四、使用 Process Monitor + Syscheck 移除木馬
轉載自：http://hi.baidu.com/drzebra......7ddfbb3fb9569.html
「IEHelper_*.dll」木馬組件的刪除，syscheck 反黑工具 ＋ Process Monitor 組合拳出擊！
一、IEHelper_*.dll 木馬的種類，存在位置和危害
我搜索了一下IEHelper_*.dll至少有以下幾個版本：
IEHelper.dll
IEHelper_5001.dll Iehelper_5012.dll Iehelper_5013.dll
Iehelper_5016.dl Iehelper_5025.dll Iehelper_5026.dll
Iehelper 5048.dll IEHelper_5058.dll IEHelper_5066.dll
Iehelper_5068.dll Iehelper_5078.dll IEHelper_5201.dll
IEHelper2006829_4702.dll
該木馬存在的常見位置為：
%System%\IEHelper.dll
X:\Program Files\BB\IEHelper
X:\Documents and Settings\All Users\Application Data\Microsoft\UserData\IEHelper_*.dll
X:\Documents and Settings\All Users\Application Data\Microsoft\IEHelper_*.dll
危害/危險程度：
1.這木馬組件用來攔截按鍵，攔截鍵盤信息。IEHelper.dll 處理在瀏覽器中輸入數據所引發的 IE 事件。並將攔截的數據及URL存放在 %system%Passlogx.log 中[1]。
2.IEHelper 如不及時清除，會引進數十種木馬，嚴重的導致計算機系統崩潰、藍屏，較輕的導致運行速度極慢。
3.影響系統穩定性，IE 無法打開，不定期跳出不明網頁IE彈出廣告。
二、網絡上的解決辦法 (沒有驗證，不一定有效！)
方法1：[2]
A.先關閉 IE 瀏覽器;
B.再[開始]->[運行]-> regsvr32 /u x:\xx\iehelper_×.dll;
C.到 IEhelper.dll 的安裝目錄下，直接刪除它;
D.清理一下註冊表，對「IEHelper_×.dll」做徹底清除。
方法2：[3]
A.金山毒霸中帶有文件粉碎機這個程序，我就用這程序把「IEHelper_5066.dll」直接粉碎
B.粉碎後有會出現個「KKKKKKKKK」的文件，然後在把這文件剪貼到另外一個文件夾下，之後 DEL 直接刪除。
C.清理一下註冊表，對「IEHelper_×.dll」做徹底清除。
方法3： 該方法有點搞笑？
A.先找到 DLL 文件的目錄
B.然後把 IEHelper_×.dll 剪切移動到桌面上
C.刪除這個 DLL 文件的上一級目錄,好像是 userdata,
D.然後回到桌面,把那個DLL文件直接拖到回收站裡,最後清空回收站應該就搞定了.
三、本站提供的較為專業的手動清除辦法
首先,下載兩個工具：
1。syscheck 反黑工具：http://free5.ys168.com/?wangsea
2。Process Monitor 進程監視軟件：本帖下載。
(一) 簡易方法： 針對 IEHelper_X.dll 的注入 iexplore.exe 進程的情況
A. 打開一個IE瀏覽器窗口
B.【運行 syscheck1.0061】->【進程管理】->
C. 按下底下【防止驅動阻止修復】，同時選取【禁止外部線程創建】->
D. 選定【iexplore.exe】->查看界面下半部分【模塊信息】
註：【模塊信息】中包含了 IE 瀏覽器加載的所有 DLL,OCX 文件信息
E. 選定【模塊信息】中的 IEHelper_×dll 項-> 點擊鼠標右鍵->【卸載模塊並刪除文件】
F. 等上幾秒鐘，IEHelper_×.dll 就被完全刪除了。
G. 最後清理一下註冊表，搜索「IEHelper_×.dll」內容，徹底清除。
用以上的方法可以刪除最厲害的病毒/木馬，沒有不成功的！
IceSworld刪除不了的，syscheck也可以呵！
再次謝謝紅葉大蝦，開發出如此優秀的反黑軟件！
(二)高級方法： 針對 rookit 技術的病毒主程序釋放出/修復 IEHelper_×.dll 的情況
A. Process Monitor 監視文件 IEHelper_X.dll 的活動，檢查其注入到哪個進程，或由哪個病毒主程序釋放。
【運行Process Monitor 1.0】-> 跳出【Process Monitor Filter】選項：
【Auhentication ID】下拉選中 path (路徑)->
【is】下拉選中 contains (包含)->
【】空白處輸入 IEHelper->
【Include】不要更改->
點擊【Add】按鈕->
點擊【ok】按鈕->
設置好了，接下來，你要耐心等待3－5分鐘....，因為 Process Monitor 將對所有的系統消息 (至少40萬條) 進行篩選。包含【IEHelper】內容的文件讀寫,註冊表操作,線程進程活動都會被捕獲，你可以一覽無餘了。
B. 直接去 IEhelper_*.dll 的安裝目錄下,做一下刪除操作
註：當然刪不掉的啦，只不過是激活一下木馬，看看到底是哪個隱藏的進程在保護它。
只要木馬病毒有活動，Process Monitor 就會將這些活動記錄在案，哈哈！
C. 回到 Process Monitor 界面，查看新增加的包含 IEhelper 的消息。
你只要查找 path 欄中含有你的 IEhelper_*.dll 的信息，看看 Process Name 是誰？
D. 如果發現是 explorer.exe, svhost.exe,lsass.exe,rundll32 之類的系統進程，那說明 IEhelper_*.dll 是注入到系統進程中來發揮作用。
解決方法見 (一) 簡易方法.....--->【卸載模塊並刪除文件】即可
E. 如果發現 Process Name 是非系統進程的陌生 exe，那就是病毒主程序啦。
記下位置，以及 exe 文件名。
【運行 syscheck1.0061】->到【進程管理】看看->病毒主程序是否在進程裡->
在的話點擊鼠標右鍵->【刪除進程到回收站】
或
【僅結束指定進程】->然後點擊 syscheck【文件瀏覽】
->類似windows資源管理器操作，到病毒主程序所在位置
(下部有一個【僅顯示有隱藏屬性的文件】，有時看非隱藏屬性文件要去掉前面的鉤)
->選定病毒主程序->點擊鼠標右鍵->【刪除文件】
(或【傳送到其它文件夾】，作為病毒樣本保存)
F. 通過步驟【E】，病毒主程序也被我們幹掉了。有時病毒的保護程序不止一個，此時參照【U 盤病毒MVS.exe，MVH.exe，ALMV.exe，RCS.exe 的清除】操作。
G. 此時的 IEhelper_*.dll 已經成為孤家寡人，直接刪掉就是。
H. 最後清理一下註冊表，搜索「IEHelper_*.dll」內容，徹底清除。
如果以上操作無誤，並解決了問題，而且幹得很利索...
恭喜！你已經步入刪毒高手之列。
以後什麼木馬病毒，依葫蘆畫樣統統都搞定! |
|
