绿坝-花季护航LH-setup3.17清理全过程，615修改

6月15日,那个reg delete 命令好像有错..晕死.改了下,顺便增加几个漏网的,包括截图目录(只隐藏,未加密)


7月1日开始就要求所有品牌机预安装了.但据有些网友试用说.该软件没有明显的卸载入口,找到卸载程序后也卸载不干净,而且软件本身在运行过程中使用病毒经常用的交叉保护模式.2个进程相互关联保护,结束掉一个,会由另外的进程再生成.
有没有人深入研究一下,怎么清除这个东东..


~~~~~~
PS:另外这2天刚整一个win32 fujacks病毒,搞的最后整的全盘格式化了,注:99%的EXE被感染,无法修复,谁知道有什么修复工具吗?


=======================
初试卸载，结果如下
=======================
tskill /f /im /XDaemon.exe /im /XNet2.exe /im /HncEng.exe /im /MPSvcC.exe
想学病毒的交叉保护,可惜真的做的很差.貌似启动
一开始是试着用冰刃的,结束XDaemon.exe XNet2.exe 这2个起到交叉保护,单独结束其中1个可再生
然后同时选中,同时结束就没有了,不会再生,另2个随便结束..
然后就想用windows本身的命令试试..以前用tskill都是结束单个,查看帮助 tskill/?
呵呵.里面有示例,可以结束多个,那就试一下呗.
把绿坝的几个进程都放到一行命令里.敲回车,哈哈,居然真的全结束了..过一会再去查看日志,也没有继续监控了..至于其他的注册表项,以及生成的文件,可以在安装的时候通过total uninstall及注册表对比工具记录比较,我是用的total uninstall可以导出反安装的注册表文件,不过貌似有些地方要修改,还有个驱动层的文件注册表项貌似漏记了,而且好像winsock项错误,我导入了一下,貌似不能上网了,,因为下班了,时间来不及,没再试了..明天继续

大家有没有完善的工具,最好是简单的批处理和注册表修复的文件.发上来看看
没事的也可以自己试试,请试验前做好系统备份,以防万一!

==================================
更新卸载批处理+注册表恢复文件,欢迎测试!!!
高手完善下,写个助手清理脚本

文件: C:\Documents and Settings\Administrator\桌面\kill_lb.cmd
大小: 6489 字节
修改时间: 2009年6月12日, 13:58:33
MD5: D253879DF32A82807980BB6F5194AE5C
SHA1: 7708441F7B768CA7FDB72CE55DF2F084444CEA6F
CRC32: 960E4AB6
文件: C:\Documents and Settings\Administrator\桌面\LH-setup3.17.Uninstall.reg
大小: 5478 字节
修改时间: 2009年6月12日, 12:14:27
MD5: 8077335B194A1398836A6CEAE7221D8B
SHA1: FE9B12882FE547CB414E878A305B7B0510C14820
CRC32: AAA1AE06


============================
将注册表文件内容改写为命令行形式进行修改
请将以下文字另存为"*.bat"或者"*.cmd"
: DEL 变成: D，晕了，请下载脚本，源码供参考！
==================(不包含）====
@echo off
color 2f
echo ---------------------------------------------------------------------------
echo.
echo 纯属个人爱好,仅供测试,请在测试前做好相关备份!
echo 纯技术研究，对执行本程序所引起的任何后果概不负责
echo.
echo ---------------------------------------------------------------------------
echo.
SET /P ST= 请输入 Y (结束相关进程)或 C (退出本程序)：
echo.
if /I "%ST%"=="Y" goto KILL
if /I "%ST%"=="C" goto EX
goto EX

:KILL
cls
taskkill /f /im xnet2.exe /im xdaemon.exe /im MPSvcC.exe /im HncEng.exe

echo.
SET /P ST= 请输入 Y (删除相关文件)或 C (退出本程序)：
echo.
if /I "%ST%"=="Y" goto DEL
if /I "%ST%"=="C" goto EX
goto EX

: DEL
cls
del /f /s /q "C:\Documents and Settings\All Users\桌面\绿坝 花季护航.lnk"
rd /s /q "C:\Documents and Settings\All Users\「开始」菜单\程序\绿坝 花季护航"
del /f /s /q %windir%\CardLib.dll
del /f /s /q %windir%\CImage.dll
del /f /s /q %windir%\cximage.dll
del /f /s /q %windir%\dbfilter.dll
del /f /s /q %windir%\HncStdRun.ini
del /f /s /q %windir%\dbServ.dll
del /f /s /q %windir%\Handler.dll
del /f /s /q %windir%\HASrv.dll
del /f /s /q %windir%\HncEng.exe
del /f /s /q %windir%\HncEngPS.dll
del /f /s /q %windir%\image.dat
del /f /s /q %windir%\image1.dat
del /f /s /q %windir%\InjLib32.dll
del /f /s /q %windir%\kwimage.dll
del /f /s /q %windir%\kwselectinfopp.dll
del /f /s /q %windir%\MPSvcC.exe
del /f /s /q %windir%\MPSvcDll.dll
del /f /s /q %windir%\MPSvcPS.dll
del /f /s /q %windir%\SentenceObj.dll
del /f /s /q %windir%\Surfgd.dll
del /f /s /q %windir%\vnew.bmp
del /f /s /q %windir%\xstring.s2g
del /f /s /q %windir%\Help\kw.chm
del /f /s /q %windir%\system32\1.urf
del /f /s /q %windir%\system32\2.urf
del /f /s /q %windir%\system32\3.urf
del /f /s /q %windir%\system32\4.urf
del /f /s /q %windir%\system32\5.urf
del /f /s /q %windir%\system32\6.urf
del /f /s /q %windir%\system32\7.urf
del /f /s /q %windir%\system32\adwapp.dat
del /f /s /q %windir%\system32\adwfil.dat
del /f /s /q %windir%\system32\appface.dll
del /f /s /q %windir%\system32\auctfil.dat
del /f /s /q %windir%\system32\bnrfil.dat
del /f /s /q %windir%\system32\bsnlst.dat
del /f /s /q %windir%\system32\chtfil.dat
del /f /s /q %windir%\system32\csnews.dat
del /f /s /q %windir%\system32\cultfil.dat
del /f /s /q %windir%\system32\entfil.dat
del /f /s /q %windir%\system32\filtport.dat
del /f /s /q %windir%\system32\FImage.dll
del /f /s /q %windir%\system32\finfil.dat
del /f /s /q %windir%\system32\fmfil.dat
del /f /s /q %windir%\system32\fshrfil.dat
del /f /s /q %windir%\system32\gblfil.dat
del /f /s /q %windir%\system32\gdwfil.dat
del /f /s /q %windir%\system32\gn.exe
del /f /s /q %windir%\system32\gnfil.dat
del /f /s /q %windir%\system32\hatfil.dat
del /f /s /q %windir%\system32\iawfil.dat
del /f /s /q %windir%\system32\imgfil.dat
del /f /s /q %windir%\system32\IPGate.dll
del /f /s /q %windir%\system32\jbfil.dat
del /f /s /q %windir%\system32\kwdata.exe
del /f /s /q %windir%\system32\lgwfil.dat
del /f /s /q %windir%\system32\looklog.exe
del /f /s /q %windir%\system32\lookpic.exe
del /f /s /q %windir%\system32\movfil.dat
del /f /s /q %windir%\system32\mp3fil.dat
del /f /s /q %windir%\system32\nvgamfil.dat
del /f /s /q %windir%\system32\perfil.dat
del /f /s /q %windir%\system32\picsfil.dat
del /f /s /q %windir%\system32\pkmon.dat
del /f /s /q %windir%\system32\popfil.dat
del /f /s /q %windir%\system32\poppo.dll
del /f /s /q %windir%\system32\psyfil.dat
del /f /s /q %windir%\system32\RunAfterSetup.exe
del /f /s /q %windir%\system32\sporfil.dat
del /f /s /q %windir%\system32\swfil.dat
del /f /s /q %windir%\system32\sys.dat
del /f /s /q %windir%\system32\sysEx.dat
del /f /s /q %windir%\system32\tafil.dat
del /f /s /q %windir%\system32\tapfil.dat
del /f /s /q %windir%\system32\TrustUrl.dat
del /f /s /q %windir%\system32\Update.exe
del /f /s /q %windir%\system32\vgamfil.dat
del /f /s /q %windir%\system32\viofil.dat
del /f /s /q %windir%\system32\wfile.dat
del /f /s /q %windir%\system32\wfileu.dat
del /f /s /q %windir%\system32\win2kspi.reg
del /f /s /q %windir%\system32\Win98Spi.reg
del /f /s /q %windir%\system32\winvista.reg
del /f /s /q %windir%\system32\winxpSpi.reg
del /f /s /q %windir%\system32\wrestfil.dat
del /f /s /q %windir%\system32\wzfil.dat
del /f /s /q %windir%\system32\x?00.*
del /f /s /q %windir%\system32\xabout.dat
del /f /s /q %windir%\system32\xconfigs.dat
del /f /s /q %windir%\system32\xcore.dll
del /f /s /q %windir%\system32\Xcv.dll
del /f /s /q %windir%\system32\XDaemon.exe
del /f /s /q %windir%\system32\XFimage.xml
del /f /s /q %windir%\system32\XNet2.exe
del /f /s /q %windir%\system32\xnet2_lang.ini
del /f /s /q %windir%\system32\Xtool.dll
del /f /s /q %windir%\system32\xwordh.dat
del /f /s /q %windir%\system32\xwordl.dat
del /f /s /q %windir%\system32\xwordm.dat
del /f /s /q %windir%\system32\drivers\mgtaki.sys
rd /s /q %windir%\system32\images
rd /s /q %windir%\system32\sysdir
rd /s /q %windir%\drivrs
rd /s /q %windir%\scrsnap
rd /s /q %windir%\snap
rd /s /q %windir%\HNCLIB

echo ---------------------------------------------------------------------------------
echo.
echo 文件清理完毕,准备清理相关注册表项,请事先做好备份!
echo.
echo ---------------------------------------------------------------------------------
echo.
SET /P ST= 请输入 S (清理垃圾文件后清理注册表) 或 Y (清理注册表) 或 C (退出本程序)：
echo.
if /I "%ST%"=="S" goto CL
if /I "%ST%"=="Y" goto REG
if /I "%ST%"=="C" goto EX
goto EX

:CL
del /f /s /q %systemdrive%\*.tmp
del /f /s /q %systemdrive%\*._mp
del /f /s /q %systemdrive%\*.log
del /f /s /q %systemdrive%\*.gid
del /f /s /q %systemdrive%\*.chk
del /f /s /q %systemdrive%\*.old
del /f /s /q %systemdrive%\recycled\*.*
del /f /s /q %windir%\*.bak
del /f /s /q %windir%\prefetch\*.*
rd /s /q %windir%\temp & md %windir%\temp
del /f /q %userprofile%\recent\*.*
del /f /s /q "%userprofile%\Local Settings\Temporary Internet Files\*.*"
del /f /s /q "%userprofile%\Local Settings\Temp\*.*"
del /f /s /q "%userprofile%\recent\*.*"

:REG
cls
> "%Temp%.\DefOpen.reg" ECHO Windows Registry Editor Version 5.00
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{56835A03-3BAA-49F0-BA6E-8EEFD6D62991}]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{FC7E85B1-FB3F-4D78-AA2F-EC5EEFBFAB75}]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{19292342-2D7D-4FF9-B65E-14B4796DF217}]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{56835A03-3BAA-49F0-BA6E-8EEFD6D62960}]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{56835A03-3BAA-49F0-BA6E-8EEFD6D62991}]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{FC7E85B1-FB3F-4D78-AA2F-EC5EEFBFAB75}]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{19292342-2D7D-4FF9-B65E-14B4796DF217}]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{56835A03-3BAA-49F0-BA6E-8EEFD6D62960}]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{DD3FAED2-92E8-4486-8955-BFAFB3742B6B}]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{DD3FAED2-92E8-4486-8955-BFAFB3742B6C}]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{DD3FAED2-92E8-4486-8955-BFAFB3742B6D}]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{DD3FAED2-92E8-4486-8955-BFAFB3742B6E}]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{EF5AF0D3-40D1-4741-A399-873EB6FF0BA7}]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\KingWay]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\FWCFG]
>>"%Temp%.\DefOpen.reg" ECHO [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
>>"%Temp%.\DefOpen.reg" ECHO "Xnet2"=-
>>"%Temp%.\DefOpen.reg" ECHO [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDlls]
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\CImage.dll"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\dbServ.dll"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\Handler.dll"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\HASrv.dll"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\HncEng.exe"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\HncEngPS.dll"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\HNCLIB\\FalunWord.lib"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\InjLib32.dll"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\kwimage.dll"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\kwselectinfopp.dll"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\MPSvcC.exe"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\MPSvcDll.dll"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\MPSvcPS.dll"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\SentenceObj.dll"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\Surfgd.dll"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\system32\\gn.exe"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\system32\\kwdata.exe"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\system32\\looklog.exe"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\system32\\lookpic.exe"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\system32\\Update.exe"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\system32\\xconfigs.dat"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\system32\\XDaemon.exe"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\system32\\XNet2.exe"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\vnew.bmp"=-
>>"%Temp%.\DefOpen.reg" ECHO "C:\\WINDOWS\\xstring.s2g"=-
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\xnet2]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MGTAKI]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SW\{2fc55a14-a61b-44f8-530e-2a1db7df41e1}]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\280D4C48-4FA2-4274-ACEC-1582EFA5DA7D]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MgTaki]
>>"%Temp%.\DefOpen.reg" ECHO.
>>"%Temp%.\DefOpen.reg" ECHO [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MsPowerSvc]
START /WAIT REGEDIT /S "%Temp%.\DefOpen.reg"
DEL "%Temp%.\DefOpen.reg"
echo ---------------------------------------------------------------------------
echo.
echo 相关注册表项清除完毕，准备重置winsock！！！
echo.
echo ---------------------------------------------------------------------------
echo.
SET /P ST= 请输入 Y (重置winsock)或 C (退出本程序)：
echo.
if /I "%ST%"=="Y" goto RW
if /I "%ST%"=="C" goto EX
goto EX

:RW
cls
netsh winsock reset

echo ---------------------------------------------------------------------------
echo.
echo 清理完毕，请重启电脑测试运行状况。
echo 水平有限，初次制作，可能有些地方遗漏，见谅!!!
echo 某些文件可能提示正在使用，不可清除!
echo 请重启电脑后，再次运行本程序至清除文件部分后退出!!!
echo.
echo ---------------------------------------------------------------------------
SET /P ST= 请输入 R (重启电脑)或 C (退出本程序)：
echo.
if /I "%ST%"=="R" goto RB
if /I "%ST%"=="C" goto EX
goto EX

:RB
shutdown -r -t 00


=================================(不包

含）


上图软件收集自网络,请自行杀毒

Kill_LB.rar (2.98 KB)
下载次数:16
5 天前 14:57





批处理+注册表文件

kill_lh_3.17.rar (2.3 KB)
下载次数:7
前天 13:21





纯批处理修改版

超级好帖！
就是有两个什么东东变成表情了……

转的，论坛表情代码不一样所导致.
你能编辑我帖子吧,中间加空格就好.

问题是我找不到这个表情啊

前面的几页没有，后面的全是叉……

去看了眼那边表情代码

笑脸= :D

神奇！
:D

=========================
绿坝娘:人家,人家才不是什么流氓软件呢!
=========================

魔女又回来了.:youxihou7:

那个手指胸脯的怎么不见了..:youxihou5:

人家现在叫绿坝娘

毛线在百度 用 花季·绿坝 密码 zzzsyzxl登陆下看看 :youxihou4:

发现我打反了~

是绿坝·花季嘛~~

竟然什么都没发现……
明天继续找:youxihou35: