机器狗加木马清除方法

昨天教务处一个老师的机器。日志很长，就不贴了，仅提供一个参考解决，遇到的朋友可以试试。

1.建议使用XDelBox删除以下文件：(XDelBox1.7下载)
使用说明:删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择"剪贴板导入不检查路径",导入后在要待删除文件上点击右键,选择立刻重启删除.电脑会重启进入DOS界面进行删除操作。
提示:运行xdelbox前最好卸载所有可移动存储介质(包括U盘,MP3,手机存储卡等)

C:\WINDOWS\system32\msosdohs00.dll
C:\WINDOWS\system32\msosdohs01.dll
C:\WINDOWS\system32\msosdohs.dat
C:\WINDOWS\system32\drivers\hbkernel.sys
C:\WINDOWS\jufytu.exe
C:\WINDOWS\ffoxpb.exe
C:\WINDOWS\cotjmq.exe
C:\WINDOWS\uajcve.exe
C:\WINDOWS\oqpnxt.exe
C:\WINDOWS\vprmgd.exe
C:\WINDOWS\bxthly.exe
C:\WINDOWS\jhhyim.exe
C:\WINDOWS\vsjzrd.exe
C:\WINDOWS\llbfdx.exe
C:\WINDOWS\wqcrst.exe
C:\WINDOWS\veabdt.exe
C:\WINDOWS\ejqlld.exe
C:\WINDOWS\egopvs.exe
C:\WINDOWS\bcbvkm.exe
C:\WINDOWS\grygmm.exe
C:\WINDOWS\mertdx.exe
C:\WINDOWS\jaxgon.exe
C:\WINDOWS\owyclt.exe
C:\WINDOWS\ubyvle.exe
C:\WINDOWS\hasxtm.exe
C:\WINDOWS\fntfkj.exe
C:\WINDOWS\uxwrcw.exe
C:\WINDOWS\kxhecc.exe
C:\WINDOWS\ecmlwt.exe
C:\WINDOWS\xhipjp.exe
C:\WINDOWS\rxfbnu.exe
C:\WINDOWS\hajqxv.exe
C:\WINDOWS\uuoioo.exe
C:\WINDOWS\nrfrjb.exe
C:\WINDOWS\ujnmhg.exe
C:\WINDOWS\wxiuvd.exe
C:\WINDOWS\qloqxm.exe
C:\WINDOWS\vxfpsz.exe
C:\WINDOWS\cclhcn.exe
C:\WINDOWS\sjmzwy.exe
C:\WINDOWS\nvsyar.exe
C:\WINDOWS\zrtpwv.exe
c:\windows\system32\4f277d21.dll
c:\windows\system32\d3d9_32.dll
c:\docume~1\gaofeng\locals~1\temp\k120893795019ow.dll
c:\windows\system32\avpsrv.dll
c:\windows\system32\cmdbcs.dll
c:\windows\system32\dbghlp32.dll
c:\windows\system32\djltujun.dll
c:\windows\system32\dndsioc.dll
c:\windows\system32\fmbiost.dll
c:\windows\system32\fmsbbqi.dll
c:\windows\system32\kvsc3.dll
c:\windows\system32\lotushlp.dll
c:\windows\system32\mfchlp32.dll
c:\windows\system32\mppds.dll
c:\windows\system32\msccrt.dll
c:\windows\system32\msimms32.dll
c:\windows\system32\navmon32.dll
c:\windows\system32\ptsshell.dll
c:\windows\system32\shaproc.dll
c:\windows\system32\upxdnd.dll
c:\windows\system32\winsvr32.dll
c:\windows\system32\wsockdrv32.dll
c:\windows\system32\msosdohs02.dll
c:\windows\system32\lyloadqr.exe
c:\windows\system32\lyloadhr.exe
c:\windows\system32\lyloadmr.exe
c:\windows\system32\lyloadar.exe
c:\windows\system32\lyloador.exe
c:\windows\system32\lyleador.exe
c:\windows\system32\lyloadbr.exe
c:\windows\system32\dxdlg.exe
c:\windows\mfchlp32.exe
c:\windows\fmsbbqi.exe
c:\windows\fmbiost.exe
c:\windows\dndsioc.exe
c:\windows\system32\hbkrnl.dll
c:\windows\tciocp32.exe
c:\windows\msccrt.exe
c:\windows\nvdispdrv.exe
c:\windows\dbghlp32.exe
c:\windows\navmon32.exe
c:\windows\cmdbcs.exe
c:\windows\msimms32.exe
c:\windows\mppds.exe
c:\windows\upxdnd.exe
c:\windows\lotushlp.exe
c:\windows\shaproc.exe
c:\windows\ptsshell.exe
c:\windows\avpsrv.exe
c:\windows\wsockdrv32.exe
c:\windows\zbtkonac.exe
c:\windows\winsvr32.exe
c:\windows\kvsc3.exe
c:\windows\system32\81673bed.exe
c:\windows\system32\drivers\msosmsfpfis64.sys
c:\docume~1\gaofeng\locals~1\temp\tmp9.tmp

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[{0020F198-D7A2-456A-AE04-EB9ABF822FE4}]    <C:\DOCUME~1\gaofeng\LOCALS~1\Temp\k120893795019ow.dll>
注意该项[AppInit_DLLs]修改：把<msosdohs02.dll>修改为<>即清空
[MSDQG32]    <LYLoadqr.exe>
[MSDHG32]    <LYLoadhr.exe>
[MSDMG32]    <LYLoadmr.exe>
[MSDSG32]    <LYLoadar.exe>
[MSDOG32]    <LYLoador.exe>
[MSDCG32    ]    <LYLeador.exe>
[MSDWG32]    <LYLoadbr.exe>
[DXDLG32]    <DXDLG.exe>
[mfchlp32]    <C:\WINDOWS\mfchlp32.exe>
[fmsbbqi]    <C:\WINDOWS\fmsbbqi.exe>
[fmbiost]    <C:\WINDOWS\fmbiost.exe>
[dndsioc]    <C:\WINDOWS\dndsioc.exe>
[HB Kernel]    <RUNDLL32.EXE C:\WINDOWS\system32\HBKrnl.dll,DllRegisterServer>
[tciocp32]    <C:\WINDOWS\tciocp32.exe>
[msccrt]    <C:\WINDOWS\msccrt.exe>
[NVDispDrv]    <C:\WINDOWS\NVDispDRV.EXE>
[DbgHlp32]    <C:\WINDOWS\DbgHlp32.exe>
[NAVMon32]    <C:\WINDOWS\NAVMon32.exE>
[cmdbcs]    <C:\WINDOWS\cmdbcs.exe>
[MsIMMs32]    <C:\WINDOWS\MsIMMs32.exE>
[mppds]    <C:\WINDOWS\mppds.EXE>
[upxdnd]    <C:\WINDOWS\upxdnd.exe>
[LotusHlp]    <C:\WINDOWS\LotusHlp.exe>
[SHAProc]    <C:\WINDOWS\SHAProc.exe>
[PTSShell]    <C:\WINDOWS\PTSShell.exe>
[AVPSrv]    <C:\WINDOWS\AVPSrv.exE>
[WSockDrv32]    <C:\WINDOWS\WSockDrv32.exe>
[lzjbdtok]    <C:\WINDOWS\zbtkonac.exe>
[WINSvr32]    <C:\WINDOWS\WINSvr32.exE>
[Kvsc3]    <C:\WINDOWS\Kvsc3.exE>

    启动项目 －－ 服务 －－ Win32服务应用程序之如下项删除：
[E862D1BD / E862D1BD]    <C:\WINDOWS\system32\81673BED.EXE -k>

    启动项目 －－ 服务－－ 驱动程序之如下项删除：
[msfpfis64 / msfpfis64]    <\??\C:\WINDOWS\system32\drivers\msosmsfpfis64.sys>
[dohs / dohs]    <\??\C:\DOCUME~1\gaofeng\LOCALS~1\Temp\tmp9.tmp>

清理系统临时文件和IE临时文件夹
http://www.hzqedison.cn/hanhua/ATF-Cleaner-cn.exe

Windows清理助手：http://www.arswp.com/download/arswp/arswp.rar
下载后，扫描清理系统！

注：
1、解决之前，没有遇到映像胁持的问题。如果有遇到的，可以先下载如下工具修复下：
              下载链接：http://s21.live-share.com/d/a3/26/319070/fix_ifeo_skyshine.rar

2、建议按照上面的完整操作完成后，使用360或江民、或毒霸的磁碟机专杀再清理，顺便免疫下。
具体的下载地址，可以去相应的官方主页下。

3、部分笔记本，请谨慎使用xdelbox删除工具，有时会出现无法正常进入。此时可以试试wsyscheck工具附带的wDOSdel工具删除以上列表的工具。

4、如果遇到安全模式、隐藏文件被破坏的情况，可以使用wsyscheck
（下载:http://www.xdowns.com/soft/6/65/2007/Soft_36539.html），下载后运行—>工具—>修复隐藏显示、修复安全模式。
      就我个人使用发现，wsyscheck的工具菜单下的，几项修复和清理功能，效果还是比较明显的。

skyshine提示你，请大家做好防护工具，及时更新系统补丁，安全杀软防护。
瑞星杀软2008，推出免费半年的活动，没有正版的，可以暂且用着。



key words:hbkrnl.dll、msosmsfpfis64.sys、msosdohs02.dll、mfchlp32.exe、hbkernel.sys、msosdohs01.dll、msosdohs00.dll、4f277d21.dll、d3d9_32.dll