩”钩上，输入解压密码，设置压缩文件存放的位置为d:/virus  
把“设置属性”钩上  
把“改名”钩上  
点击\[生成命令\]按钮和\[执行命令\]按钮

运行瑞星杀毒助手，使用瑞星在线免费扫描c:/windows，发现c:/windows/system32/sys32version.dll为 **Trojan.DL.Agent.xec**  
使用瑞星在线免费扫描c:/Documents and Settings，发现IE临时文件夹中的Install.exe 为 **Dropper.Agent.dxr**（Kaspersky 报为 **not-a-virus：AdWare.Win32.Softomate.u**，[http://www.viruslist.com/en/find?words=not-a-virus:AdWare.Win32.Softomate.u][http_www.viruslist.com_en_find_words_not-a-virus_AdWare.Win32.Softomate.u] ）。

都用瑞星杀毒助手处理了。

用HijackThis扫描并修复上面所列的项目。

清空IE临时文件夹

[www.163.com]: http://www.163.com
[http_endurer.bokee.com_4466883.html]: http://endurer.bokee.com/4466883.html
[http_endurer.ys168.com]: http://endurer.ys168.com
[http_purpleendurer.ys168.com]: http://purpleendurer.ys168.com
[http_www.viruslist.com_en_find_words_Trojan-Spy.Win32.Agent.ct]: http://www.viruslist.com/en/find?words=Trojan-Spy.Win32.Agent.ct
[http_www.viruslist.com_en_find_words_Trojan-Clicker.Win32.BHO.f]: http://www.viruslist.com/en/find?words=Trojan-Clicker.Win32.BHO.f
[http_www.viruslist.com_en_find_words_not-a-virus_AdWare.Win32.Ncast.d]: http://www.viruslist.com/en/find?words=not-a-virus:AdWare.Win32.Ncast.d
[http_www.viruslist.com_en_find_words_not-a-virus_AdWare.Win32.Softomate.u]: http://www.viruslist.com/en/find?words=not-a-virus:AdWare.Win32.Softomate.u