瑞星卡卡安全论坛

xiexie  l 
wo qu cha

我只查到了这个 ： mag_hook.dll 没有 mag.exe和mag.dll 是不是还有问题？我的电脑前几天别人不小心中了这个毒。我已经重装了系统，用木马程序查没有发现病毒。只有几个可疑文件，请楼主给个意见，谢谢
c:/windows/ALCWZRD.EXE
c:/windows/system32/RAVEXT.DLL

哦了!十分感谢!

麻烦各位大侠看看我的哪个是灰鸽子，先谢谢了

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Corporation Limited - c:\program files\rising\rfw\rfwsrv.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - rising - C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
O23 - Service: Serve - Unknown owner - C:\WINDOWS\Serv.exe

杀不掉啊

我也中了 病毒有个DLL文件：Server_Hook.DLL在C：\windows这个档里  但是楼主你说的 G_Server.exe、G_Server.dll和G_Server_Hook.dll三个文件它们会生成什么名字啊  我只找到个Server_Hook.DLL其他的找不到了 然后我在安全模式下找到GAME.EXE删除掉了 也把Server_Hook.DLL掉了 重新启动了 病毒又重新生成 该怎么啊
哭 帮帮忙啊 我的QQ16569214 楼主能加我吗 帮下忙吧  第一次遇到这个 我真的是有点没办法了 怎么都杀不掉

【回复“liufengliufeng”的帖子】Serv.exe这个就是病毒

每次开机都会查到这个木马病毒Backdoor.Gpigeon.slf，并且能清楚成功，但是我按照以上提供的灰鸽子手工清除方法，找不到Game_Hook.dll文件，请问怎么办啊？

每次开机都会查到这个木马病毒Backdoor.Gpigeon.slf，并且能清楚成功，但是我按照以上提供的灰鸽子手工清除方法，找不到Game_Hook.dll文件，请问怎么办啊？谢谢各位高手了！

我的和31楼的一样 也是只查到mag_hook.dall没有其它两项是否有危险该删除吗?

引用:

【liufengliufeng的贴子】麻烦各位大侠看看我的哪个是灰鸽子，先谢谢了 O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll O23 - Service: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Corporation Limited - c:\program files\rising\rfw\rfwsrv.exe O23 - Service: Rising Process Communication Center (RsCCenter) - rising - C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - C:\PROGRAM FILES\RISING\RAV\Ravmond.exe O23 - Service: Serve - Unknown owner - C:\WINDOWS\Serv.exe鸽子 ...........................

引用:

【yaoi的贴子】我也中了 病毒有个DLL文件：Server_Hook.DLL在C：\windows这个档里  但是楼主你说的 G_Server.exe、G_Server.dll和G_Server_Hook.dll三个文件它们会生成什么名字啊  我只找到个Server_Hook.DLL其他的找不到了 然后我在安全模式下找到GAME.EXE删除掉了 也把Server_Hook.DLL掉了 重新启动了 病毒又重新生成 该怎么啊 哭 帮帮忙啊 我的QQ16569214 楼主能加我吗 帮下忙吧  第一次遇到这个 我真的是有点没办法了 怎么都杀不掉 ...........................

在本版置顶的常用小工具里下载个HijackThis v1.99.1，并扫个日志来看看~

估计你的机子上有两只鸽子~况且，你只是删除文件，注册表里的也改了吗？？

引用:

【hanbmei111的贴子】每次开机都会查到这个木马病毒Backdoor.Gpigeon.slf，并且能清楚成功，但是我按照以上提供的灰鸽子手工清除方法，找不到Game_Hook.dll文件，请问怎么办啊？谢谢各位高手了！ ...........................

你这样试一下，
断网，
关闭IE等程序，
清空临时文件夹，
并关闭系统还原后再杀一次毒~~

清空临时文件夹的方法：
IE》属性》删除文件（包括脱机文件）》确定

我的电脑》属性》系统还原》关闭所有盘的系统还原》确定

至于这个Game_Hook.dll
（并不是没次中鸽子，都会有这个文件，尽量找~~，鸽子会在C:\WINDOWS 这个文件夹下生成Game.exe以及包括Game名的dll文件，如，以你的电脑上的鸽子来说，它有可能会生成如下文件，
Game.exe  Game.dll  Game_Hook.dll  GameKey.dll

Game 这个是个可变名，而鸽子生成的文件也基本上是围绕 这个名字转，当然，要看清路径！（只是暂时可以这么说）

我的只查到mag_hook.dall没有其它几项是否有危险该删除吗?

引用:

【sishenjk的贴子】我的只查到mag_hook.dall没有其它几项是否有危险该删除吗? ...........................

mag_hook.dll（正常）
上面这个文件如果是在这个路径下的，则是正常，不要删除
C:\WINDOWS\system32（这是对于XP系统来说的）

如果是mag_hook.dall（那就不正常了~~）你看看你是不是写错了~~~

我的也是，怎么老杀不掉，，郁闷，，，

引用:

【上下左右2005的贴子】我的也是，怎么老杀不掉，，郁闷，，， ...........................

它可能还藏在你的临时文件夹和系统还原里
我的电脑》属性》系统还原》关闭所有盘的系统还原》确定
清空临时文件夹：
IE》属性》删除文件（包括脱机文件）》确定
重启后再杀一次毒看看~~

细致，学习！

楼主啊。我的瑞星在检测的时候显示一个程序的后面有个括号。里面写着会鸽子，但是我选取这个程序点右键杀毒。结果就是没有病毒和木马。在找到这个程序就不显示灰鸽子了。楼主能告诉我是种了灰鸽子的病毒了吗？？？？？？？？

楼主能帮我看一看我的日志有没有病毒好吗？线谢谢了

Logfile of HijackThis v1.99.1
Scan saved at 13:35:13, on 2006-2-1
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
d:\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
d:\Rav\Ravmond.exe
d:\rising\rfw\rfwproxy.exe
d:\rising\rfw\rfwsrv.exe
d:\Rav\RavStub.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
d:\rising\rfw\RfwMain.exe
C:\Program Files\CNNIC\Cdn\cdnup.exe
D:\Rav\RavTask.exe
D:\Rav\Ravmon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Common Files\COMM\Network.exe
F:\洪卫\vmware-authd.exe
C:\WINDOWS\system32\vmnat.exe
C:\WINDOWS\system32\RunDLL32.exe
C:\WINDOWS\system32\vmnetdhcp.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\conime.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\new\LOCALS~1\Temp\Rar$EX11.8547\HijackThis.exe

R3 - Default URLSearchHook is missing
O2 - BHO: QuickBtn - {1A199C20-DE2B-4838-AE3F-B5257ECE2B7E} - C:\Program Files\CoolWebsite\QuickLink.dll
O2 - BHO: (no name) - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - (no file)
O2 - BHO: BandIE Class - {77FEF28E-EB96-44FF-B511-3185DEA48697} - C:\Program Files\Baidu\Bar\BaiduBar.dll
O2 - BHO: Ad Class - {812886BE-AB50-4EAE-92CF-9AD63437E3EF} - C:\WINDOWS\SeAd\SeAd43b2af92.dll (file missing)
O2 - BHO: Accoona Search Assistant - {944864A5-3916-46E2-96A9-A2E84F3F1208} - C:\Program Files\Accoona\ASearchAssist.dll
O2 - BHO: BHO Class - {9A556B8F-FD02-420E-A1FD-9DB33808254E} - C:\WINDOWS\SePpBar\SeLineBar43cd86f4.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - D:\网际士快斐车礬\FLASHGET\jccatch.dll (file missing)
O2 - BHO: (no name) - {F5824EFB-728A-4726-A5A5-85A68B20EDC3} - (no file)
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - D:\网际士快斐车礬\FLASHGET\fgiebar.dll (file missing)
O3 - Toolbar: 百度超级搜霸 - {B580CF65-E151-49C3-B73F-70B13FCA8E86} - C:\Program Files\Baidu\Bar\BaiduBar.dll
O3 - Toolbar: 天天搜索(&T) - {102293E4-758B-4483-946B-714EBCEC91B8} - C:\WINDOWS\SePpBar\SeToolBar43cd86f4.dll
O4 - HKLM\..\Run: [CdnCtr] C:\Program Files\CNNIC\Cdn\cdnup.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [renewup] C:\Program Files\CNNIC\Cdn\cdnrenew.exe
O4 - HKLM\..\Run: [zcom] C:\Program Files\zcom\zPlatform.exe MIN
O4 - HKLM\..\Run: [RavTask] "d:\Rav\RavTask.exe" -system
O4 - HKLM\..\Run: [RfwMain] "D:\Rising\Rfw\rfwmain.exe" -Startup
O4 - HKLM\..\Run: [RavScanBD] "d:\rising\rfw\ScanBD.exe" /INST
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item:  >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\Mmsass~1.dll/mms.htm
O8 - Extra context menu item: 使用影音传送带下载 - C:\Program Files\Xi\NetTransport 2\NTAddLink.html
O8 - Extra context menu item: 使用影音传送带下载全部链接 - C:\Program Files\Xi\NetTransport 2\NTAddList.html
O8 - Extra context menu item: 使用网际快车下载 - D:\网际快车\FlashGet\jc_link.htm
O8 - Extra context menu item: 使用网际快车下载全部链接 - D:\网际快车\FlashGet\jc_all.htm
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: 添加到QQ自定义面板 - D:\qq\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - D:\qq\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - D:\qq\SendMMS.htm
O8 - Extra context menu item: 用比特精灵下载(&B) - D:\BitSpirit\bsurl.htm
O8 - Extra context menu item: 百度-搜索MP3 - res://C:\Program Files\Baidu\Bar\BaiduBar.dll/BAIDUMP3.HTM
O8 - Extra context menu item: 百度-搜索图片 - res://C:\Program Files\Baidu\Bar\BaiduBar.dll/BAIDUIMG.HTM
O8 - Extra context menu item: 百度-搜索新闻 - res://C:\Program Files\Baidu\Bar\BaiduBar.dll/BAIDUNEWS.HTM
O8 - Extra context menu item: 百度-搜索歌词 - res://C:\Program Files\Baidu\Bar\BaiduBar.dll/BAIDULYRIC.HTM
O8 - Extra context menu item: 百度-搜索网页 - res://C:\Program Files\Baidu\Bar\BaiduBar.dll/BAIDUSEARCH.HTM
O8 - Extra context menu item: 百度-搜索贴吧 - res://C:\Program Files\Baidu\Bar\BaiduBar.dll/BAIDUPOST.HTM
O8 - Extra context menu item: 百度-词典搜索 - res://C:\Program Files\Baidu\Bar\BaiduBar.dll/BAIDU_DIC.HTM
O8 - Extra context menu item: 访问通用网址 - C:\Program Files\CNNIC\Cdn\cnnic.htm
O9 - Extra button: 天天搜索 - {102293E4-758B-4483-946B-714EBCEC91B8} - C:\WINDOWS\SePpBar\SeToolBar43cd86f4.dll
O9 - Extra 'Tools' menuitem: 天天搜索 - {102293E4-758B-4483-946B-714EBCEC91B8} - C:\WINDOWS\SePpBar\SeToolBar43cd86f4.dll
O9 - Extra button: 实用网址导航 - {1D901067-2529-4A9B-9B6B-7A1DB3A44CB5} - C:\Program Files\CoolWebsite\QuickLink.dll
O9 - Extra button: 豪杰超级解霸9 - {367E0A21-8601-4986-9C9A-153BF5ACA118} - C:\Program Files\Herosoft\Hero 9\STHSDVD.EXE
O9 - Extra 'Tools' menuitem: 豪杰超级解霸9 - {367E0A21-8601-4986-9C9A-153BF5ACA118} - C:\Program Files\Herosoft\Hero 9\STHSDVD.EXE
O9 - Extra button: 微软 - {6096E38F-5AC1-4391-8EC4-75DFA92FB32F} - http://www.microsoft.com/china/index.htm (file missing)
O9 - Extra button: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra 'Tools' menuitem: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra button: kele8 - {84920E5F-3788-49cd-A274-E365578DF174} - http://www.kele8.com/ (file missing)
O9 - Extra 'Tools' menuitem: kele8 - {84920E5F-3788-49cd-A274-E365578DF174} - http://www.kele8.com/ (file missing)
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\网际快车\FLASHGET\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\网际快车\FLASHGET\flashget.exe
O9 - Extra button: 易趣购物 - {DE60714F-AC17-427e-861A-FD60CBDF119A} - http://adfarm.mediaplex.com/ad/ck/4080-23171-9517-195?cn=song;icon;hp&mpro=http://www.ebay.com.cn (file missing)
O9 - Extra 'Tools' menuitem: 易趣购物 - {DE60714F-AC17-427e-861A-FD60CBDF119A} - http://adfarm.mediaplex.com/ad/ck/4080-23171-9517-195?cn=song;icon;hp&mpro=http://www.ebay.com.cn (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\cdnns.dll
O11 - Options group: [CDNCLIENT]  中文上网
O16 - DPF: {ABA7CC7F-019D-47DB-A0D2-B3C2B3AC1B44} (Fc2Boot Class) - http://202.107.85.70/gameser/system/fc2boot.cab
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Rising Proxy  Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - d:\rising\rfw\rfwproxy.exe
O23 - Service: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Co., Ltd. - d:\rising\rfw\rfwsrv.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - d:\Rav\CCenter.exe
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - d:\Rav\Ravmond.exe
O23 - Service: Network System (Universal Disk Manager) - COMENET TECHNOLOGY - C:\Program Files\Common Files\COMM\Network.exe
O23 - Service: VMware Authorization Service (VMAuthdService) - VMware, Inc. - F:\洪卫\vmware-authd.exe
O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - C:\WINDOWS\system32\vmnetdhcp.exe
O23 - Service: VMware NAT Service - VMware, Inc. - C:\WINDOWS\system32\vmnat.exe

谢谢抄收

我今天早晨用瑞星最新版杀毒，杀出了Backdoor.Gpigeon.jmu
路径是IEXPLORE.EXE>>C:\Program files\Internet Exprorer\IEXPLORE.EXE

这是我的日志，请您帮着分析一下，以前我中的灰鸽子用木马克星扫描内存就可以杀了，这次杀不到，用瑞星杀了，從起又有了。我机器里又很多重要文件，我不想格机器，请您帮个忙，告诉该怎样查杀，谢谢了。

HijackThis_815汉化版扫描日志 V1.99.1
保存于 17:49:23, 日期 2006-11-1
操作系统： Windows XP SP2 (WinNT 5.01.2600)
浏览器： Unable to get Internet Explorer version!

当前运行的进程：
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
D:\瑞星\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
D:\瑞星\Rising\Rav\Ravmond.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
D:\瑞星\Rising\Rav\RavStub.exe
C:\WINDOWS\system32\Rundll32.exe
C:\WINDOWS\system32\rundll32.exe
D:\瑞星\Rising\Rav\RavTask.exe
C:\WINDOWS\system32\ctfmon.exe
D:\瑞星\Rising\Rav\Ravmon.exe
C:\WINDOWS\System32\alg.exe
C:\PROGRA~1\Yahoo!\ASSIST~1\ylive.exe
D:\QQ珊瑚虫\QQ\QQ.exe
D:\QQ珊瑚虫\QQ\TIMPlatform.exe
D:\TT\TTraveler.exe
C:\Program Files\Internet Explorer\iexplore.exe
D:\TT\TCPlus.exe
C:\Documents and Settings\HELLBOY\My Documents\临时文件夹\Hijackthis1991zww\HijackThis1991zww.exe

O2 - BHO: yPhtb - {33BBE430-0E42-4f12-B075-8D21ACB10DCB} - C:\PROGRA~1\Yahoo!\ASSIST~1\assist\yphtb.dll
O2 - BHO: 雅虎助手 - {406F94F0-504F-4a40-8DFD-58B0666ABEBD} - C:\PROGRA~1\Yahoo!\ASSIST~1\assist\yasbar.dll
O2 - BHO: YDragSearch - {62EED7C6-9F02-42f9-B634-98E2899E147B} - C:\PROGRA~1\Yahoo!\ASSIST~1\assist\YDRAGS~1.DLL
O2 - BHO: IE - {D157330A-9EF3-49F8-9A67-4141AC41ADD4} - C:\WINDOWS\DOWNLO~1\cnshook.dll
O3 - IE工具栏增项: 雅虎助手 - {406F94F0-504F-4a40-8DFD-58B0666ABEBD} - C:\PROGRA~1\Yahoo!\ASSIST~1\assist\yasbar.dll
O4 - 启动项HKLM\\Run: [CnsMin] Rundll32.exe C:\WINDOWS\DOWNLO~1\CnsMin.dll,Rundll32
O4 - 启动项HKLM\\Run: [helper.dll] C:\WINDOWS\system32\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32
O4 - 启动项HKLM\\Run: [yassistse] rem "C:\PROGRA~1\Yahoo!\Assistant\yassistse.exe"
O4 - 启动项HKLM\\Run: [RavTask] "D:\瑞星\Rising\Rav\RavTask.exe" -system
O4 - 启动项HKLM\\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - 启动项HKLM\\RunOnce: [RavStub] "D:\瑞星\Rising\Rav\ravstub.exe" /RUNONCE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O9 - 浏览器额外的按钮: 雅虎WIDGET - {6354ABE6-05F1-49ed-B850-E423120EC338} - http://cn.widget.yahoo.com/index.htm?source=Cns (file missing)
O11 - Options group: [!CNS] 中文上网
O16 - DPF: {BF8C499A-AC6E-4F58-82EA-9E5FCC41C34B} (PicUploadCtrl Class) - http://tb.sogou.com/PicUpload.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{748B4E16-BB19-4C12-BF93-4D403E3E48EC}: NameServer = 202.106.0.20 202.106.46.151
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - NT 服务: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - D:\瑞星\Rising\Rav\CCenter.exe
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - D:\瑞星\Rising\Rav\Ravmond.exe
O23 - NT 服务: Update Server - Unknown owner - C:\Program.exe (file missing)

服务
[ATI Smart / ATI Smart]
<C:\WINDOWS\system32\ati2sgag.exe><>
[Human Interface Device Access / HidServ]
<C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\hidserv.dll><N/A>
[Rising Process Communication Center / RsCCenter]
<"D:\瑞星\Rising\Rav\CCenter.exe"><Beijing Rising Technology Co., Ltd.>
[RsRavMon Service / RsRavMon]
<"D:\瑞星\Rising\Rav\Ravmond.exe"><Beijing Rising Technology Co., Ltd.>
[Update Server / Update Server]
<C:\Program Files\Common Files\Updater><N/A>
[Windows Media Connect Service / WMConnectCDS]
<C:\Program Files\Windows Media Connect 2\wmccds.exe><Microsoft Corporation>