[求助]：木马softupdate如何删除？

yi.gao

木马softupdate如何删除？

最近接二连三遭遇木马、病毒，不胜其烦！在网上搜索了一下，只是告知softupdate为木马，无一提出删除的方法，不知道这是不是新出来的木马病毒。想问问哪位朋友曾经与此博弈过，希望分享胜利成果，谢谢！


[iframe h=600 w=100%]http://www.xren.net/file/15515.html[/iframe]

SLMin

可以试着手动解决它～～～

打开命令行，输入tasklist /m

检查进程调用的DLL文件名！注意区分系统文件！

输入tasklist /svc 检查进程启动的服务～～

注册表中删除对应的启动项和服务～～～

删除调用的DLLD文件和木马文件～～～

yi.gao

斑竹，不好意思，看不懂意思，希望详述，谢谢！

以下是softupdate的信息

SoftUpdate.exe               596 ntdll.dll, kernel32.dll, user32.dll,         
                                 GDI32.dll, advapi32.dll, RPCRT4.dll,         
                                 oleaut32.dll, msvcrt.dll, ole32.dll,         
                                 version.dll, comctl32.dll, wininet.dll,      
                                 CRYPT32.dll, MSASN1.dll, SHLWAPI.dll,        
                                 shell32.dll, winmm.dll, wsock32.dll,         
                                 WS2_32.dll, WS2HELP.dll, IMM32.DLL, LPK.DLL,
                                 USP10.dll, comctl32.dll, uxtheme.dll,        
                                 msctfime.ime, olepro32.dll, Secur32.dll,     
                                 CLBCATQ.DLL, COMRes.dll, SETUPAPI.dll,      
                                 LINKINFO.dll, ntshrui.dll, ATL.DLL,         
                                 NETAPI32.dll, USERENV.dll                    
哪个不正常呢？

SLMin

596是进程的PID号，后面的DLL文件多是SoftUpdate.exe这个进程调用的模块～～～

没有发现可疑的DLL文件！请在安全模式下检查一下启动项！

一般系统DLL文件打开它的属性对话框后都有一个版本的标签，公司名应当是MS～～～～

如果不是十分熟悉的话推荐用Process explorer这个软件，比较直观～～～

yi.gao

比较奇怪的是，启动项都是正常的内容。我的机器中也搜索不到任何softupdate.exe的文件，藏的太深了还是有什么障眼法？注册表中有一项softupdate，安全模式下也无法删除。我把这个进程中止后，删除仍然无法实现。刚开始这玩意把我的瑞星都关了，我是重新安装升级到最新版本杀了几个病毒。现在还算正常，就是不知道会不会复发。

SLMin

可以先用瑞星的注册表修复工具扫瞄一下注册表～～～～

是不是用服务的方式加载了！

softupdate这个项在那个位置，主键是什么？

yi.gao

我自己也不知道怎么鼓捣的，现在没了这个可恶的进程了。感谢所有帮助我想办法的朋友！

xmin

楼主应该是中了37211这个流氓软件，清除方法：

1、进安全模式，结束进程C:\WINDOWS\SoftUpdate.exe（如果在运行的话）。

2、清理注册表：
HKEY_CLASSES_ROOT\
删除：37211.HahaPP
HKEY_CLASSES_ROOT\CLSID\
删除：{E730189A-9973-4121-B046-AD1C161EC3AF}
HKEY_CLASSES_ROOT\htmlfile\shell\htmlfile\shell\opennew\command\
删除：CLSID
HKEY_CLASSES_ROOT\htmlfile\shell\SOFTWARE\Classes\htmlfile\shell\open\command\
删除：SOFTWARE
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
删除："Enable Browser Extensions"="yes"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
删除：SoftUpdate

3、删除下列文件(注意显示系统和隐藏文件)：
C:\WINDOWS\SoftUpdate.exe
C:\WINDOWS\system32\37211.dll
C:\WINDOWS\system32\sncool.scr

最后再用杀间谍和广告的软件扫描，清除垃圾．


PS: 本人推荐用启动光盘来查杀和修改这类东西．推荐组合：
启动光盘：　ＥＲＤ２００５（光盘启动可修改注册表等）
检测及ＩＥ修改：　HijackThis，Browse hijack
ＩＥ插件屏蔽：　upiea
木马查杀：　ewido

本人用以上组合到目前为止还没遇到搞不定的问题。再次强烈推荐！

另外国内以前靠耍流氓发了的周某人现在改头换面搞了个什么纸tiger公司，弄了个什么转圈圈安全卫士，仿佛一道貌岸然的安全卫道士。今日闲着无事把他那东东下来看了下，貌似抄袭我前面推荐的HijackThis也，此乃后话。

yi.gao

xmin说的对，杀毒的时候确实提示37211这个病毒了。最后一段话没看明白！
本想给你转帐的，因为你发贴尚不够250贴，可以先记下，以后满足条件的时候我会兑现承诺。

Ortega

前几天刚遇到这个问题无奈之下只好把电脑给格了…

yi.gao

又遇到一位老会员！