部腦感染左病毒

C:\WINDOWS\system32\wavboq98.dll Win32/TrojanDownload er.QQHelper.QR trojan
c:\windows\system32\xgicny29.dll Win32/TrojanDownload er.Agent.BBC trojan
手工徹底刪除 ActiveX.Muldist.AutoDownRun/TrojanDownloader.Win32.Dyfuca.o(MultiDistFC.cab/MulDist.ocx) 木馬的方法


作者:費爾安全實驗室(原創), 日期:2003/12/29. 若轉載請註明引自"費爾安全實驗室"


最近有許多使用者反應一些防毒軟體在發現一個名為 TrojanDownloader.Win32.Dyfuca.o 的木馬後遇到無法刪除的問題，或者是出現要求使用者解壓後再刪除木馬的提示，下方就告訴大家一個刪除此木馬的方法：
費爾托斯特安全是可以刪除此木馬的及它的壓縮包的（費爾托斯特安全報告名稱為 ActiveX.Muldist.AutoDownRun），並且無須解壓，如果手上有它的正式版可以使用它刪除（建議先升級到最新版的病毒碼）。如果沒有也可以用下方的方法手工刪除它（注意以下方法測試於Windows2000/XP/2003/NT，9x/me下可能有些略有不同，這時建議使用費爾托斯特安全刪除），不過這需要分 3 種情況，操作時請按自己的情況選擇相應的處理辦法：
一、不知道自己是否感染此木馬或防毒軟體報告此木馬是在 %windir%\Downloaded Program Files 目錄下的情況。注意其中的 %windir% 代表的是您Windows的安裝目錄，比如：如果您使用的是Windows98/Me並且安裝在C盤則此目錄應該是C:\Windows\Downloaded Program Files；如果是Windows2000/XP/20003並且安裝在D盤，則目錄應該是D:\WINNT\Downloaded Program Files。如果是這種情況請按下方的方法做：

依次開啟IE的 工具/Internet選項/「Internet臨時檔案」處的「設定」/檢視對像；
在開啟的清單中查找一個「程式檔案」是「MultiDist」的專案，如果找不到就不用繼續了，請參考其他情況下的處理辦法；如果找到它則在它名子上點右鍵，接著在彈出的菜單中點「刪除」；
重新啟動電腦；
依次開啟 開始/執行 ，輸入 cmd 後確定（這是在NT/2000/XP/2003下，9x/Me下請輸入 command），進入到命令行模式，然後用DOS命令進入到 %windir%\Downloaded Program Files 目錄下，找到 MulDist.ocx 檔案後用del命令刪除它。這裡需要提醒一下，如果在此目錄中找不到這個檔案請進入到目前目錄下的各個子目錄中找找，找到後刪除。 這樣此木馬就刪除掉了，不過如果防毒軟體報告木馬不是在 %windir%\Downloaded Program Files 目錄下而是在 「系統目錄:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\...」 目錄下（如果您的win2000/nt/xp安裝在C盤則就是 C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5）請使用下方的第2種方法刪除它：

二、作業系統使用的是Windows2000/XP/2003，並且防毒軟體報告此木馬是在 系統目錄:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\XXXX 目錄下的情況。注意其中的「系統目錄」代表的是您Windows2000/XP/2003安裝的盤符，比如：如果您的win2000/nt/xp安裝在C盤則就是 C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\XXXX ，並且Content.IE5後面的XXXX代表的是不確定的子目錄，不同的系統下情況都會不同，這可以根據防毒軟體的具體提示來確定，在記下這個目錄及檔案名後請按下方的方法做：

依次開啟 開始/執行 ，輸入 cmd 後確定（這是在NT/2000/XP/2003下），進入到命令行模式；
在命令行模式下進入到這個 系統目錄:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\XXXX 目錄中，找到防毒軟體提示的那個檔案，找到後直接用del命令刪除它就行了。

三、木馬不是在上面任何一種目錄中的情況：

這個方法最簡單，用資源管理員找到檔案後直接刪除它就行了，而不用在意防毒軟體的「解開再同刪除」的提示，直接刪除相應的cab或ocx檔案都可以。

至此，如果一切順利您就應該可以刪除掉此木馬了。
特別提示：此木馬實際上算不上一個木馬，而只是一個下載並有自動執行特定檔案的元件程式，它本身也許並沒有危害，但常常被一些不懷好意的網站來傳播木馬，並且此元件在安裝到系統時是象Flash元件一樣會做出是否安裝的詢問的（除非自己的IE安全級別設定太低），但還是有很多使用者由於不注意而選擇了「是」才導致安裝了它，從而為往後的木馬開啟了方便之門。
因此在此特別提醒大家：上網期間如果遇到提示是否安裝某某程式或元件的時候，即使提示程式已經經過認證，但只要自己對它不熟悉也最好不要選「是」。另外還至少要把自己IE的安全級別設定為「中」即「預設級別」。

係米d病毒data未ud，試下ud左先再做！

另可以去www.pctools.com，download另一隻黎掃毒，幾好用kar，試過有部腦用緊nod32，用nod32做完再用pctools做，重可以換出幾隻未死既係到。又唔使錢既，不防一試！

試吓開機按F8入安全模式，然後在程式集裡面開啟NOD32 Scan，可能幫到你。