我的电脑遭受NEWTRO病毒感染，真苦恼！ bbs.ikaka.com

我怕病毒哦！ - 2006-5-4 23:36:00

我的电脑遭受病毒感染，真苦恼！

最近，我的电脑遭受一种名叫NEWTRO.DLL 或 Trojan.PSW.JH.的病毒感染，我很苦恼。
发现病毒时的情形：我是在上网时发现感染了病毒的。当时我正在浏览感兴趣的网页，突然我的瑞星防火

墙弹出警告，说发现病毒，问是否删除或杀毒，我选择杀毒。我回答后点击确定，对话框消逝。可是瑞星

立即弹出无数多的同样内容对话框要我回答，我一一回答并点击确定，可是同样内容对话框却仍然飞快地

无数地出现，顿时布满我的屏幕。同时，瑞星防火墙从电脑右下角弹出指令，要求重新启动以便杀除病毒

。我顾不上关闭屏幕中正在工作的网页和程序（实际上由于屏幕还在飞快地大量地涌现对话框，我已经无

法关闭屏幕中的各个网页和程序），就强行关闭并重新启动电脑。重新启动后，我启动瑞星杀毒程序进行

了杀毒，显示杀灭了好几个病毒，可是病毒无法删除，而且从此瑞星防火墙无法启动。而且此后我上网，

每次打开网页，都似乎第二个人在暗中操作，网页会动一下，鼠标也会动一下。我甚至感觉病毒进入龙人

我的数码相机，因为电脑每连接一次相机，相机卡里就会出现一两个莫名的文件夹，点击相机里的文件夹

，打开一看，却全部是我电脑里的资料内容。真是怪事！！！
病毒的名字和现在的情况：

名字：NEWTRO.DLL 路径C:\NEWTRO.DLL Trojan.PSW.JH....重新启动
1、由瑞星指示要求重新启动后杀毒，是不是重新启动是为了安装和运行病毒呢？
2、瑞星弹出无限多的病毒报告，永远也取消不完，弹出速度比取消快。
3、许多病毒文件几乎在同时运行，主人要用的程序或者网页打开奇慢，甚至打不开。
4、躲藏在相机里、我的文档里、C盘的program文件夹里、我的图片收藏里、删除了，不知什么时候又在里面
5、无法删除C盘下的NEWTRO.DLL病毒文件夹C:\NEWTRO

上述情况我用相机拍摄了照片，如下：

附件: 685939200654233601.jpg

拒绝网游珍惜生命 - 2006-5-4 23:38:00

不要着急，http://www.kztechs.com/sreng/sreng2.zip
下载这个智能扫描，然后粘贴日志！

轩辕小聪 - 2006-5-4 23:39:00

晕倒，截图不完了，还用相机……
此病毒与C:\BENQ\的情况极至相似，可参考http://forum.ikaka.com/topic.asp?board=28&artid=7995812处理。当然，只是要删除的文件有所区别，仅此而已。

轩辕小聪 - 2006-5-4 23:39:00

【回复“拒绝网游珍惜生命”的帖子】
看过几次了，不用扫我也知道它是个什么样子。

拒绝网游珍惜生命 - 2006-5-4 23:41:00

啊，你属于神童啊，我是新手啊，在学习中，准备以后去瑞星或者联想工作！呵呵

我怕病毒哦！ - 2006-5-5 0:10:00

谢谢各位高手！我会按照你们的办法试试。

我怕病毒哦！ - 2006-5-5 0:27:00

启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<ctfmon.exe><C:\WINDOWS\system32\ctfmon.exe>
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<MSMSGS><"C:\Program Files\Messenger\msmsgs.exe" /background>
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<load><>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<IMJPMIG8.1><"C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<PHIME2002ASync><C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<PHIME2002A><C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<IgfxTray><C:\WINDOWS\system32\igfxtray.exe>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<HotKeysCmds><C:\WINDOWS\system32\hkcmd.exe>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<RfwMain><"C:\Program Files\Rising\Rfw\rfwmain.exe" -Startup>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<RavTask><"C:\Program Files\Rising\Rav\RavTask.exe" -system>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<helper.dll><C:\WINDOWS\system32\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<CnsMin><Rundll32.exe C:\WINDOWS\DOWNLO~1\CnsMin.dll,Rundll32>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<TProgram><C:\WINDOWS\SMSS.EXE>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<assistse><"C:\PROGRA~1\3721\assistse.exe">
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<shell><Explorer.exe 1>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<Userinit><C:\WINDOWS\system32\userinit.exe,C:\NEWTRO\IEXPLORE.COM>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<AppInit_DLLs><>

==================================
启动文件夹
[腾讯QQ]
<C:\Documents and Settings\user\「开始」菜单\程序\启动\腾讯QQ.lnk><N>

==================================
服务
[houst / houst]
<C:\Program Files\svchost.exe><N/A>
[Rising Proxy Service / RfwProxySrv]
<c:\program files\rising\rfw\rfwproxy.exe><Beijing Rising Technology Co., Ltd.>
[Rising Personal Firewall Service / RfwService]
<c:\program files\rising\rfw\rfwsrv.exe><N/A>
[Rising Process Communication Center / RsCCenter]
<"C:\Program Files\Rising\Rav\CCenter.exe"><Beijing Rising Technology Co., Ltd.>
[RsRavMon Service / RsRavMon]
<"C:\Program Files\Rising\Rav\Ravmond.exe"><Beijing Rising Technology Co., Ltd.>
[SmartLinkService / SLService]
<slserv.exe>< >

==================================
浏览器加载项
[QQBrowserHelperObject Class]
{54EBD53A-9BC1-480B-966A-843A333CA162} <C:\Program Files\Tencent\QQ\QQIEHelper.dll, 深圳市腾讯计算机系统有限公司>
[IeCatch2 Class]
{A5366673-E8CA-11D3-9CD9-0090271D075B} <C:\PROGRA~1\FLASHGET\jccatch.dll, Amaze Soft>
[上网助手]
{BB936323-19FA-4521-BA29-ECA6A121BC78} <C:\PROGRA~1\3721\Assist\asbar.dll, 3721>
[IEHlprObj Class]
{C5E5DB7E-46B1-47E6-8447-2E517F269925} <C:\Program Files\Xplus\GETIE.dll, N/A>
[CnsHook Class]
{D157330A-9EF3-49F8-9A67-4141AC41ADD4} <C:\WINDOWS\DOWNLO~1\CnsHook.dll, 北京三七二一科技有限公司>
[Yahoo 1G电邮]
{507F9113-CD77-4866-BA92-0E86DA3D0B97} <http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=yahoomail, N/A>
[寻宝乐趣多]
{59BC54A2-56B3-44a0-93E5-432D58746E26} <http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=taobao, N/A>
[雅虎助手]
{5D73EE86-05F1-49ed-B850-E423120EC338} <http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=yassist, N/A>
[QQ]
{c95fe080-8f5d-11d2-a20b-00aa003c157b} <C:\Program Files\Tencent\QQ\QQ.EXE, TENCENT>
[FlashGet]
{D6E814A0-E0C5-11d4-8D29-0050BA6940E3} <C:\PROGRA~1\FLASHGET\flashget.exe, Amaze Soft>
[QQIEFloatBarCfgCmd Class]
{DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} <C:\Program Files\Tencent\QQ\QQIEHelper.dll, 深圳市腾讯计算机系统有限公司>
[情景聊天]
{E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} <http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=yahoomsg, N/A>
[]
{ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} <http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=repair, N/A>
[Messenger]
{FB5F1910-F110-11d2-BB9E-00C04F795683} <C:\Program Files\Messenger\msmsgs.exe, Microsoft Corporation>
[]
{FD00D911-7529-4084-9946-A29F1BDF4FE5} <http://cn.zs.yahoo.com/cnsbutton.htm?source=cns&btn=clean, N/A>
[上网助手]
{BB936323-19FA-4521-BA29-ECA6A121BC78} <C:\PROGRA~1\3721\Assist\asbar.dll, 3721>
[FlashGet Bar]
{E0E899AB-F487-11D5-8D29-0050BA6940E3} <C:\PROGRA~1\FLASHGET\fgiebar.dll, Amaze Soft>
[Shockwave Flash Object]
{D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINDOWS\system32\Macromed\Flash\Flash8b.ocx, Macromedia, Inc.>
[Ravonline]
{DA984A6D-508E-11D6-AA49-0050FF3C628D} <C:\WINDOWS\Downloaded Program Files\RsOnline.dll, Beijing Rising Tech. Co., Ltd.>
[ActiveMovieControl Object]
{05589FA1-C356-11CE-BF01-00AA0055595A} <C:\WINDOWS\system32\wmpdxm.dll, Microsoft Corporation>
[assist]
{1B0E7716-898E-48CC-9690-4E338E8DE1D3} <C:\Program Files\3721\Assist\assist.dll, >
[Windows Media Player]
{22D6F312-B0F6-11D0-94AB-0080C74C7E95} <C:\WINDOWS\system32\wmpdxm.dll, Microsoft Corporation>
[HTML Document]
{25336920-03F9-11CF-8FD0-00AA00686F13} <%SystemRoot%\system32\mshtml.dll, N/A>
[HHCtrl Object]
{41B23C28-488E-4E5C-ACE2-BB0BBABE99E8} <C:\WINDOWS\system32\hhctrl.ocx, Microsoft Corporation>
[QQBrowserHelperObject Class]
{54EBD53A-9BC1-480B-966A-843A333CA162} <C:\Program Files\Tencent\QQ\QQIEHelper.dll, 深圳市腾讯计算机系统有限公司>
[Windows Media Player]
{6BF52A52-394A-11D3-B153-00C04F79FAA6} <C:\WINDOWS\system32\wmp.dll, Microsoft Corporation>
[AutoLive]
{7CA83CF1-3AEA-42D0-A4E3-1594FC6E48B2} <C:\PROGRA~1\3721\autolive.dll, >
[Microsoft Web 浏览器]
{8856F961-340A-11D0-A96B-00C04FD705A2} <C:\WINDOWS\system32\shdocvw.dll, Microsoft Corporation>
[IeCatch2 Class]
{A5366673-E8CA-11D3-9CD9-0090271D075B} <C:\PROGRA~1\FLASHGET\jccatch.dll, Amaze Soft>
[Microsoft Scriptlet Component]
{AE24FDAE-03C6-11D1-8B76-0080C744F389} <C:\WINDOWS\system32\mshtml.dll, Microsoft Corporation>
[SearchAssistantOC]
{B45FF030-4447-11D2-85DE-00C04FA35C89} <%SystemRoot%\system32\shdocvw.dll, N/A>
[3721]
{B83FC273-3522-4CC6-92EC-75CC86678DA4} <C:\WINDOWS\Downloaded Program Files\CnsMin.dll, 北京三七二一科技有限公司>
[上网助手]
{BB936323-19FA-4521-BA29-ECA6A121BC78} <C:\PROGRA~1\3721\Assist\asbar.dll, 3721>
[IEHlprObj Class]
{C5E5DB7E-46B1-47E6-8447-2E517F269925} <C:\Program Files\Xplus\GETIE.dll, N/A>
[BDHlprObj Class]
{CA92B524-BC8A-4610-BD2C-6BD3E28155D0} <C:\WINDOWS\DOWNLO~1\BDHelper.dll, >
[AUDIO__MID Moniker Class]
{CD3AFA74-B84F-48F0-9393-7EDC34128127} <C:\WINDOWS\system32\wmp.dll, Microsoft Corporation>
[AUDIO__MP3 Moniker Class]
{CD3AFA76-B84F-48F0-9393-7EDC34128127} <C:\WINDOWS\system32\wmp.dll, Microsoft Corporation>
[AUDIO__X_MS_WMA Moniker Class]
{CD3AFA84-B84F-48F0-9393-7EDC34128127} <C:\WINDOWS\system32\wmp.dll, Microsoft Corporation>
[VIDEO__AVI Moniker Class]
{CD3AFA88-B84F-48F0-9393-7EDC34128127} <C:\WINDOWS\system32\wmp.dll, Microsoft Corporation>
[VIDEO__X_MS_ASF Moniker Class]
{CD3AFA8F-B84F-48F0-9393-7EDC34128127} <C:\WINDOWS\system32\wmp.dll, Microsoft Corporation>
[VIDEO__X_MS_WMV Moniker Class]
{CD3AFA94-B84F-48F0-9393-7EDC34128127} <C:\WINDOWS\system32\wmp.dll, Microsoft Corporation>
[CnsHook Class]
{D157330A-9EF3-49F8-9A67-4141AC41ADD4} <C:\WINDOWS\DOWNLO~1\CnsHook.dll, 北京三七二一科技有限公司>
[Shockwave Flash Object]
{D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINDOWS\system32\Macromed\Flash\Flash8b.ocx, Macromedia, Inc.>
[FlashGet Bar]
{E0E899AB-F487-11D5-8D29-0050BA6940E3} <C:\PROGRA~1\FLASHGET\fgiebar.dll, Amaze Soft>
[!搜一搜(&S)]
<res://C:\Program Files\yisou\yisou.dll/232, N/A>
[上传到QQ网络硬盘]
<C:\Program Files\Tencent\QQ\AddToNetDisk.htm, N/A>
[使用网际快车下载]
<C:\PROGRA~1\FLASHGET\jc_link.htm, N/A>
[使用网际快车下载全部链接]
<C:\PROGRA~1\FLASHGET\jc_all.htm, N/A>
[添加到QQ自定义面板]
<C:\Program Files\Tencent\QQ\AddPanel.htm, N/A>
[添加到QQ表情]
<C:\Program Files\Tencent\QQ\AddEmotion.htm, N/A>
[用QQ彩信发送该图片]
<C:\Program Files\Tencent\QQ\SendMMS.htm, N/A>

==================================

我怕病毒哦！ - 2006-5-5 0:32:00

正在运行的进程
[PID: 448][\SystemRoot\System32\smss.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 504][\??\C:\WINDOWS\system32\csrss.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 528][\??\C:\WINDOWS\system32\winlogon.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 572][C:\WINDOWS\system32\services.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 584][C:\WINDOWS\system32\lsass.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[C:\WINDOWS\system32\wa_api60.dll] <N/A><N/A>
[PID: 724][C:\WINDOWS\system32\svchost.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 772][C:\WINDOWS\system32\svchost.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 804][C:\WINDOWS\System32\svchost.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[C:\WINDOWS\system32\wa_api60.dll] <N/A><N/A>
[PID: 848][C:\WINDOWS\system32\svchost.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 932][C:\WINDOWS\system32\svchost.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1116][C:\WINDOWS\system32\spoolsv.exe] <Microsoft Corporation><5.1.2600.2696 (xpsp_sp2_gdr.050610-1519)>
[C:\WINDOWS\system32\EBPMON2.DLL] <SEIKO EPSON CORPORATION><2, 33, 0, 0>
[PID: 1264][C:\WINDOWS\Explorer.exe] <Microsoft Corporation><6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)>
[C:\WINDOWS\DOWNLO~1\CnsHook.dll] <北京三七二一科技有限公司><1, 0, 2, 7>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[C:\PROGRA~1\3721\helper.dll] <><1, 0, 9, 1324>
[C:\PROGRA~1\3721\alrex.dll] <><1, 0, 1, 1001>
[C:\PROGRA~1\3721\autolive.dll] <><1, 1, 5, 1324>
[C:\PROGRA~1\3721\alLiveEx.dll] < ><1, 0, 3, 1006>
[C:\PROGRA~1\3721\Assist\asnoad.dll] <><1, 0, 0, 9>
[C:\WINDOWS\system32\icm32.dll] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[c:\progra~1\3721\assist\adfilter.dll] < ><1, 0, 1, 6>
[C:\PROGRA~1\3721\Assist\optimum.dll] <N/A><N/A>
[C:\PROGRA~1\3721\Assist\XPStyle.dll] <N/A><N/A>
[C:\PROGRA~1\3721\Shell\Assecblk.dll] <3721><1, 0, 1, 1001>
[C:\PROGRA~1\3721\Assist\repair.dll] <北京三七二一科技有限公司><1, 0, 4, 1001>
[C:\WINDOWS\system32\igfxpph.dll] <Intel Corporation><3,0,0,1438>
[C:\WINDOWS\system32\hccutils.DLL] <Intel Corporation><3,0,0,1438>
[C:\WINDOWS\system32\igfxres.dll] <Intel Corporation><3,0,0,1438>
[C:\WINDOWS\system32\igfxsrvc.dll] <Intel Corporation><3,0,0,1438>
[C:\WINDOWS\system32\igfxdev.dll] <Intel Corporation><3,0,0,1438>
[C:\PROGRA~1\3721\Assist\asbar.dll] <3721><1, 0, 1, 1021>
[C:\PROGRA~1\3721\Assist\tbwrap.dll] <3721><1, 0, 0, 2>
[C:\PROGRA~1\3721\Assist\aswiper.dll] <3721><1, 0, 1, 1004>
[C:\PROGRA~1\3721\Assist\asiesec.dll] <yahoo><1, 0, 0, 9>
[C:\PROGRA~1\FLASHGET\jccatch.dll] <Amaze Soft><1, 1, 4, 0>
[PID: 1460][C:\WINDOWS\system32\slserv.exe] < ><2.80.00(24Apr2000)>
[PID: 1480][C:\WINDOWS\system32\svchost.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1776][C:\WINDOWS\system32\Rundll32.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[C:\WINDOWS\DOWNLO~1\CnsMinIO.dll] <北京三七二一科技有限公司><1, 0, 3, 6>
[C:\WINDOWS\DOWNLO~1\cnsio.dll] <北京三七二一科技有限公司><1, 0, 2, 7>
[PID: 1876][C:\WINDOWS\System32\alg.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1888][C:\WINDOWS\system32\wscntfy.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[PID: 1948][C:\WINDOWS\system32\igfxtray.exe] <Intel Corporation><3,0,0,1438>
[C:\WINDOWS\system32\hccutils.DLL] <Intel Corporation><3,0,0,1438>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[C:\WINDOWS\system32\igfxdev.dll] <Intel Corporation><3,0,0,1438>
[C:\PROGRA~1\3721\helper.dll] <><1, 0, 9, 1324>
[C:\WINDOWS\system32\igfxsrvc.dll] <Intel Corporation><3,0,0,1438>
[C:\WINDOWS\system32\igfxres.dll] <Intel Corporation><3,0,0,1438>
[C:\WINDOWS\system32\igfxress.dll] <Intel Corporation><3,0,0,1438>
[PID: 1956][C:\WINDOWS\system32\hkcmd.exe] <Intel Corporation><3,0,0,1438>
[C:\WINDOWS\system32\hccutils.DLL] <Intel Corporation><3,0,0,1438>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[C:\WINDOWS\system32\igfxdev.dll] <Intel Corporation><3,0,0,1438>
[C:\PROGRA~1\3721\helper.dll] <><1, 0, 9, 1324>
[C:\WINDOWS\system32\igfxsrvc.dll] <Intel Corporation><3,0,0,1438>
[C:\WINDOWS\system32\igfxhk.dll] <Intel Corporation><3,0,0,1438>
[C:\WINDOWS\system32\igfxres.dll] <Intel Corporation><3,0,0,1438>
[PID: 1964][C:\WINDOWS\SMSS.EXE] <XPack><0.00.0064>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[C:\PROGRA~1\3721\helper.dll] <><1, 0, 9, 1324>
[C:\WINDOWS\system32\wa_api60.dll] <N/A><N/A>

我怕病毒哦！ - 2006-5-5 0:33:00

[PID: 1976][C:\Program Files\Rising\Rav\RavTask.exe] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 22>
[C:\Program Files\Rising\Rav\RSCOMMON.DLL] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 4>
[C:\Program Files\Rising\Rav\RSAPPMGR.DLL] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 2>
[C:\Program Files\Rising\Rav\CfgDll.dll] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 10>
[C:\Program Files\Rising\Rav\RsCommX.dll] <rising><18, 0, 0, 1>
[C:\PROGRA~1\3721\helper.dll] <><1, 0, 9, 1324>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[PID: 1984][C:\WINDOWS\system32\rundll32.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[C:\PROGRA~1\3721\helper.dll] <><1, 0, 9, 1324>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[C:\PROGRA~1\3721\autolive.dll] <><1, 1, 5, 1324>
[C:\PROGRA~1\3721\alLiveEx.dll] < ><1, 0, 3, 1006>
[C:\PROGRA~1\3721\notifier.dll] <><1, 0, 0, 5>
[PID: 2008][C:\PROGRA~1\3721\assistse.exe] <yahoo><1, 0, 1, 1001>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[PID: 2016][C:\WINDOWS\system32\ctfmon.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[C:\PROGRA~1\3721\helper.dll] <><1, 0, 9, 1324>
[PID: 2024][C:\Program Files\Messenger\msmsgs.exe] <Microsoft Corporation><4.7.3000>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[C:\PROGRA~1\3721\helper.dll] <><1, 0, 9, 1324>
[PID: 1796][C:\Program Files\UHT\UHT.EXE] <><2, 0, 0, 0>
[C:\PROGRA~1\3721\helper.dll] <><1, 0, 9, 1324>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[PID: 3100][C:\Program Files\Rising\Rav\RsAgent.exe] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 12>
[C:\PROGRA~1\3721\helper.dll] <><1, 0, 9, 1324>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[C:\Program Files\Rising\Rav\RsCommX.dll] <rising><18, 0, 0, 1>
[PID: 3600][C:\Program Files\Internet Explorer\IEXPLORE.EXE] <Microsoft Corporation><6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)>
[C:\PROGRA~1\3721\helper.dll] <><1, 0, 9, 1324>
[C:\PROGRA~1\3721\scrblock.dll] <3721><1, 0, 1, 1000>
[C:\PROGRA~1\3721\alrex.dll] <><1, 0, 1, 1001>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[C:\WINDOWS\DOWNLO~1\CnsHint.dll] <3721><1, 0, 0, 7>
[C:\PROGRA~1\3721\autolive.dll] <><1, 1, 5, 1324>
[C:\PROGRA~1\3721\alLiveEx.dll] < ><1, 0, 3, 1006>
[C:\WINDOWS\DOWNLO~1\cnsplus.dll] <3721><1, 0, 0, 2>
[C:\PROGRA~1\3721\Assist\asbar.dll] <3721><1, 0, 1, 1021>
[C:\PROGRA~1\3721\Assist\tbwrap.dll] <3721><1, 0, 0, 2>
[C:\PROGRA~1\3721\Assist\asnoad.dll] <><1, 0, 0, 9>
[C:\PROGRA~1\3721\Assist\aswiper.dll] <3721><1, 0, 1, 1004>
[C:\PROGRA~1\3721\Assist\asiesec.dll] <yahoo><1, 0, 0, 9>
[C:\Program Files\Tencent\QQ\QQIEHelper.dll] <深圳市腾讯计算机系统有限公司><1, 1, 0, 5>
[C:\PROGRA~1\FLASHGET\jccatch.dll] <Amaze Soft><1, 1, 4, 0>
[C:\WINDOWS\DOWNLO~1\CnsHook.dll] <北京三七二一科技有限公司><1, 0, 2, 7>
[C:\WINDOWS\system32\wa_api60.dll] <N/A><N/A>
[C:\Program Files\Rising\Rav\RavScrCh.dll] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 3>
[C:\WINDOWS\system32\UNISPIM.IME] <北京清华紫光软件股份有限公司><3.0.0.3045>
[c:\progra~1\3721\assist\adfilter.dll] < ><1, 0, 1, 6>
[C:\PROGRA~1\3721\Assist\optimum.dll] <N/A><N/A>
[C:\PROGRA~1\3721\Assist\XPStyle.dll] <N/A><N/A>
[C:\PROGRA~1\3721\Shell\Assecblk.dll] <3721><1, 0, 1, 1001>
[C:\PROGRA~1\3721\Assist\repair.dll] <北京三七二一科技有限公司><1, 0, 4, 1001>
[C:\WINDOWS\system32\Macromed\Flash\Flash8b.ocx] <Macromedia, Inc.><8,0,24,0>
[C:\WINDOWS\system32\upengine.dll] <北京清华紫光软件股份有限公司><3.0.0.3045>
[PID: 2728][C:\Program Files\Rising\Rav\Rav.exe] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 61>
[C:\Program Files\Rising\Rav\PlugIn\RsPgScan.dll] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 17>
[C:\Program Files\Rising\Rav\RSAPPMGR.DLL] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 2>
[C:\Program Files\Rising\Rav\CfgDll.dll] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 10>
[C:\Program Files\Rising\Rav\RsCommX.dll] <rising><18, 0, 0, 1>
[C:\Program Files\Rising\Rav\RavUI.Dll] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 57>
[C:\Program Files\Rising\Rav\RsGuiLib.dll] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 24>
[C:\Program Files\Rising\Rav\PngDll.dll] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 5>
[C:\PROGRA~1\3721\helper.dll] <><1, 0, 9, 1324>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[C:\Program Files\Rising\Rav\RSCOMMON.DLL] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 4>
[C:\Program Files\Rising\Rav\Scanner.dll] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 28>
[C:\Program Files\Rising\Rav\BWList.dll] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 16>
[C:\Program Files\Rising\Rav\RavUIMsg.dll] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 23>
[C:\WINDOWS\system32\wa_api60.dll] <N/A><N/A>
[C:\Program Files\Rising\Rav\RavScrCh.dll] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 3>
[C:\WINDOWS\DOWNLO~1\CnsHook.dll] <北京三七二一科技有限公司><1, 0, 2, 7>
[PID: 3900][C:\Program Files\WinRAR\WinRAR.exe] <N/A><N/A>
[C:\PROGRA~1\3721\helper.dll] <><1, 0, 9, 1324>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[C:\WINDOWS\DOWNLO~1\CnsHook.dll] <北京三七二一科技有限公司><1, 0, 2, 7>
[PID: 1748][C:\DOCUME~1\user\LOCALS~1\Temp\Rar$EX01.697\SREng.exe] <Smallfrogs Studio><2.0.12.350>
[C:\PROGRA~1\3721\helper.dll] <><1, 0, 9, 1324>
[C:\WINDOWS\DOWNLO~1\CnsMin.dll] <北京三七二一科技有限公司><1, 5, 3, 0>
[C:\WINDOWS\system32\wa_api60.dll] <N/A><N/A>

==================================
文件关联
.TXT OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.EXE Error. [winfiles]
.COM OK. ["%1" %*]
.PIF OK. ["%1" %*]
.REG OK. [regedit.exe "%1"]
.BAT OK. ["%1" %*]
.SCR OK. ["%1" /S]
.CHM OK. ["C:\WINDOWS\hh.exe" %1]
.HLP OK. [%SystemRoot%\System32\winhlp32.exe %1]
.INI OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.INF OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.VBS OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.JS OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.LNK OK. [{00021401-0000-0000-C000-000000000046}]

==================================
Winsock 提供者
MSAFD Tcpip [TCP/IP]
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
MSAFD Tcpip [UDP/IP]
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
MSAFD Tcpip [RAW/IP]
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
RSVP UDP Service Provider
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
RSVP TCP Service Provider
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
MSAFD NetBIOS [\Device\NetBT_Tcpip_{B6FB4725-883B-4118-93EF-E717068C1BC3}] SEQPACKET 0
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
MSAFD NetBIOS [\Device\NetBT_Tcpip_{B6FB4725-883B-4118-93EF-E717068C1BC3}] DATAGRAM 0
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
MSAFD NetBIOS [\Device\NetBT_Tcpip_{C6297995-42CD-4412-AE6E-5ABFDBF7937D}] SEQPACKET 1
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
MSAFD NetBIOS [\Device\NetBT_Tcpip_{C6297995-42CD-4412-AE6E-5ABFDBF7937D}] DATAGRAM 1
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
MSAFD NetBIOS [\Device\NetBT_Tcpip_{83089CA0-7C9F-4B7E-9E51-FB6B31791381}] SEQPACKET 2
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
MSAFD NetBIOS [\Device\NetBT_Tcpip_{83089CA0-7C9F-4B7E-9E51-FB6B31791381}] DATAGRAM 2
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
MSAFD NetBIOS [\Device\NetBT_Tcpip_{F6C4EC9A-8265-4440-A8F4-79A5B3CDCED5}] SEQPACKET 3
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
MSAFD NetBIOS [\Device\NetBT_Tcpip_{F6C4EC9A-8265-4440-A8F4-79A5B3CDCED5}] DATAGRAM 3
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
MSAFD NetBIOS [\Device\NetBT_Tcpip_{B2C1851B-351C-4C8B-B5F5-DF067EC454FF}] SEQPACKET 4
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
MSAFD NetBIOS [\Device\NetBT_Tcpip_{B2C1851B-351C-4C8B-B5F5-DF067EC454FF}] DATAGRAM 4
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
MSAFD NetBIOS [\Device\NetBT_Tcpip_{03907D1F-1018-4EDA-9E4F-3833F62D1EFC}] SEQPACKET 5
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)
MSAFD NetBIOS [\Device\NetBT_Tcpip_{03907D1F-1018-4EDA-9E4F-3833F62D1EFC}] DATAGRAM 5
C:\WINDOWS\system32\wa_api60.dll(N/A, N/A)

轩辕小聪 - 2006-5-5 0:46:00

楼主动手能力倒不错嘛，不过漏掉了一项：
开始－－运行
输入regedit
确定
进入注册表
修改
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<Userinit><C:\WINDOWS\system32\userinit.exe,C:\NEWTRO\IEXPLORE.COM>
为
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<Userinit><C:\WINDOWS\system32\userinit.exe,>

同时我要收回3楼的那句话了，因为除了楼主告诉我的那一个问题外，我发现楼主的机子上面临着比这严重得多的问题，以前也曾经见过它们与C:\NEWTRO\一起出现：

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<TProgram><C:\WINDOWS\SMSS.EXE>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<shell><Explorer.exe 1>

C:\WINDOWS\SMSS.EXE类似于“传奇龙”木马，可以参考下帖解决，只不过病毒的主体由C:\WINDOWS\WINLOGON.EXE换为了C:\WINDOWS\SMSS.EXE而已：
http://forum.ikaka.com/topic.asp?board=28&artid=7495863
请务必记住，一定要严格按照baohe版主在该帖中所列出步骤进行，否则随时有可能前功尽弃。

[houst / houst]
<C:\Program Files\svchost.exe><N/A>
这项，可能是灰鸽子或是其他木马。处理方法：
控制面板-性能与维护-管理工具-服务，找到houst→双击→启动类型→禁止→停止→应用→确定。终止houst这个服务。

在注册表中展开
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
删除houst项目

重启后在硬盘中删除：
C:\Program Files\svchost.exe
C:\Program Files\svchost.dll
C:\Program Files\svchostKey.dll
C:\Program Files\svchost_hook.dll（若存在的话）

不过与C:\WINDOWS\SMSS.EXE相比，C:\NEWTRO\和灰鸽子加起来都是小儿科了。

最后为因为我的疏忽而差点使楼主失去发现其他病毒的机会而衷心地道歉。这个传奇木马比较难搞，楼主一定不能大意。

我怕病毒哦！ - 2006-5-5 14:52:00

太感谢了！
我以为高手不会那么快给我回复，所以昨晚帖完日志后就睡觉了。看来倒是我没有及时回复小聪，真不好意思。
我按照你说的修改了[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<Userinit><C:\WINDOWS\system32\userinit.exe,C:\NEWTRO\IEXPLORE.COM>
为
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<Userinit><C:\WINDOWS\system32\userinit.exe,>
可是删除那个“传奇龙”木马步骤觉得太复杂，我怕搞错，所以不敢动手。请问我是否可以干脆重新装系统呢？重装系统后是否病毒就没有了呢？
再次谢谢轩辕小聪，谢谢各位大侠！

另外，由于你的提醒，我就试着用截图，原来很简单哦，会了。一并谢谢！

轩辕小聪 - 2006-5-5 15:06:00

如果想重装系统，也行，将C盘格了重装之后，删除D盘（用右键打开）根目录下的autorun.inf和pagefile.ini。

我怕病毒哦！ - 2006-5-5 18:39:00

pagefile.ini。文件和我D盘内其它大文件夹并排，我看见了。可是autorun.inf文件在哪儿呢？我找不到啊？

轩辕小聪 - 2006-5-5 18:41:00

重装后双击D盘可否进入？还是有什么错误提示？

轩辕小聪 - 2006-5-5 18:42:00

可能是隐藏的。
在工具栏中点击－－工具－－文件夹选项－－查看
勾选“显示所有文件及文件夹”
同时把“隐藏受保护的操作系统文件（推荐）”前的勾去掉
然后再进行查找一下

我怕病毒哦！ - 2006-5-5 18:54:00

引用:

【轩辕小聪的贴子】可能是隐藏的。
在工具栏中点击－－工具－－文件夹选项－－查看
勾选“显示所有文件及文件夹”
同时把“隐藏受保护的操作系统文件（推荐）”前的勾去掉
然后再进行查找一下

...........................

好了，有了你这个办法，我绝对能找到它。
没问题了。谢谢大侠！谢谢。。。。。。。。。。

瑞星卡卡安全论坛