瑞星卡卡安全论坛

HijackThis_zww汉化版扫描日志 V1.99.1
保存于      09:15:51, 日期 2006-3-18
操作系统：  Windows XP SP2 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Rising\Rav\Ravmond.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SYSTEM32\RUNDLL32.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Rising\Rav\RavTask.exe
C:\Program Files\Rising\Rav\Ravmon.exe
D:\DownLoads\HijackThis1991zww.exe

F2 - REG:system.ini: UserInit=userinit.exe,
O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll
O3 - IE工具栏增项: 卡卡上网安全助手 - {DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} - C:\WINDOWS\system32\KakaTool.dll
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [RavTask] "C:\Program Files\Rising\Rav\RavTask.exe" -system
O4 - 启动项HKLM\\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
O17 - HKLM\System\CCS\Services\Tcpip\..\{5D00F515-4E02-4AAF-B635-0EB6B58121F9}: NameServer = 85.255.116.50 85.255.112.86
O17 - HKLM\System\CCS\Services\Tcpip\..\{5E48198A-F9DF-4D74-8E5E-93CE198D07F6}: NameServer = 85.255.116.50,85.255.112.86
O17 - HKLM\System\CCS\Services\Tcpip\..\{7C573C3C-B0BB-4F81-AA8D-BA5FCBC71970}: NameServer = 85.255.116.50,85.255.112.86
O17 - HKLM\System\CCS\Services\Tcpip\..\{F3CD5D8E-0835-4909-B7AE-ECE4729B537C}: NameServer = 85.255.116.50,85.255.112.86
O23 - NT 服务: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - NT 服务: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - C:\Program Files\Rising\Rav\CCenter.exe
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - C:\Program Files\Rising\Rav\Ravmond.exe

病毒路径
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\winlogon.exe

各位大哥，帮我解决下呀
不然就等着重装了啊。。郁闷

修复：
O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll
O4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer
删除：
C:\WINDOWS\system32\wmpdrm.dll
C:\WINDOWS\system32\spoolsv\文件夹（注意于系统进程相区别）

谢谢你的回复。不过照你的做了，重启还是有。。。。。
5555

听楼下的。

【回复“kankana”的帖子】
修复
O2 - BHO: wmpdrm - {0E674588-66B7-4E19-9D0E-2053B800F69F} - C:\WINDOWS\system32\wmpdrm.dll
O4 - 启动项HKLM\\Run: [spoolsv] C:\WINDOWS\system32\spoolsv\spoolsv.exe -printer

若存在C:\WINDOWS\system32\msibm\
双击C:\WINDOWS\system32\msibm\下的uninstall程序
卸载清除C:\WINDOWS\system32\msibm\

重启后删除
C:\WINDOWS\system32\msibm\（若存在的话）
C:\WINDOWS\system32\msicn\（若存在的话）
C:\WINDOWS\system32\wmpdrm.dll
C:\WINDOWS\system32\spoolsv\

还是不行啊，重启还有。
修复后的日志
Logfile of HijackThis v1.99.1
Scan saved at 15:55:15, on 2006-3-18
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Rising\Rav\Ravmond.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SYSTEM32\RUNDLL32.EXE
C:\Program Files\Rising\Rav\RavTask.exe
C:\Program Files\Rising\Rav\Ravmon.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
D:\DownLoads\HijackThis.exe

F2 - REG:system.ini: UserInit=userinit.exe,
O3 - Toolbar: 卡卡上网安全助手 - {DB9ECD4F-FB8F-4311-B3CE-

90B976C2707C} - C:\WINDOWS\system32\KakaTool.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1

\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [RavTask] "C:\Program

Files\Rising\Rav\RavTask.exe" -system
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32

\dumprep 0 -k
O17 - HKLM\System\CCS\Services\Tcpip\..\{5D00F515-4E02-4AAF-B635

-0EB6B58121F9}: NameServer = 85.255.116.50 85.255.112.86
O17 - HKLM\System\CCS\Services\Tcpip\..\{5E48198A-F9DF-4D74-8E5E

-93CE198D07F6}: NameServer = 85.255.116.50,85.255.112.86
O17 - HKLM\System\CCS\Services\Tcpip\..\{7C573C3C-B0BB-4F81-AA8D

-BA5FCBC71970}: NameServer = 85.255.116.50,85.255.112.86
O17 - HKLM\System\CCS\Services\Tcpip\..\{F3CD5D8E-0835-4909-B7AE

-ECE4729B537C}: NameServer = 85.255.116.50,85.255.112.86
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32

\ati2sgag.exe
O23 - Service: InstallDriver Table Manager (IDriverT) -

Macrovision Corporation - C:\Program Files\Common

Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Rising Process Communication Center (RsCCenter) -

Beijing Rising Technology Co., Ltd. - C:\Program

Files\Rising\Rav\CCenter.exe
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising

Technology Co., Ltd. - C:\Program Files\Rising\Rav\Ravmond.exe

【回复“kankana”的帖子】
日志已经没有问题了

http://forum.ikaka.com/topic.asp?board=28&artid=6979213
下载icesword
使用这个工具查看以下三个进程的模块
是否有可疑的文件插入
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\winlogon.exe

【回复“kankana”的帖子】
C:\WINDOWS\system32\spoolsv.exe是正常的系统进程，C:\WINDOWS\system32\spoolsv\spoolsv.exe 就是有问题的，两者要注意区别。

.....没辙了，3个进程共200个模块信息。。。实在搞不懂