求助 - 整個系統的語言顯示好像都有被病毒或木馬入侵的跡象

[plunderer]

那只能用 winpe 光碟開機了
http://www.duote.com/soft/8624.html
簡體中文的 PE 系統功能比較齊全, 問題也較少

下載後燒成光碟, 把電腦 bios 設成 CD-ROM 開機就行了

[wulom]

作者: plunderer

那只能用 winpe 光碟開機了
http://www.duote.com/soft/8624.html
簡體中文的 PE 系統功能比較齊全, 問題也較少

下載後燒成光碟, 把電腦 bios 設成 CD-ROM 開機就行了

多謝plunderer前輩指引一個那麼小巧可迅速燒錄的winpe載點。
我下載並燒錄後，是可以用光碟進去系統了。不過努力了數個小時，暫時還無法破解這個病毒。

順利進去系統後，有把您提供的Wsyscheck及XueTr都傳送至該電腦欲開啟，但不知是病毒問題、相容問題、還是語系的問題，我解壓縮Wsyscheck時，雖然有跑到100%好像即將要開啟程式的狀態，但仍是就此沒有任何反應而無法開啟程式。XueTr開啟時則是顯示「加載驅動失敗」的字樣，然後開出一個空殼子的操作版面，就是每個選項文字都存在，但點進去每個欄目都是空白的。我發現此模式下很多的應用程式似乎無法成功開啟或開啟不完全，不曉得是什麼原因。

另外在winpe系統中仍是無法開啟我的卡巴7.0。不過可以開啟"System Repair Engineer"，在啟動專案的註冊表裡，看到了那幾個中毒的註冊檔，但不知為何數量只顯示主要的六、七個而已。不像之前全部刪不掉的有數十個。不過在winpe裡依舊無法更動或刪除那些中毒的註冊檔。

後來我用該winpe裡內附的卡巴6.0進行全機掃毒，掃了四、五個小時才掃完，竟然說沒掃到半隻毒。我又從另一台電腦下載了簡體中文的卡巴8.0試用版傳送到該台中毒的電腦，想說最新版的應該掃得出毒，清不清得掉得要碰碰運氣，結果安裝時，程式跑到48%就卡死不動了。

附帶一提，在那台中毒的電腦昨天最後一次關機之前，為了能確實執行安全模式，我有在[ 執行 ]的部份輸入msconfig，然後選Boot.ini，然後再將SAFENOOT打勾，才關機的。原本以為可以再以安全模式進入掃毒後再改回來，想不到從此若正常開機就一定會進入那個藍底白字的死當畫面。

作者: october_pc

YAHOO搜尋引擎找Malwarebytes這個免費軟體
先清掉API HOOK的問題在看安全模式能進嗎
這個軟體還不盡完善但還夠用
安裝完更新後可能會變亂碼
到右上第3格改成正體中文在掃描
可能要清2次...怪怪的
有些查到的API HOOK機碼要第2次才清的掉
清完後再用ICLEAN看看能動嗎

建議您註冊史萊姆...有很多資源能用

回覆october大大，我在winpe下安裝奇摩搜尋抓到的Malwarebytes(共3.43MB)，安裝到最後卻出現"沒有找到MSVBVM60.DLL，因而程序未能啟動"的字樣。所以不能順利安裝，不曉得是什麼原因。另外我也十分樂意註冊史萊姆這個好站，最近便會撥空完成，感謝您告知有這個管道。

所以如上述內容總歸納一下，現在是可以用winpe光碟開機了。可是無法執行一半以上的程式、仍無法解除該病毒的毒性、以及無法以安全模式進入系統。請問前輩們我應該再做什麼樣的設定、或是嘗試哪些軟體程式才可能可以改善這個情境呢？

[plunderer]

winpe 是受限制的系統, 且是在光碟上, 本來就很多程式無法執行及安裝
再者, winpe 下執行 Wsyscheck, XueTr, System Repair Engineer 等系統工具是沒有意義的, 因為此時並非處於原來硬碟中的作業系統下, 系統工具是找不出問題的

用 winpe 開機, 主要目的是刪除原本硬碟中無法刪除的檔案:
<C:\WINDOWS\fonts\xbpCfXnG6wUVF.fon> []
<C:\WINDOWS\fonts\wQ7KbaNZKMe5G4qZ.fon> []
<C:\WINDOWS\fonts\A97CRaCB.fon> []
<C:\WINDOWS\fonts\uXUsF2RrQy.fon> []
<C:\WINDOWS\fonts\tY5UFS434YYd.fon> []
<C:\WINDOWS\fonts\MqppW9KYn.fon> []
<C:\WINDOWS\system32\GsfMwDWD3.dll> []
<C:\WINDOWS\system32\EN7hzSreCat8.dll> []
<C:\WINDOWS\system32\ybM7kf9heVHDx.dll> []
<C:\WINDOWS\system32\qB5BKZy7vR5m.dll> []
<C:\WINDOWS\system32\A0C86020.dll> []
<C:\WINDOWS\system32\dktXFYbT3G.dll> []
<C:\WINDOWS\system32\xg4hAPNygs29.dll> []
<C:\WINDOWS\system32\76B9BA7A.dll> []
<C:\WINDOWS\system32\dhDhwS7fFW.dll> []
<C:\WINDOWS\system32\skcfujQ5EDN.dll> []
<C:\WINDOWS\system32\RhdwE8NYdbqQ.dll> []
<C:\WINDOWS\system32\122B901E.dll> []

注意: 因為是用PE光碟開機, 所以 C: 是指光碟, 而原來硬碟中所有的磁碟代號都會後移

[wulom]

作者: plunderer

winpe 是受限制的系統, 且是在光碟上, 本來就很多程式無法執行及安裝
再者, winpe 下執行 Wsyscheck, XueTr, System Repair Engineer 等系統工具是沒有意義的, 因為此時並非處於原來硬碟中的作業系統下, 系統工具是找不出問題的

用 winpe 開機, 主要目的是刪除原本硬碟中無法刪除的檔案:
<C:\WINDOWS\fonts\xbpCfXnG6wUVF.fon> []
<C:\WINDOWS\fonts\wQ7KbaNZKMe5G4qZ.fon> []
<C:\WINDOWS\fonts\A97CRaCB.fon> []
<C:\WINDOWS\fonts\uXUsF2RrQy.fon> []
<C:\WINDOWS\fonts\tY5UFS434YYd.fon> []
<C:\WINDOWS\fonts\MqppW9KYn.fon> []
<C:\WINDOWS\system32\GsfMwDWD3.dll> []
<C:\WINDOWS\system32\EN7hzSreCat8.dll> []
<C:\WINDOWS\system32\ybM7kf9heVHDx.dll> []
<C:\WINDOWS\system32\qB5BKZy7vR5m.dll> []
<C:\WINDOWS\system32\A0C86020.dll> []
<C:\WINDOWS\system32\dktXFYbT3G.dll> []
<C:\WINDOWS\system32\xg4hAPNygs29.dll> []
<C:\WINDOWS\system32\76B9BA7A.dll> []
<C:\WINDOWS\system32\dhDhwS7fFW.dll> []
<C:\WINDOWS\system32\skcfujQ5EDN.dll> []
<C:\WINDOWS\system32\RhdwE8NYdbqQ.dll> []
<C:\WINDOWS\system32\122B901E.dll> []

注意: 因為是用PE光碟開機, 所以 C: 是指光碟, 而原來硬碟中所有的磁碟代號都會後移

我有在c檔找到上述那些檔案並刪除之，是一下就刪掉了，但若正常開機一樣會死當。
您說的c槽是指光碟，意思是說我上述那些病毒檔案的真正位置是在d槽？

我在pe裡開我的電腦，看到該光碟所屬磁碟代號是"b" 叫RAMDisk 0.98mb
而我的c、d、e槽裡頭的檔案容量、還有檔案，都沒有變動。

作者: october_pc

那你只好用WINPE看能把系統碟的boot.ini打開編輯
把savemode拿掉

我在winpe裡想執行輸入任何指令，都是無效的@@ 我再想想看有無辦法把自動安全模式開機取消掉…

[wulom]

剛才在System Repair Engineer裡，啟動專案裡的boot.ini，找到了將安全模式數字(1)修改為(0)的方框。後來重開機時，電腦先亮出一個dos畫面，說只能二選一啟動，分別是有一大串含有"windows professional"文字的選項，以及傳統win XP的選項，我選了第一項點進去，說找不到某個system32底下的.dll檔案，無法啟動；便以傳統win xp啟動，就進入CHKDSK修復磁碟的三步驟畫面，一樣是第一步驟很快就100%，可是第二步驟0%動都不動，所以我又重開直接跳過此步驟，現在是可以正常進入桌面了，可是一進入就又出現那個中毒螢幕七彩底色交替、按掉後每兩分鐘重現一次的中毒現象。另外系統有自動跳出「公用設定程式」，裡面自動勾選的「啟動」項中：我看不懂的項問名稱有hpoddt01.exe、Hare、ctfmon、m26、nn、hkcmd、igxftray、dumprep 0 - k，請問前輩們是否能認出這裡面有哪些是病毒、而哪些是重要的程式的？

另外現在打算用XueTr強制刪毒檔看看是否可以奏效。

[october_pc]

先關掉xp的系統還原
在到區域連線按右鍵-內容->把kaspersky antivirus ndis filter暫時關閉
下載最新版卡巴斯基（2009後面代碼是506）
完整卸載卡巴斯基重裝一次
在用其他工具程式掃看看
--------------------------
「啟動」裡面可以全部先取消打勾後重開機
病毒解決後在去開啟

[october_pc]

那你只好用WINPE看能把系統碟的boot.ini打開編輯
把savemode拿掉