症状：在正常情况下，或用一些搜索引擎搜索某关键词时，频繁弹出以roogoo.com为指向的广告窗口，目前杀软是能报警的，但在处理上，却存在问题，它采用驱动隐藏保护，找不到源头，无法清除，即使隔离或删除了，可能会出现上不了网的现象。
来历及工作方式：来历很简单，就是那个roogoo.com，自称“通用搜索”，其工作方式和Yayad等其他流氓几乎一样，通过各种流氓方式先给同学们安装一个客户端，然后再向一些企业兜售，并通过客户端弹出付费企业的广告。
分析：由于这个东东不断升级，所释放的东西也不尽相同，以下分析主要是参照Symantec和毒霸
1.生成下列文件其中的某一个到系统目录 【先别动，处理参照下面的解决办法】
%System%\msplus.dll
%System%\msplus1.dll
%System%\msplus2.dll
%System%\msplus3.dll
%System%\msplus4.dll
%System%\quartz32.dll
%System%\wshcon32.dll
%System%\secur.dll
%System%\raspapi.dll
%System%\winipsec32.dll
在hijackthis日志里的体现位置为O10项，比如
O10 - Unknown file in Winsock LSP: c:\windows\system32\quartz32.dll
2.创建注册表信息 【进入注册表删除相关信息】
HKEY_CLASSES_ROOT\CLSID\{18F57D30-EF36-4C0E-9343-7BFA6DF79B4A}
HKEY_CLASSES_ROOT\Interface\{2805A558-1E98-48FB-8BA5-49A3AD78B129}
HKEY_CLASSES_ROOT\TypeLib\{57F7A59D-8F7F-41B2-98B8-A095456716E9}
HKEY_CLASSES_ROOT\Adplus.XLink
HKEY_CLASSES_ROOT\Adplus.XLink.1
HKEY_LOCAL_MACHINE\SOFTWARE\Roogoo
3.在注册表里创建键值 【进入注册表删除下面列出的右窗所创建信息】
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
右窗创建 "FROMID" = "roogoo"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
右窗创建 "2102" = "0"
4.释放WS2IFSL.SYS文件创建系统驱动服务，以及在注册表里体现
【进入注册表，删除相关信息，并删除病毒文件，如果LEGACY_WS2IFSL
这一项删除不动的话，参考注册表残余信息的处理】
c:\windows\System32\drivers\ws2ifsl.sys
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WS2IFSL
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WS2IFSL
解决办法：上面分析中的“1”，先不要动
1.上面分析中的“1”，先不要动
2.依据上面分析中2、3、4条中的粗体字部分，进入注册表删除相关信息，并删除病毒文件
3.再根据下面这篇日志的来修复分析中的“1”
O10 - 未知的文件在 Winsock LSP: d:\kv2006\kvsock.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\hbmter.dll(很棒小秘书)
............
简单弱分析
江民的这个就不说了，应该是可以信任的，只说流氓，这样的流氓本领是比较大的，就是说它已经进入了Winsock，这时，它可以监视用户电脑跟网络的通讯活动。
而这个winsock指系统同通过TCP/IP进行连接的过程。流氓们进入winsock后，这时可是怠慢不得的，按照常规处理它，比如使用安全工具直接删除，或者手工干掉等等，这就会可能会出现下列症状：
－－电脑无法连接互联网
－－只能通过ip来访问网站，域名不能被解析
－－部分平台或即时通讯软件无法使用
－－等等internet不通的问题
鉴于此，处理这样的流氓，不要太粗暴噢，而我一般不会建议求助会员修复这一项，以免多事。
但是这些东西看着实在碍眼的很，对于有洁癖的用户来说简直难以忍受。
解决办法（强烈建议事先备份注册表）：
1.手工修复
进入注册表，删除
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Winsock
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Winsock2
然后重新启动机器，重新启动过程中，被删除的注册表信息会自动重新建立，重新建立的东东当然是干净的。
重新启动后，再把TCP/IP协议给装下，如何装就不多说了，网上搜索下大把的抓，TCP/IP协议重装后，再重新启动机器，这个时候，问题已经解决。
2.借助工具
这里就要提到LSPFix.exe和winsockxpfix.exe，它们的下载页面为
[url]http://www.winsockfix.nl[/url]
LSPFix.exe在置顶贴中的反病毒常用工具里有下载
拿LSPFix.exe来说，打开界面
勾选“I know what I'm doing”
再看下边，左右两个框框，分别为Keep和Remove
确定左边出问题的dll文件，然后点两个框框之间的 ,进行Remove
然后重新启动电脑，问题得到解决。
