瑞星卡卡安全论坛

Trojan.Rootkit.Vanti.ba这是病毒名，把病毒杀了但vmmqk5c.dll这个文件删不掉怎么办啊！即使在安全模式下删了，一开机后又从新生成一个真烦删不掉啊！

【回复“leesung”的帖子】
vmmqk5c.dll已经插入了系统进程

http://forum.ikaka.com/topic.asp?board=28&artid=6979213
下载System Repair Engineer 2.0.12.350
导出日志
麻烦楼主好好查看一下vmmqk5c.dll插入到了哪些进程

有这么多个进程，怎么办啊！
csrss.exe
svchost.exe
explorer.exe
iexplore.exe

引用:

【leesung的贴子】有这么多个进程，怎么办啊！ csrss.exe svchost.exe explorer.exe iexplore.exe ...........................

建议楼主好好查找一下
不要漏掉一个被插入的进程
OK？

正在运行的进程
[PID: 488][\SystemRoot\System32\smss.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 544][\??\C:\WINDOWS\system32\csrss.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
    [C:\WINDOWS\TEMP\vmmqk5c.dll]  <N/A><N/A>
[PID: 572][\??\C:\WINDOWS\system32\winlogon.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
    [C:\WINDOWS\system32\Ati2evxx.dll]  <ATI Technologies Inc.><6.14.10.4121>
[PID: 624][C:\WINDOWS\system32\services.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 636][C:\WINDOWS\system32\lsass.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
    [C:\WINDOWS\TEMP\vmmqk5c.dll]  <N/A><N/A>
[PID: 780][C:\WINDOWS\system32\Ati2evxx.exe]  <ATI Technologies Inc.><6.14.10.4121>
    [C:\WINDOWS\system32\Ati2edxx.dll]  <ATI Technologies, Inc.><6, 14, 10, 2499>
[PID: 792][C:\WINDOWS\system32\svchost.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 856][C:\WINDOWS\system32\svchost.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 936][e:\Program Files\Rising\Rav\CCenter.exe]  <Beijing Rising Technology Co., Ltd.><18, 0, 0, 3>
[PID: 952][C:\WINDOWS\System32\svchost.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
    [C:\WINDOWS\TEMP\vmmqk5c.dll]  <N/A><N/A>
[PID: 1004][C:\WINDOWS\system32\svchost.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1060][C:\WINDOWS\system32\svchost.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1320][C:\WINDOWS\system32\Ati2evxx.exe]  <ATI Technologies Inc.><6.14.10.4121>
    [C:\WINDOWS\system32\Ati2edxx.dll]  <ATI Technologies, Inc.><6, 14, 10, 2499>
    [C:\WINDOWS\TEMP\vmmqk5c.dll]  <N/A><N/A>
[PID: 1368][C:\WINDOWS\Explorer.EXE]  <Microsoft Corporation><6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)>
    [C:\WINDOWS\TEMP\vmmqk5c.dll]  <N/A><N/A>
    [C:\WINDOWS\system32\RavExt.dll]  <Beijing Rising Technology Co., Ltd.><18, 0, 0, 13>
    [C:\WINDOWS\system32\xunleibho_v4.dll]  <><4, 3, 2, 29>
    [e:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx]  <><1, 0, 0, 1>
    [E:\PROGRA~1\FLASHGET\jccatch.dll]  <Amaze Soft><1, 1, 4, 0>
    [C:\Program Files\WinRAR\rarext.dll]  <N/A><N/A>
[PID: 1468][C:\WINDOWS\system32\spoolsv.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1568][C:\WINDOWS\system32\ctfmon.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1796][C:\Program Files\Internet Explorer\IEXPLORE.EXE]  <Microsoft Corporation><6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)>
    [C:\WINDOWS\TEMP\vmmqk5c.dll]  <N/A><N/A>
[PID: 1824][C:\Program Files\Internet Explorer\IEXPLORE.EXE]  <Microsoft Corporation><6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1856][C:\WINDOWS\SYSTEM32\RUNDLL32.EXE]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1956][C:\Program Files\Common Files\COMM\Network.exe]  <COMENET TECHNOLOGY><1, 563, 15, 5>
[PID: 916][C:\WINDOWS\System32\alg.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1420][C:\Program Files\Internet Explorer\iexplore.exe]  <Microsoft Corporation><6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)>
    [C:\WINDOWS\system32\xunleibho_v4.dll]  <><4, 3, 2, 29>
    [e:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx]  <><1, 0, 0, 1>
    [E:\PROGRA~1\FLASHGET\jccatch.dll]  <Amaze Soft><1, 1, 4, 0>
    [C:\WINDOWS\system32\Macromed\Flash\Flash8.ocx]  <Macromedia, Inc.><8,0,22,0>
    [C:\WINDOWS\system32\FREEWB.IME]  <Delphi Fan Studio><4.2.2.22>
[PID: 3044][D:\Downloads\SREng.exe]  <Smallfrogs Studio><2.0.12.350>

这回全了，请您 一定帮帮我啊谢谢

vmmqk5c.dll已经插入到如下进程中：
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE

建议参考：
下载安装SSM＜这个工具支持中文＞
官方站点：http://www.syssafety.com/
在SSM中添加规则，禁止vmmqk5c.dll加载；并将SSM设置为“自动加载”，然后重启，删除vmmqk5c.dll。

另外http://forum.ikaka.com/topic.asp?board=28&artid=6979213
下载Icesword v1.12
查找可疑的.sys文件
找到后删除
注意：对这一步操作时要小心，确定.sys文件是病毒或木马后再删除，以免误删。

若害怕出现问题
建议操作前备份一下系统与注册表

关于SSM的操作
建议楼主搜索一下baohe版主关于SSM的机关贴子
OK？

谢谢