瑞星卡卡安全论坛

版主及各位高手您们好:
从天空软件站下载过一个FLASH应用程序后,先是总出现一个铃声下载网站,一天后再上网浏览器只能打开一\二秒钟后就关闭了,不知是中了什么病毒?我把扫描日志复制如下,请帮忙看看如何解决好吗?先谢谢了!!
HijackThis_815汉化版扫描日志 V1.99.1
保存于 13:02:42, 日期 2006-6-10
操作系统： Windows XP SP2 (WinNT 5.01.2600)
浏览器： Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Rising\Rav\Ravmond.exe
c:\program files\rising\rfw\rfwsrv.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Rising\Rav\RavStub.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
c:\program files\rising\rfw\RfwMain.exe
C:\WINDOWS\VM_STI.EXE
C:\Program Files\Rising\Rav\RavTask.exe
C:\Program Files\Rising\Rav\Ravmon.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\downloads\hijackthis\HijackThis1991zww.exe

O2 - BHO: MyIEHelper Class - {16A770A0-0E87-4278-B748-2460D64A8386} - C:\Documents and Settings\All Users\Application Data\Microsoft\IEHelper\IEHelper_8888.dll
O2 - BHO: QQBrowserHelperObject Class - {54EBD53A-9BC1-480B-966A-843A333CA162} - C:\Program Files\Tencent\QQ\QQIEHelper.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FLASHGET\jccatch.dll
O3 - IE工具栏增项: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\fgiebar.dll
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [internat.exe] internat.exe
O4 - 启动项HKLM\\Run: [SystemTray] SysTray.Exe
O4 - 启动项HKLM\\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - 启动项HKLM\\Run: [BigDogPath] C:\WINDOWS\VM_STI.EXE VIMICRO USB PC Camera
O4 - 启动项HKLM\\Run: [RfwMain] "C:\Program Files\Rising\Rfw\rfwmain.exe" -Startup
O4 - 启动项HKLM\\Run: [RavTask] "C:\Program Files\Rising\Rav\RavTask.exe" -system
O4 - 启动项HKLM\\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - 启动项HKLM\\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - 启动项HKLM\\Run: [chaster] C:\WINDOWS\svchost.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O8 - IE右键菜单中的新增项目: 上传到QQ网络硬盘 - C:\Program Files\Tencent\qq\AddToNetDisk.htm
O8 - IE右键菜单中的新增项目: 使用影音传送带下载 - C:\Program Files\Xi\NetTransport 2\NTAddLink.html
O8 - IE右键菜单中的新增项目: 使用影音传送带下载全部链接 - C:\Program Files\Xi\NetTransport 2\NTAddList.html
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - C:\Program Files\FlashGet\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - C:\Program Files\FlashGet\jc_all.htm
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - C:\Program Files\Tencent\qq\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - C:\Program Files\Tencent\qq\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - C:\Program Files\Tencent\qq\SendMMS.htm
O9 - 浏览器额外的按钮: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - C:\Program Files\Tencent\QQ\QQ.EXE
O9 - 浏览器额外的“工具”菜单项: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - C:\Program Files\Tencent\QQ\QQ.EXE
O9 - 浏览器额外的按钮: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - 浏览器额外的“工具”菜单项: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - 浏览器额外的按钮: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - C:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - 浏览器额外的“工具”菜单项: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - C:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - 浏览器额外的按钮: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - 浏览器额外的“工具”菜单项: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {DA984A6D-508E-11D6-AA49-0050FF3C628D} (Ravonline) - http://download.rising.com.cn/QQ/QQkill/rsonline.cab
O16 - DPF: {F553811C-C2CE-4A33-90B4-A6D333FDF794} (DreamSetup Control) - http://221.2.138.82/ddvod/user/help/player/DreamPlayer/DreamSetup.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{55C0FD50-90EB-4D01-894C-D64A13F7F6B2}: NameServer = 202.102.154.3 202.102.152.3
O17 - HKLM\System\CCS\Services\Tcpip\..\{FBDA0C37-7953-4EE6-915D-CAAA709D54F3}: NameServer = 202.102.152.3,202.102.154.3
O17 - HKLM\System\CS1\Services\Tcpip\..\{55C0FD50-90EB-4D01-894C-D64A13F7F6B2}: NameServer = 202.102.154.3 202.102.152.3
O18 - 列举现有的协议: koboo - {7DEE9D05-FA0A-4416-A6F3-6537D0EAB6A6} - C:\WINDOWS\system32\mbprot.dll (file missing)
O23 - NT 服务: Rising Proxy Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - c:\program files\rising\rfw\rfwproxy.exe
O23 - NT 服务: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Co., Ltd. - c:\program files\rising\rfw\rfwsrv.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - C:\Program Files\Rising\Rav\CCenter.exe
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - C:\Program Files\Rising\Rav\Ravmond.exe

进程没问题,卸掉FLASH的应用程序.

【回复“听海的歌”的帖子】
O4 - 启动项HKLM\\Run: [chaster] C:\WINDOWS\svchost.exe
木马
是不是鸽子
两说着

该怎么处理啊?

O4 - 启动项HKLM\\Run: [chaster] C:\WINDOWS\svchost.exe为
W32.Welchia.Worm病毒

杀毒工具下载 http://www.symantec.com/avcenter/FixWelch.exe

另:由于该病毒有自清除的特性，可以修改系统时间年份至2004年，并重新启动系统，病毒即可清除，然后安装漏洞补丁后再矫正系统时间。

引用:

【710207的贴子】O4 - 启动项HKLM\\Run: [chaster] C:\WINDOWS\svchost.exe为 W32.Welchia.Worm病毒 杀毒工具下载 http://www.symantec.com/avcenter/FixWelch.exe 另:由于该病毒有自清除的特性，可以修改系统时间年份至2004年，并重新启动系统，病毒即可清除，然后安装漏洞补丁后再矫正系统时间。 ...........................

兄弟呀
您这黄历老点儿不？
C:\WINDOWS\svchost.exe就一定是冲击波杀手？
它就不可能是别的木马？
汗！

漏洞补丁在哪里下载?是否用专杀工具杀毒后就不需要更改系统时间了?

C:\WINDOWS\svchost.exe当然是冲击波杀手(W32.Welchia.Worm)呀.

引用:

【710207的贴子】C:\WINDOWS\svchost.exe当然是冲击波杀手(W32.Welchia.Worm)呀. ...........................

老爸长胡子
难道长胡子的都是老爸

我都不知道该听谁的了.我可是一只菜鸟啊!郁闷中!!

引用:

【听海的歌的贴子】我都不知道该听谁的了.我可是一只菜鸟啊!郁闷中!! ...........................

你的XP系统装了SP2了
日志里看出来的
不会再中冲击波/冲击波杀手一类的病毒
信不信由你

下个杀毒工具( http://www.symantec.com/avcenter/FixWelch.exe )就解决了

是啊,我也在纳闷,从瑞星上已经打过补丁了,怎么还会中?不过现在要紧的是能否提供解决办法?!

终于找到补丁了
http://www.tuoruan.com/windowsxp-kb828035-x86-chs.exe

引用:

【听海的歌的贴子】是啊,我也在纳闷,从瑞星上已经打过补丁了,怎么还会中?不过现在要紧的是能否提供解决办法?! ...........................

建议按灰鸽子处理
查杀方法可以看看http://forum.ikaka.com/topic.asp?board=28&artid=6202404

确定打上了?
另:W32.Welchia.Worm补丁可能会导致更多问题:
安全专家这周表示：微软最新发布的安全漏洞可能招致更多的麻烦，计算机使用者应立即安装微软提供的安全补丁。
　　
微软最新发布的Messenger漏洞(Messenger缓冲区溢出漏洞 导致任意代码执行)几乎影响到了每一台使用Windows系统的计算机。
　　
　　赛门铁克公司安全研究中心主管文森特说：“我想我们应该注意重复发作的病毒MSBlast worm，在九月它通过因特网交叉传染。就这个病毒事例而言，黑客在病毒爆发前获得了三周的时间去计算出蠕虫攻击的方式。并在之后利用公布的漏洞，‘使用代码’攻击和加速病毒的传播。”
　　
　　Messenger是微软提供的即时通讯服务。它最大的特点是：允许Windows系统使用者之间进行通讯和发送文件。并且这个特点已经被垃圾邮件制造商利用来发送垃圾信息。
　　
　　微软宣布为了解决越来越严重的安全问题，每月发布一次安全漏洞公告（微软公布新安全策略　每月发布一个补丁程序），提醒用户进行系统升级。
　

引用:

【sasade的贴子】 建议按灰鸽子处理 查杀方法可以看看http://forum.ikaka.com/topic.asp?board=28&artid=6202404 ...........................

不对,请不要瞎提示,正确的方法应该是这样的:
1、如果操作系统为Windows Me/XP，建议禁用掉系统中的系统恢复（System Restore）功能。
2、在任务管理器关闭Dllhost.exe进程。
3、进入注册表（“开始->运行：regedit），删除如下键值：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services RpcTftpd
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services RpcPatch
4、检查、并删除文件:
%SYSTEM%\WINS\DLLHOST.EXE
%SYSTEM%\WINS\SVCHOST.EXE

其中%System%表示（系统须是缺省安装目录）：
Windows 95/98/Me C:\Windows\System
Windows NT/2000  C:\Winnt\System32
Windows XP  C:\Windows\System32

5、重新启动机器。
6、立刻打补丁和更新病毒库。
7、如果禁用了系统恢复（System Restore）功能，请重新打开。