手动干掉ydggot.exe(修正)

Anti

应2楼要求补充一下中了该恶意软件后的症状

进程中会出现ydggot.exe、severe.exe、conime.exe（路径为%windir%\system32\drivers\conime.exe）
运行以下文件会收到“找不到文件”的错误提示：
adam.exe
avp.com
avp.exe
icesword.exe
ipamo.exe
kabaload.exe
kregex.exe
kvdetect.exe
kvmonxp.kxp
kvxp.kxp
magicset.exe
mmsk.exe
msconfig.com
msconfig.exe
pfw.exe
pfwliveupdate.exe
qqdoctor.exe
ras.exe
rav.exe
ravmon.exe
regedit.com
regedit.exe
runiep.exe
sreng.exe
trojdie.kxp
wopticlean.exe
注:以上文件改名后可正常运行
通过修改HOSTS文件阻止登录一些杀毒网站,具体记录没保存下来,请见谅!!!

下面是清除步骤:
重启进入带命令行的安全模式，运行WinRAR(这个我想大部分人都有装的);
用WinRAR找到并删除下面几个文件：
%windir%\system32\ydggot.exe
%windir%\system32\ydggot.dll
%windir%\system32\severe.exe
%windir%\system32\drivers\conime.exe
%windir%\system32\drivers\jmxxxh.exe(在这个文件夹默认是没有可执行文件的，都可安全删除)
%windir%\system32\drivers\etc\hosts

复制%windir%\regedit.exe到桌面并重命名为reg.exe;
执行桌面的reg.exe并删除以下键值:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ydggot"="C:\\WINDOWS\\system32\\ydggot.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\adam.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.com]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IceSword.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\iparmo.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kabaload.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KRegEx.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvDetect.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KVMonXP.kxp]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KvXP.kxp]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MagicSet.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmsk.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.com]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFW.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PFWLiveUpdate.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQDoctor.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Ras.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rav.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMon.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.com]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\runiep.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SREng.EXE]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojDie.kxp]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WoptiClean.exe]
"Debugger"="C:\\WINDOWS\\system32\\drivers\\jmxxxh.exe"
关闭注册表编辑器,删除桌面reg.exe文件,清除完成!!!

注：用WinRAR是因为它能看到资源管理器所不能看到的文件(可用其它相同功能的软件替代)；另外在正常模式下也可以删除该软件，只是要用到能同时终止多个进程的软件(比如IceSworld、360安全卫士等)。

[ 本帖最后由 Anti 于 2007-5-5 15:23 编辑 ]

rcbblgy

楼主应该补充一下中毒的症状.

飘蓝一尘

不知ydggot.exe为何物 ，同意2楼的观点

刚搜了一下，不知道是不是正确：
机器症状:
1、不能运行杀毒软件
2、在任务管理器不能结束该进程；
3、不能更改显示隐藏文件和所有文件；（文件选项）
4、硬盘分区右键会有自动播放，双击打开或右键打开都会运行病毒；
5、系统时间固定在一个时间
6、在安全模式下病毒照常运行

[ 本帖最后由 飘蓝一尘 于 2007-4-30 09:23 编辑 ]

Anti

楼主应该补充一下中毒的症状.

老实说我也不清楚它能干什么
我是在帮同事接网线的时候看了下他的电脑，发现有不明进程并顺手帮他解决的。
我只知道它替换了注册表编辑器和修改HOSTS文件。

Anti

更新了一下；
修正了删除文件后某些程序不能用的后遗症。