2007年10月2日

connect to病毒查杀办法整理

前几天中了connect to病毒，每次一上网不到5分钟就弹出一个窗口，还有个十字架，开始菜单里面还有

一个d.上网马上出现了 connect to的对话框，弹出”connect to”的连接窗口后，二级网页就无法打开

，影响整个网速．
开始菜单上的 D 文件。在C盘目录下多了一个十字架的图标的EXE文件。
并且在重启电脑登陆的时候老是提示我的存储空间已满，不能登陆。

病毒样式：

于是，我就重启电脑，按F8,进入带网络连接的安全模式，输入密码，进去了。

我用搜索引擎，搜索出来了一些解决办法，几经折腾，终于搞定了。现在把这些办法发给大家，以避免大

家多走弯路，浪费时间。

方法一：杀毒前请先单击【开始】=》【运行】
在“运行”对话框中输入“regedit”（不含引号）回车，检查能否正常打开注册表编辑器。
如果不能打开，请先按照置顶帖子http://www.dnbst.com/bbs/thread-1789-1-1.html的方法操作修复注

册表。
注册表修复完毕后或者注册表编辑器能正常打开请继续往下看！

请务必执行以上步骤！否则病毒无法彻底查杀！

为了您方便快捷的对病毒进行根除，特编写此特杀工具。
下载解压后重启系统，进入"安全模式"双击执行即可！

请下载附件或是复制以下代码, 新建个记事本文档, 粘贴内容进去,保存重新命名为*.cmd的文件即可.

CODE:
@echo off
echo ===============================================================================
echo *                       KV用户系统病毒清理专用工具                            *
echo *                    江民社区 病毒求助专区 yimike编写                         *
echo *                         版本:rufeng1111.01                                  *
echo *                   电脑百事通论坛转载 Www.Dnbst.Com/Bbs                      *
echo *                                                                             *
echo *                                使用说明                                     *
echo *   1.为了方便用户的顽固病毒清理工作，特编写此工具                            *
echo *   2.本工具具有局限性，不同版本适用于不同用户不同状态的系统                  *
echo *   3.本工具并非商业软件，不具有盈利性质，因为本工具或使用本工具带来的任何    *
echo *     损失，本工具作者不负任何责任                                            *
echo *   4.请务必在安全模式下使用此工具，否则可能无法达到清理效果                  *
echo *   5.请在使用后再次使用Sreng扫描系统日志，发到江民论坛您的帖子后面作为反馈， *
echo *     这一步非常重要！希望您能够配合！                                        *
echo *                                                                             *
echo *                                                                             *
echo ===============================================================================
echo 不同意此说明请点击右上角“×”退出！
echo 已认真阅读同意以上使用说明并要开始清理系统病毒，按任意键继续！
pause
cls
echo.
echo *********************
echo 杀毒工作开始...
echo *********************
echo     终止相关进程...
taskkill /F /IM explorer.exe
echo *********************
echo     开始清理系统垃圾...
del /f /s /a /q %systemdrive%\*.tmp
del /f /s /a /q %systemdrive%\*._mp
del /f /s /a /q %systemdrive%\recycled\*.*
del /f /s /a /q %windir%\*.bak
del /f /s /a /q %windir%\prefetch\*.*
rd /s /q %windir%\temp & md %windir%\temp
del /f /q %userprofile%\cookies\*.*
del /f /q %userprofile%\recent\*.*
del /f /s /a /q "%userprofile%\Local Settings\Temporary Internet Files\*.*"
del /f /s /a /q "%userprofile%\Local Settings\Temp\*.*"
del /f /s /a /q "%userprofile%\recent\*.*"
echo *********************
echo   系统垃圾清理完毕！
echo *********************
echo     开始清理病毒体...
md "%userprofile%\桌面\！病毒备份！\"
echo 这个文件夹内的病毒是您系统内病毒的备份！◆◆◆！！！切勿双击执行！！！◆◆◆>>说明.txt
echo 请将此文件夹使用Winrar加密码virus压缩后，使用电子邮件发送至virusesup@163.com 和

Virus@jiangmin.com>>说明.txt
echo.>>说明.txt
echo WinRAR给文件夹加密方法如下：>>说明.txt
echo 在该文件上点鼠标右键，选择【添加到压缩文件】=》转到【高级】选项卡，点【设置密码】=》以

“virus”（不含引号）作为密码输入=》【确定】=》【确定】  即开始压缩文件。>>说明.txt
echo.>>说明.txt
echo 上传完毕后即可将此文件夹删除！>>说明.txt
echo.>>说明.txt
echo ★★★如果经过确认您是第一个上报此类病毒的用户，您将获得一年的KV序列号一个！★★★>>说

明.txt
copy 说明.txt "%userprofile%\桌面\！病毒备份！\"
del 说明.txt
copy "C:\WINNT\system32\services.exe" "%userprofile%\桌面\！病毒备份！\"
copy "C:\WINNT\iexplore.exe" "%userprofile%\桌面\！病毒备份！\"
copy "C:\WINNT\SYSTEM32\WBEM\EBZBU.DLL" "%userprofile%\桌面\！病毒备份！\"
copy "%SystemRoot%\System32\drivers\ohpbqb.sys" "%userprofile%\桌面\！病毒备份！\"
del /f /a /q "C:\WINNT\system32\services.exe"
del /f /a /q "C:\WINNT\iexplore.exe"
del /f /a /q "C:\WINNT\SYSTEM32\WBEM\EBZBU.DLL"
del /f /a /q "%SystemRoot%\System32\drivers\ohpbqb.sys"
echo *********************
echo   病毒体清理完毕！
echo *********************
echo     开始清理病毒服务及驱动...
echo Windows Registry Ecitor Version 5.00>>svrfix.reg
echo.>>svrfix.reg
echo [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ohpbqb]>>svrfix.reg
echo [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ohpbqb]>>svrfix.reg
echo [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\ohpbqb]>>svrfix.reg
echo [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\ohpbqb]>>svrfix.reg
echo.>>svrfix.reg
start /wait regedit.exe /s svrfix.reg
del svrfix.reg
for %%q in (37762,38168,42643,61322,68828,80618,86104,C7CD4004,Messenger,SHipING,"Microsoft

Internet Explorer") do sc delete %%q
echo *********************
echo   病毒服务及驱动清理完毕！
echo *********************
echo     启动相关进程...
start explorer.exe
echo *********************
echo 杀毒工作全部结束！
echo *********************
pause
echo.
cls
echo ******************************************
echo   请重启系统到正常模式！为保护您的系统，重启后请做以下2件事情：
echo   1.再次使用Sreng扫描系统，并将扫描日志反馈到江民论坛您的帖子里！
echo   2.打全系统补丁，升级KV2007至最新并进行全盘扫描！
echo ******************************************
pause
echo.

方法二： 设置显示隐藏文件[双击我的电脑-工具-文件夹选项-查看选项卡-单击选取"显示隐藏文件或文

件夹"-取消"隐藏受保护的操作系统文件（推荐）"前的钩。在提示确定更改时，单击“是”-单击“确定

”]
如果不行就试试这个再来操作一次吧  复制进去你得记事本保存为*.reg的  运行
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidde

n]
"Text"="@shell32.dll,-30499"
"Type"="group"
"Bitmap"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,\
  00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,53,00,\
  48,00,45,00,4c,00,4c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,2c,00,34,00,00,\
  00
"HelpID"="shell.hlp#51131"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidde

n\NOHIDDEN]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30501"
"Type"="radio"
"CheckedValue"=dword:00000002
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51104"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidde

n\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"

方法三

用xdelbox(http://www.i170.com/Attach/51FD704F-C0BD-41E7-B0E9-60673A888FD6 下载)删除下面文件

（可以批量复制下面路径，在抑制再生前打钩,在要删除文件上点击右键，选择立刻重启删除）:
c:\winnt\regdll.exe

进到安全模式下[安全模式进入方法:重启电脑时按住F8 选择进入安全模式],
运行SREng-在"启动项目->服务->"Win32服务应用程序"选中"隐藏已认证的微软服务" 然后将下面名称的

服务删除（选中有问题的服务后，点“删除服务”，点“设置”按钮即可。  注意弹出的窗口中要点

“NO 否”才是确认删除服务）(不能删除的就禁用:启动类型改为disabled,点中修改启动类型，点设置):
[78476 / 78476]    <\\192.168.45.222\Admin$\eraseme_53123.exe>
[Register DLL Driver / Register DLL Driver]    <"C:\WINNT\regdll.exe">

打全系统安全补丁,设置足够强壮的密码
方法四：

"这个是利用Windows默认共享传播的蠕虫病毒，建议关闭默认共享
这个病毒还会在 C:\Program Files\Common Files\ 下成一个隐藏文件夹，里面同样有这个十字架的图标

的EXE
目前我知道的只有卡巴能杀.国产的好象都杀不了.
局域网内其他中毒机器最好一起处理，否则容易交叉感染.""

江民论坛链接：http://forum.jiangmin.com/dispbbs.asp?

boardid=2&star=2&replyid=1207762&id=486252&skin=0&page=1 ExtraKill下载：

http://forum.jiangmin.com/UploadFile/2007-6/200762121524257.zip

以上是解决connect to病毒的几种办法，供大家参考。