關閉「系統還原」的步驟

   1. 按一下 [開始]，用滑鼠右鍵按一下 [我的電腦]，然後按一下 [內容]。
   2. 在 [系統內容] 對話方塊中，按一下 [系統還原] 索引標籤。
   3. 按一下以選取 [關閉系統還原] 核取方塊。或者，按一下以選取 [關閉所有磁碟上的系統還原] 核取方塊。
   4. 按一下 [確定]。

下載ATF-Cleaner
http://www.atribune.org/
執行ATF-Cleaner.exe
勾選全部,按Empty Selected.

1.關閉Internet Explorer及已開啟的檔案資料夾視窗.
2.執行Hijackthis,
3.按Do a system scan only，稍等一下直至  "Scan" 變成 "Save log"
4.勾選以下項目(左方方格)，按 "Fix checked"，hijackthis會提示你重啟，如在此一步驟後，可重新啟動電腦。

O2 - BHO: AdPopup - {11F09AFD-75AD-4E51-AB43-E09E9351CE16} - C:\Program Files\Common Files\PushWare\cpush.dll (file missing)
O2 - BHO: Info cache - {296AB8C6-FB22-4D17-8834-064E2BA0A6F0} - C:\WINDOWS\Intel\baiduc.dll (file missing)
O2 - BHO: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL (file missing)
O2 - BHO: (no name) - {70DF1AE4-AF9E-4457-8A6A-D2D49691FF4B} - C:\Program Files\Internet Explorer\DoboMako.lsp (file missing)
O3 - Toolbar: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL (file missing)
O4 - HKLM\..\Policies\Explorer\Run: [qq2983] C:\WINDOWS\system32\a1.exe
O9 - Extra button: 轎煤儕粗弝ⅰ閉霜釧婓盄夤艘 - {022C4009-5283-4365-97BF-144054B40E2E} - http://itv.mop.com (file missing)
O9 - Extra 'Tools' menuitem: 畦啪萇弝 - {022C4009-5283-4365-97BF-144054B40E2E} - http://itv.mop.com (file missing)
O9 - Extra button: (no name) - {09BA8F6D-CB54-424B-839C-C2A6C8E6B436} - (no file)
O20 - AppInit_DLLs: C:\WINDOWS\System32\12days.dll
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe

下載 ComboFix 至桌面

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

    * 執行 ComboFix

      注意: 為防止保安軟件將 ComboFix 錯誤列為危險檔案. 執行 ComboFix 之前請將防毒軟件及反間諜軟件暫時關閉. 另外，ComboFix 運作其間請勿執行任何程式或用滑鼠點擊 ComboFix 視窗.

    * ComboFix 會彈出視窗，按是 (Y)
    * 假如需要安裝恢復控制台，按是 (Y) 進行安裝. 完成安裝後按是 (Y) 繼續.
    * 程式會進行掃描，其間桌面可能會暫時消失. 完成掃描後，程式會自動關閉.
    * 之後 ComboFix 記錄會彈出，記錄會自動儲存於 C:\ComboFix.txt
    * 重新啟動電腦.
    * 貼上 ComboFix 記錄.

如果報告太長,可以上傳到 這裡 http://www.box.net

去VirusTotal  

http://www.virustotal.com/

Check下以下檔案.

C:\WINDOWS\system32\scvhost.exe

貼上報告連結.

ComboFix 記錄不完整.

Step: CFScript


    * 開啟記事本,貼上以下內容

KILLALL::

File::
C:\WINDOWS\GooGleeee.vbs
C:\WINDOWS\system32\drivers\ok.gle
C:\WINDOWS\system32\drivers\L1.gle
C:\WINDOWS\system32\drivers\L3.gle
C:\WINDOWS\system32\drivers\L4.gle
C:\WINDOWS\system32\drivers\L5.gle
C:\WINDOWS\system32\drivers\L6.gle
C:\WINDOWS\system32\12days.dll
C:\WINDOWS\system32\drivers\S101.gle
C:\WINDOWS\system32\drivers\S1.gle
C:\WINDOWS\system32\drivers\S8.gle
C:\WINDOWS\system32\drivers\S2.gle
C:\WINDOWS\system32\drivers\S12.gle
C:\WINDOWS\system32\drivers\S14.gle
C:\WINDOWS\system32\drivers\M5.gle
C:\WINDOWS\system32\drivers\M39.gle
C:\WINDOWS\system32\drivers\M25.gle
C:\WINDOWS\system32\drivers\M4.gle
C:\WINDOWS\system32\drivers\M35.gle
C:\WINDOWS\system32\drivers\M33.gle
C:\WINDOWS\system32\drivers\S15.gle
C:\WINDOWS\system32\drivers\S16.gle
C:\WINDOWS\system32\drivers\S21.gle
C:\WINDOWS\system32\drivers\M37.gle
C:\WINDOWS\system32\drivers\M15.gle
C:\WINDOWS\system32\drivers\M24.gle
C:\WINDOWS\system32\drivers\M23.gle
C:\WINDOWS\system32\drivers\S13.gle
C:\WINDOWS\system32\drivers\S17.gle
C:\WINDOWS\system32\drivers\S20.gle
C:\WINDOWS\system32\drivers\1a.gle
C:\WINDOWS\system32\drivers\a2.gle
C:\WINDOWS\system32\drivers\a10.gle
C:\WINDOWS\system32\drivers\a9.gle
C:\WINDOWS\system32\drivers\01.gle
C:\WINDOWS\system32\drivers\a8.gle
C:\WINDOWS\system32\drivers\S11.gle
C:\WINDOWS\system32\ormsgse.axz
C:\WINDOWS\sys.ini
C:\WINDOWS\tmp.dat
C:\WINDOWS\system32\a1.exe

儲存--->存檔類型--->所有檔案-->檔名輸入為 CFScript.txt
把CFScript.txt 拉到 ComboxFix.exe

    * ComboxFix 將會被執行
    * 執行完會有報告於C:\ComboFix.txt.

去VirusTotal  

http://www.virustotal.com/

Check下以下檔案.

c:\windows\ServicePackFiles\i386\scvhost.exe

貼上報告連結.

                                                                                                                                                                                                                       

按左fix cheaked都仲係到  
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe

可以不用Fix了