Question

危险 DLL:C:\WINDOWS\system32\quartz32.dll

请问这是什么病毒 现在机子杀毒要蓝屏 一开始关机都不行。

Answer 1

quartz32.dll这个文件可能和恶意加载网页有关，有讨论称，是“浏览器劫持”。

我今天早上也被江民查出quartz32.dll这个文件，当时立即用江民终止进程。后来发现不能打开任何网页，但是可以上QQ，同时，不能上QQ宠物，也不能打开skype（因为在上班，时间有限，未做更多的尝试）。
重启，进入安全模式，从同事电脑里复制quartz.dll文件（因为正常的WinXP SP2系统内并无quartz32.dll这个文件），覆盖，再重启，还是不能上网。
由于quartz32.dll是会恶意打开网页，所以在安全模式下运行Ad-Aware进行清理，但无视于补。
后来在网上看一下大家的意见，取其精华，下载WinsockxpFix.exe这个软件，在安全模式下修复，重启，仍不能上网。再修复，发现未配置TCP/IP，重新设置，成功。

最后，综合解决方式如下：
1.用杀毒软件杀毒，如不行，请进入安全模式自行删除quartz32.dll。
2.用WinsockxpFix.exe修复winsock应用失败。
3.重新配置TCP/IP（似乎有的电脑不需要）

最后，请不要安装百度搜霸、google bar、雅虎/3721助手之类的垃圾软件，不需要使用超级兔子之类的系统优化软件，这些软件都和病毒没区别。本次中毒和修复，我只用了江民杀毒软件2006和WinsockxpFix两个软件。

Answer 2

流氓quartz32.dll和msplus.dll的解决办法

症状：在正常情况下，或用一些搜索引擎搜索某关键词时，频繁弹出以roogoo.com为指向的广告窗口，目前杀软是能报警的，但在处理上，却存在问题，它采用驱动隐藏保护，找不到源头，无法清除，即使隔离或删除了，可能会出现上不了网的现象。

　　来历及工作方式：来历很简单，就是那个roogoo.com，自称“通用搜索”，其工作方式和Yayad等其他流氓几乎一样，通过各种流氓方式先给同学们安装一个客户端，然后再向一些企业兜售，并通过客户端弹出付费企业的广告。

　　分析：由于这个东东不断升级，所释放的东西也不尽相同，以下分析主要是参照Symantec和毒霸

1.生成下列文件其中的某一个到系统目录 【先别动，处理参照下面的解决办法】

%System%\msplus.dll
%System%\msplus1.dll
%System%\msplus2.dll
%System%\msplus3.dll
%System%\msplus4.dll

%System%\quartz32.dll
%System%\wshcon32.dll
%System%\secur.dll
%System%\raspapi.dll
%System%\winipsec32.dll

在hijackthis日志里的体现位置为O10项，比如

O10 - Unknown file in Winsock LSP: c:\windows\system32\quartz32.dll

2.创建注册表信息 【进入注册表删除相关信息】

HKEY_CLASSES_ROOT\CLSID\{18F57D30-EF36-4C0E-9343-7BFA6DF79B4A}
HKEY_CLASSES_ROOT\Interface\{2805A558-1E98-48FB-8BA5-49A3AD78B129}
HKEY_CLASSES_ROOT\TypeLib\{57F7A59D-8F7F-41B2-98B8-A095456716E9}
HKEY_CLASSES_ROOT\Adplus.XLink
HKEY_CLASSES_ROOT\Adplus.XLink.1
HKEY_LOCAL_MACHINE\SOFTWARE\Roogoo

3.在注册表里创建键值 【进入注册表删除下面列出的右窗所创建信息】

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion

右窗创建 "FROMID" = "roogoo"

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3

右窗创建 "2102" = "0"

4.释放WS2IFSL.SYS文件创建系统驱动服务，以及在注册表里体现

【进入注册表，删除相关信息，并删除病毒文件，如果LEGACY_WS2IFSL
这一项删除不动的话，参考注册表残余信息的处理】

c:\windows\System32\drivers\ws2ifsl.sys

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WS2IFSL
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WS2IFSL

解决办法：上面分析中的“1”，先不要动

1.上面分析中的“1”，先不要动

2.依据上面分析中2、3、4条中的粗体字部分，进入注册表删除相关信息，并删除病毒文件

3.再根据下面这篇日志的来修复分析中的“1”

O10 - 未知的文件在 Winsock LSP: d:\kv2006\kvsock.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\hbmter.dll(很棒小秘书)
............

简单弱分析

江民的这个就不说了，应该是可以信任的，只说流氓，这样的流氓本领是比较大的，就是说它已经进入了Winsock，这时，它可以监视用户电脑跟网络的通讯活动。

而这个winsock指系统同通过TCP/IP进行连接的过程。流氓们进入winsock后，这时可是怠慢不得的，按照常规处理它，比如使用安全工具直接删除，或者手工干掉等等，这就会可能会出现下列症状：

－－电脑无法连接互联网
－－只能通过ip来访问网站，域名不能被解析
－－部分平台或即时通讯软件无法使用
－－等等internet不通的问题

鉴于此，处理这样的流氓，不要太粗暴噢，而我一般不会建议求助会员修复这一项，以免多事。

但是这些东西看着实在碍眼的很，对于有洁癖的用户来说简直难以忍受。

解决办法（强烈建议事先备份注册表）：

1.手工修复

进入注册表，删除
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Winsock
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Winsock2

然后重新启动机器，重新启动过程中，被删除的注册表信息会自动重新建立，重新建立的东东当然是干净的。
重新启动后，再把TCP/IP协议给装下，如何装就不多说了，网上搜索下大把的抓，TCP/IP协议重装后，再重新启动机器，这个时候，问题已经解决。

2.借助工具

这里就要提到LSPFix.exe和winsockxpfix.exe，它们的下载页面为
[url]http://www.winsockfix.nl[/url]
LSPFix.exe在置顶贴中的反病毒常用工具里有下载

拿LSPFix.exe来说，打开界面
勾选“I know what I'm doing”
再看下边，左右两个框框，分别为Keep和Remove
确定左边出问题的dll文件，然后点两个框框之间的 ,进行Remove
然后重新启动电脑，问题得到解决。

Answer 3

这个是 通用搜索公司 做的，安装在许多网络下载的自解压缩文件中，隐蔽安装，没有任何卸载程序。
表现特征为使用任何搜索引擎就会弹出广告。
不同于以前的ROOGOO病毒，这个在注册表生成这个键值：
HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\RGWatch
该注册表无法删除，删除任何子项均会自动修复！
还有这2个文件也无法删除
C:\Windows\system32\drivers\RGwatch.sys
C:\Windows\system32\quartz32.dll

现在你可以开始着手了：
首先去下个UNLOCK：（这个是新版的，1.7版的不行）

UNLOCK下载地址：
http://www.crsky.com/soft/5890.html
然后再去下个WinsockxpFix
下载地址你找一下吧，实在不行留言我MAIL你一份。
接下来就可以工作了，先找到C:\Windows\system32\drivers\RGwatch.sys这个文件，点击右键用UNLOCK进行删除（动作选择‘删除’，然后选择‘解锁’）；
然后找到文件：
用上法点击右键选择UNLOCK，可能会出现好多条被编定的文件，一并选中，动作选成“无动作”，然后点“解锁”，然后再回到文件夹C:\Windows\system32\quartz32.dll中右键点击quartz32.dll，动作选择“删除”，然后解锁，提示无法删除，需重启后删除（不用管他）；
然后重启（我是先把UNLOCK设置了自动启动），我是在安全模式下做的这步：
运行WinsockxpFix修复TCP/IP（否则不能上网），如果修复不成功，可按照以下方法手动修复：
点击开始> 控制面板> 网络连接> 本地连接
点击属性

点击安装
选择协议

点击增加
点击硬盘
浏览对%Windir% \ inf文件夹(一般为c:\windows\inf)

点击打开
点击确定
选择互联网协议(TCP/IP) ,不要选择Microsoft TCP/IP版本6!
点击确定
重新启动计算机

重启后再打开C:\Windows\system32\drivers及C:\Windows\system32
看看，哈哈，quartz32.dll不在了，成功！！！！