瑞星卡卡安全论坛

版主能提供一个杀“落雪”病毒的工具吗？？？

我的机子中标了！！晕啊！！！

亮亮提示您,狂踹机箱3分钟,拿斧子砍烂显示器!

我晕，落雪就这么可怕吗？？？？

扫个sreng的报告上来。点扫描，结束后以附件的形式发上来即可。
http://www.kztechs.com/

附件: 6935202006528161853.JPG

好的，朋友等下啊！

我怎么发附件啊？？？

2006-05-28,17:04:09

System Repair Engineer 2.0.12.350 (2.0 RC 1)
    Windows 2000 Professional Service Pack 4 - 管理权限用户 - 完整功能

以下内容被选中：
    所有的启动项目（包括注册表、启动文件夹、服务等）
    浏览器加载项
    正在运行的进程（包括进程模块信息）
    文件关联


启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
  <Internat.exe><internat.exe>
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
  <load><C:\WINNT\rundl132.exe>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
  <SoundMan><SOUNDMAN.EXE>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
  <Synchronization Manager><mobsync.exe /logon>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
  <IgfxTray><C:\WINNT\system32\igfxtray.exe>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
  <HotKeysCmds><C:\WINNT\system32\hkcmd.exe>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
  <RfwMain><"C:\Program Files\Rising\Rfw\rfwmain.exe" -Startup>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
  <shell><EXPLORER.EXE>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
  <Userinit><C:\WINNT\system32\userinit.exe,>
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
  <AppInit_DLLs><>

==================================
启动文件夹
服务
[Logical Disk Manager Administrative Service / dmadmin]
  <C:\WINNT\System32\dmadmin.exe /com><VERITAS Software Corp.>
[firesmallsl / firesmallwa]
  <C:\WINNT\firesmall.exe><N/A>
[Rising Process Communication Center / RsCCenter]
  <"C:\Program Files\Rising\Rav\CCenter.exe"><Beijing Rising Technology Co., Ltd.>
[RsRavMon Service / RsRavMon]
  <"C:\Program Files\Rising\Rav\Ravmond.exe"><N/A>

==================================
浏览器加载项
[@shdoclc.dll,-866]
  {c95fe080-8f5d-11d2-a20b-00aa003c157a} <, N/A>
[@msdxmLC.dll,-1@2052,电台(&R)]
  {8E718888-423F-11D2-876E-00A0C9082467} <C:\WINNT\system32\msdxm.ocx, Microsoft Corporation>
[卡卡上网安全助手]
  {DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} <C:\WINNT\system32\kakatool.dll, Beijing Rising Technology Co., Ltd.>

==================================
正在运行的进程
[PID: 144][\SystemRoot\System32\smss.exe]  <Microsoft Corporation><5.00.2195.6601>
[PID: 168][\??\C:\WINNT\system32\csrss.exe]  <Microsoft Corporation><5.00.2195.6601>
[PID: 188][\??\C:\WINNT\system32\winlogon.exe]  <Microsoft Corporation><5.00.2195.6997>
[PID: 216][C:\WINNT\system32\services.exe]  <Microsoft Corporation><5.00.2195.7035>
    [C:\WINNT\system32\dmserver.dll]  <VERITAS Software Corp.><2195.6605.297.3>
[PID: 228][C:\WINNT\system32\lsass.exe]  <Microsoft Corporation><5.00.2195.7011>
[PID: 352][C:\WINNT\System32\SCardSvr.exe]  <Microsoft Corporation><5.00.2195.6609>
[PID: 432][C:\WINNT\system32\svchost.exe]  <Microsoft Corporation><5.00.2134.1>
[PID: 468][C:\WINNT\system32\spoolsv.exe]  <Microsoft Corporation><5.00.2195.7059>
[PID: 500][C:\WINNT\system32\svchost.exe]  <Microsoft Corporation><5.00.2134.1>
[PID: 540][C:\WINNT\system32\regsvc.exe]  <Microsoft Corporation><5.00.2195.6701>
[PID: 564][C:\WINNT\system32\MSTask.exe]  <Microsoft Corporation><4.71.2195.6972>
[PID: 580][C:\WINNT\System32\WBEM\WinMgmt.exe]  <Microsoft Corporation><1.50.1085.0100>
[PID: 608][C:\WINNT\system32\svchost.exe]  <Microsoft Corporation><5.00.2134.1>
[PID: 960][C:\WINNT\SOUNDMAN.EXE]  <Realtek Semiconductor Corp.><5.0.16>
[PID: 992][C:\WINNT\system32\hkcmd.exe]  <Intel Corporation><3,0,0,1757>
    [C:\WINNT\system32\hccutils.DLL]  <Intel Corporation><3,0,0,1757>
    [C:\WINNT\system32\igfxdev.dll]  <Intel Corporation><3,0,0,1757>
    [C:\WINNT\system32\igfxsrvc.dll]  <Intel Corporation><3,0,0,1757>
    [C:\WINNT\system32\igfxhk.dll]  <Intel Corporation><3,0,0,1757>
    [C:\WINNT\system32\igfxres.dll]  <Intel Corporation><3,0,0,1757>
[PID: 1068][C:\WINNT\system32\internat.exe]  <Microsoft Corporation><5.00.2920.0000>
[PID: 1120][C:\WINNT\system32\conime.exe]  <Microsoft Corporation><5.00.2195.6655>
[PID: 880][C:\WINNT\smss.exe]  <nProj><0.00.0066>
[PID: 972][C:\WINNT\explorer.exe]  <Microsoft Corporation><5.00.3700.6690>
    [C:\WINNT\system32\igfxpph.dll]  <Intel Corporation><3,0,0,1757>
    [C:\WINNT\system32\hccutils.DLL]  <Intel Corporation><3,0,0,1757>
    [C:\WINNT\system32\igfxdev.dll]  <Intel Corporation><3,0,0,1757>
    [C:\WINNT\system32\igfxres.dll]  <Intel Corporation><3,0,0,1757>
    [C:\WINNT\system32\igfxsrvc.dll]  <Intel Corporation><3,0,0,1757>
    [C:\WINNT\system32\ALSNDMGR.CPL]  <Realtek Semiconductor Corp.><1.5.63>
    [C:\WINNT\system32\U8SMSConfig.CPL]  <><1, 0, 0, 1>
    [C:\WINNT\system32\igfxcpl.cpl]  <Intel Corporation><3,0,0,1757>
[PID: 1248][C:\U8SOFT\Desktop\Portal.exe]  <UFSoft><8.52>
    [C:\WINNT\system32\UFCOMSQL\U8Login.dll]  <UFSoft (Group) Corp., Ltd.><8.05>
    [C:\WINNT\system32\UMIscell.dll]  <><1, 0, 0, 1>
    [C:\WINNT\system32\sgv.dll]  <><8, 2, 0, 0>
    [C:\WINNT\system\Sense3.dll]  <N/A><N/A>
    [C:\WINNT\system32\UFCOMSQL\USDbKit.DLL]  <用友集团><1.00.0017>
    [C:\WINNT\system32\UFCOMSQL\UFNET.dll]  <><8, 1, 0, 0>
    [C:\WINNT\system32\UFCOMSQL\MDIExtender.ocx]  <DevComponents.com><1. 0. 0.28>
    [C:\WINNT\system32\UFCOMSQL\UFHeronReport.dll]  <ufsoft><8.52.0007>
    [C:\U8SOFT\ZW\zwsql.dll]  <北京用友软件股份有限公司><8.52.1025>
    [C:\WINNT\system32\UFCOMSQL\QMReportShow.dll]  <uf><8.51.0805>
    [C:\WINNT\system32\UFCOMSQL\PortalMainFormProxy.dll]  <ufsoft><8.52.0005>
    [C:\WINNT\system32\UFCOMSQL\Resrc.dll]  <UFSoft><8.51.8905>
    [C:\WINNT\system32\UFCOMSQL\PopMnu.ocx]  <UFSoft><1, 0, 0, 1>
    [C:\WINNT\system32\UFCOMSQL\U8Menu.ocx]  <UFSoft><8.51.0815>
    [C:\WINNT\system32\UFCOMSQL\USZZPUB.DLL]  <aa><8.51.8944>
    [C:\WINNT\system32\Client.DLL]  <><1, 0, 0, 1>
    [C:\WINNT\system32\UFCOMSQL\USNote.dll]  <用友公司><1.00.0004>
    [C:\WINNT\system32\UFCOMSQL\U8RowAuthsvr.dll]  <ufsoft><8.52.0002>
[PID: 1216][C:\Program Files\Internet Explorer\IEXPLORE.EXE]  <Microsoft Corporation><6.00.2800.1106>
    [C:\WINNT\system32\kakatool.dll]  <Beijing Rising Technology Co., Ltd.><2, 0, 0, 8>
    [C:\WINNT\system32\Macromed\Flash\FlDbg85a.ocx]  <Macromedia, Inc.><8,5,0,212>
[PID: 1108][C:\Documents and Settings\Administrator\桌面\新建文件夹\SREng.exe]  <Smallfrogs Studio><2.0.12.350>

==================================
文件关联
.TXT  Error. [notepad.exe %1]
.EXE  OK. ["%1" %*]
.COM  OK. ["%1" %*]
.PIF  OK. ["%1" %*]
.REG  OK. [regedit.exe "%1"]
.BAT  OK. ["%1" %*]
.SCR  OK. ["%1" /S]
.CHM  Error. [hh.exe %1]
.HLP  OK. [%SystemRoot%\System32\winhlp32.exe %1]
.INI  Error. [notepad.exe %1]
.INF  Error. [notepad.exe %1]
.VBS  Error. [wscript.exe "%1" %*]
.JS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.LNK  OK. [{00021401-0000-0000-C000-000000000046}]

==================================
Winsock 提供者

==================================

附件发不出去只能这样了，不好意思

朋友们来帮忙啊！！

晕了，都不在线吗？？版主在线吗？？？

没

那个图是不是扫描日志的呀?
是从哪里搞出来的?可以告诉我吗?

快顶下，找个高手解决

【回复“梦帆浪子”的帖子】
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<load><C:\WINNT\rundl132.exe>
修复这项。
重启。
显示隐藏文件，找到并删除C:\WINNT\rundl132.exe。

好，我试下

新的带md5校验的2.2出来了，性能不错。

耐心看看这个，可能对你有用啊

感染病毒 程序无法运行 磁盘分区双击无法打开的处理

近期遇到的很多客户WINDOWS系统感染某些病毒后，出现两种较常见的故障现象

1、 EXE 可执行文件打开失效，导致很多程序都无法双击运行，包括反病毒软件。原因是病毒更改了注册表里关联EXE文件的值，我们可以检查注册表里这两项：

HKEY_CLASSES_ROOT\.exe 的默认值是否为 exefile
HKEY_CLASSES_ROOT\exefile\shell\open\command 默认值是否为 "%1" %*

以上两项如果发现被修改，可以通过一注册表修复工具来进行修复，或手动用 regedit 来进行修改，但要注意的是，如果EXE关联被改，可能导致修复工具或regedit无法正常运行，这时我们可以尝试将修复工具或regedit程序进行复制改名，也就是复制一份并将扩展名EXE改为COM或PIF来运行


2、双击分区或移动磁盘不能打开，一般原因有两个：一种是病毒修改了注册表的磁盘打开关联，第二种则是某些病毒在分区下会生成自动运行脚本文件 autorun.inf 及相应的病毒文件，双击打开变成自动运行病毒文件了

对于第一种情况，我们可以打开regedit 注册表编辑器，将以下注册项删除
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2

第二种情况一般是当前系统已经感染该病毒了，需先清除病毒再删除病毒生成的自动运行 autorun.inf 及相应的病毒文件。通常这些文件都是隐藏属性，所以需要将“显示所有文件和文件夹”的选项打开后方能看见。删除这些文件之前应该注意一点就是不能双击打开分区，要改为点击鼠标右键，选“打开”。

第二种情况现在最多见，流行的落雪病毒、SXS.EXE等病毒都这样。很多人重做C盘系统后，双击其他分区又再次感染病毒的情况屡见不鲜；或是将U盘等移动磁盘插进感染病毒的机器后，U盘很被病毒感染写入自动运行的脚本及病毒文件，结果拿到另外的电脑上双击不能正常打开，并且将病毒感染到另外的电脑上，移动磁盘感染传播病毒有一个明显的情况就是想安全移除硬件时总提示失败，这是当前移动硬盘上的病毒文件在内存中运行了，必须结束其进程方能安全移除硬件

呵呵，文件关联也错了，用SREng修复一下

呵呵，文件关联也错了，用SREng修复一下