紧急求救!!!——有个网友中招了，可他电脑里启动项太多，我都看晕了！高手们请进！帮着参谋一下！！！

[saucerman]

有个网友中招了，向我紧急求救！我初步估计是木马或其他捣蛋程序。他不是计算机专业的，就会简单用电脑，我是找资料时认识他的，我们在QQ上聊过很多。最近他的QQ一开启点某人头像时就总自动蹦出下面一条短信：
“HoHo~~ http://www.mmqm.com 刚刚朋友给我发来的这个东东。你不看看就后悔哦，嘿嘿。也给你的朋友吧。 (: ”
并自动发送给QQ上的那个网友，我都看到他总向我发这个信息就问他怎么回事，他就向我诉苦，并求救于我。

据我了解，他用的电脑是联想的，并装有“联想幸福之家”，操作系统是Win98，并且电脑里有C、D两个硬盘，Win98装在D盘下面，里面装的是金山毒霸防毒程序。他讲那条短信息也是另一个网友发给他的，他已经把那个家伙拖放到QQ黑名单里了，并且重新下载和安装了最新版的QQ2003，但他发现那个讨厌的短信还是没被删除掉，上QQ后还是出现那个跟随着讨厌信息的现象，且IE的主页总被自动改成是“www.mmqm.com”，改不掉它。就是说我让他手动在IE浏览器里点主菜单上的“工具”，再“Internet 选项”，再在常规页里改“主页”的地址。他还重起过机器，但主页总是自动被改成是“www.mmqm.com”。这个鸟网站我上去过，一打开就让你下载个什么文件，估计是个木马什么的，我就没点，可我这个网友不但点了，还在好奇心驱使下点了很多次，我问他是点了“打开”还是“存盘”，他记不清了，说估计都点了，并且存盘的位置记不清了，他也没有盘上文件夹位置的概念，因他不是学电脑专业的，是菜鸟。

我让他顺次指点开始菜单上的"附件"->"系统工具"->"系统信息"，然后展开"系统摘要"查看树的"软件环境"->"启动程序"，看看右窗格中有哪些象是非法的木马程序。当然这只是查看一下，让他最好能用笔记录并报告一下都有哪些启动项。然后告诉我这些启动项的情况。他就给了我下面这些：

联想智能控制中心 Startup Group C:\lxhome\lxremote\key_remote.exe
键盘驱动 Startup Group C:\lxhome\lxremote\USBCTRL.exe
幸福之家工具条 Startup Group C:\lxhome\lxquick\lxquick.exe
腾讯QQ Startup Group "C:\Program Files\Tencent\qq\QQ.exe"
Microsoft Office Startup Group "C:\Program Files\Microsoft Office\Office\OSA9.EXE" -b -l
run Win.ini C:\WINDOWS\msintor.exe
internat.exe Registry (Machine Run) internat.exe
ScanRegistry Registry (Machine Run) C:\WINDOWS\scanregw.exe /autorun
TaskMonitor Registry (Machine Run) C:\WINDOWS\taskmon.exe
SystemTray Registry (Machine Run) SysTray.Exe
IrMon Registry (Machine Run) IrMon.exe
LoadPowerProfile Registry (Machine Run) Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
LexStart Registry (Machine Run) Lexstart.exe
LegendPrinTray Registry (Machine Run) PrinTray.exe
Hide Registry (Machine Run) C:\HWR\Hide.exe
PenLock Registry (Machine Run)
CnsMin Registry (Machine Run) Rundll32.exe C:\WINDOWS\DOWNLO~1\CNSMIN.DLL,Rundll32
cesmain.dll Registry (Machine Run) C:\WINDOWS\rundll32.exe C:\PROGRA~1\3721\CES\CMAIL.DLL,Rundll32
helper.dll Registry (Machine Run) C:\WINDOWS\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32
repler Registry (Machine Run) C:\WINDOWS\SYSTEM\repler.exe
systory Registry (Machine Run) C:\WINDOWS\SYSTEM\systory.exe
Kingsoft AntiVirus Registry (Machine Run) C:\KAV\KAV9X.EXE -Logon -Watcher
Hidserv Registry (Machine Service) Hidserv.exe run
LoadPowerProfile Registry (Machine Service) Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
SchedulingAgent Registry (Machine Service) mstask.exe
Kingsoft AntiVirus Registry (Machine Service) C:\KAV\KAV9X.EXE -SystemStartup -Watcher

天哪！我都看晕了！晕得要昏倒了！Win98我N年前就不用了，而且我看晕了，也不敢叫他把这些系统启动项统统删掉啊，他是才鸟，万一删错了，他又该抱怨我了。兄弟们，我已经晕了，并且从来没中过这个招，没遇到过这个木马，请你们也中过招并且明察秋毫的高手帮我看看，看看他的Windows启动项里哪一项象是那个讨厌的木马或别的非法程序，请一定帮着把那个捣蛋的程序找出来。

请大家无保留支着，帮着分析分析，我先谢谢诸位了！

[lele2002]

http://www.duba.net/download/3/34.shtml

转:
QQ自动发信息病毒清理全攻略
　　　　　　
　　　　　　本人亲自测试，完全可靠，适用于win2000用户，98及xp基本一样
　　　　　　未发现此病毒含有木马
　　　　　　
　　　　　　下载或自动下载病毒名称mmqm.exe
　　　　　　只限在http://www.mmqm.com网站，其余类似网站未经验证
　　　　　　运行后自动生成病毒文件如下：
　　　　　　C:\WINNT\system32\systory.exe
　　　　　　C:\WINNT\system32\repler.exe
　　　　　　C:\WINNT\system32\msunit.exe
　　　　　　C:\WINNT\msintor.exe
　　　　　　注册表自动添加项如下：
　　　　　　1，HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\
　　　　　　load:C:\WINNT\system32\msunit.exe
　　　　　　
　　　　　　2，HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\
　　　　　　load:C:\WINNT\system32\msintor.exe
　　　　　　
　　　　　　3，HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　　　　　C:\WINNT\system32\repler.exe
　　　　　　
　　　　　　4，HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
　　　　　　C:\WINNT\system32\systory.exe
　　　　　　
　　　　　　5，HKEY_USERS\.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\Windows
　　　　　　C:\WINNT\system32\repler.exe
　　　　　　
　　　　　　6，HKEY_USERS\.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\Windows
　　　　　　C:\WINNT\system32\systory.exe
　　　　　　
　　　　　　7，HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
　　　　　　start page:http://www.mmqm.com
　　　　　　
　　　　　　清除方法：
　　　　　　删除以上列出的4个exe文件
　　　　　　修改以上列出注册表键值




另转:

该工具目前可以查杀以下流行病毒：Win95.CIH系列，Win32.Xorala(劳拉)，Win32.Funlove，Win32.Parite(Win32.Wormdll)，Worm.Nimda系列（尼姆达），Worm.Lentin.m(垃圾筒)，Worm.LovGate系列(爱情后门，Worm.Supnot，恶邮差),Worm.Mimail(小邮差)，Worm.Sobig系列（巨无霸，大无极），Worm.MsBlast(冲击波)，Worm.KillMsBlast(冲击波杀手),Worm.Opasoft(硬盘杀手)，Worm.Randex.d(偷窥者变种)，Trojan.CodeRed2(红色代码2)，Trojan.PopWeb（自动弹出页面）， Trojan.QQSender(QQ消息发送器:mmm110,qq3344,dj3344,52mm,jinboy,xshanghai,yy518,hao114,mmqm,hao3344,nicex)，Trojan.NewSuper系列,注：这次更新主要是增加了Win32.Parite(Win32.Wormdll)和Trojan.QQSender.jinboy的查杀。
　　
　　
　　
　　注：请中QQ尾巴木马的朋友尽快将IE升级到6.0版本，这样就可以避免以后再中QQ尾巴病毒。
　　
　　
　　http://bbs.kingsoft.net/index.php?s=4312fe742b55ddc77847255ae3e8986e&act=Attach&type=post&id=2807515
　　
　　上面的地址就是这个专杀工具 强烈推荐下载。。。（这个也可以杀QQ尾巴病毒的）

[yzxlyd]

全部去掉不要紧的。

[saucerman]

我的初步分析是这样的：
·联想智能控制中心 Startup Group C:\lxhome\lxremote\key_remote.exe
·键盘驱动 Startup Group C:\lxhome\lxremote\USBCTRL.exe
·幸福之家工具条 Startup Group C:\lxhome\lxquick\lxquick.exe
上面三项看来都是联想带的程序，而且都是在开始菜单的启动项上，这些我还不敢给他动。

·腾讯QQ Startup Group "C:\Program Files\Tencent\qq\QQ.exe"
上面这个是QQ了，不会是木马，我也先不动它。

·Microsoft Office Startup Group "C:\Program Files\Microsoft Office\Office\OSA9.EXE" -b -l
上面这个是Office的什么程序吧，估计删掉它也没事，Office还能照用，但我先不管它了，留着吧。

·run Win.ini C:\WINDOWS\msintor.exe
上面这个应该是老的配置Win.ini的东西，但msintor.exe到底是什么，我也不太清楚，会不会是木马伪装成Windows程序呢？暂且先不管它吧。

·internat.exe Registry (Machine Run) internat.exe
上面这个是Win98的输入法控制项喽，放在注册表上，也不用管它啦。

·ScanRegistry Registry (Machine Run) C:\WINDOWS\scanregw.exe /autorun
上面这个是Win98扫描并修复注册表的程序啦，放在注册表启动项下，也不管它喽。

·TaskMonitor Registry (Machine Run) C:\WINDOWS\taskmon.exe
上面这个好象是Win98管理计划任务的程序吧，也就不管它啦。

·IrMon Registry (Machine Run) IrMon.exe
上面这个是什么还没搞清，应该是什么Monitor。

·LoadPowerProfile Registry (Machine Run) Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
上面这个好象是Win98电源管理的程序，不知道是不是这样？

·LexStart Registry (Machine Run) Lexstart.exe
上面这个是干什么的搞不清楚，是联想的吗？我从没用过联想的，所以不清楚。

·LegendPrinTray Registry (Machine Run) PrinTray.exe
上面这个好象跟联想管理打印机的功能有关，是联想的打印机托盘？

·Hide Registry (Machine Run) C:\HWR\Hide.exe
上面这个是什么？它要隐藏什么呢？这个是不是木马呢？

·PenLock Registry (Machine Run)
上面这个是“锁笔”？不知道干什么的，在注册表启动项下，会是木马吗？

·CnsMin Registry (Machine Run) Rundll32.exe C:\WINDOWS\DOWNLO~1\CNSMIN.DLL,Rundll32
上面这个放在Windows的Download目录下，很怀疑它是木马啊！

·cesmain.dll Registry (Machine Run) C:\WINDOWS\rundll32.exe C:\PROGRA~\3721\CES\CMAIL.DLL,Rundll32
·helper.dll Registry (Machine Run) C:\WINDOWS\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32
上面这两个显然就是讨厌的3721中文网络实名的东东了，要是我的话就干掉它们！

·repler Registry (Machine Run) C:\WINDOWS\SYSTEM\repler.exe
上面这个不清楚是干什么的？

·systory Registry (Machine Run) C:\WINDOWS\SYSTEM\systory.exe
上面这个也搞不清干什么的？是Win98里的什么鸟程序来着？

·Kingsoft AntiVirus Registry (Machine Run) C:\KAV\KAV9X.EXE -Logon -Watcher
上面这个显然是臭名昭著的金山毒霸杀毒程序的防火墙了！

·Hidserv Registry (Machine Service) Hidserv.exe run
上面这个是什么东东？！！！它倒很象是木马啊！

·LoadPowerProfile Registry (Machine Service) Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
上面这个好象还是Win98的电源管理程序，跟前面的重复了吧？

·SchedulingAgent Registry (Machine Service) mstask.exe
上面这个好象还是Win98的计划任务，前面好象都有了一个。

·Kingsoft AntiVirus Registry (Machine Service) C:\KAV\KAV9X.EXE -SystemStartup -Watcher
上面这个又是金山毒霸，又重复了！晕！

以上是我的初步分析，望大家更进一步帮我指明，到底哪个是木马或捣蛋的非法程序？哪些该删？哪些该留？

[贝壳鱼]

关注中!

[saucerman]

谢谢lele2002(拒绝网恋) ！看来就是中了这个“QQ尾巴病毒”，也就是“QQ自动发信息病毒”了！

[saucerman]

谢谢lele2002(拒绝网恋) 吆！请你再到下面逛一下，那里还有100大分，我想多给你些分：
http://expert.csdn.net/Expert/topic/2282/2282135.xml?temp=.4133264

[zhuangjunx]

把qq全部卸载掉，然后重装就行了。

[ptys]

先杀毒再说吧

[hclloveyou]

在DOS下杀毒。
然后装启动组里的项目全去掉。
然后在添加上那个输入法和声音项目就可以了。

[qlxyeah]

看看

[kxiangwei]

不要高兴的太早了，只修改注册表，不清除启动项，电脑重启后，注册表又会恢复原样。
建议楼主在清理完注册表后，在‘开始’----‘运行’中输入MSCONFIG，选择启动选项卡，将含有Registry字样的启动项目全部钩掉，然后重启动电脑。

[kxiangwei]

使用：最近OICQ病毒（QQ尾巴）清除器吧
使用方法：用此工具杀了以后，再清除一下计算机注册表内部的信息。在运行里 要regedit 然后进入注册表按f3 搜索 你这个病毒所在的站的地址。全部删除就可以了。
http://www.52038.com/hack/list.asp?id=1472

[gu1dai]

日 小孔和拒绝网恋都是高人啊
比我不差一些
用拒绝网恋的办法是最爽的了 我刚才用了一次 的确是极品

[sole_eagle]

QQ连发器病毒，用最新版的瑞星可以查杀。

[cshp]

我的建议是先用杀毒软件杀毒，最好是金山毒霸，杀完后，进入注册表，开始--运行--regedit
然后在第2项里点software---microsoft--inter explorer--main里面，删除所有的http://www.mmqm.com选项，并查找该选项，直到没有为止。然后在启动选项里删除所有的选项，你试试应该就ok了

[jmwjy]

晕！！！！！！！！！！！！！

[CppFile]

这个病毒的变种很多很多的，经常杀渡软件不能检查出来的，所以一定要生机ie