瑞星卡卡安全论坛

我的机子中了木马，我只好格式化硬盘，重装了系统。而且安装好了瑞星，升级到最新（18.30）。可惜上了几天网又中了。我想不通啊！瑞星防护伞系统启动就开着的，怎么还会中木马呢？难道瑞星对木马根本就没有作用。现在是，瑞星防护伞无法启动，但瑞星杀毒主程序可以运行，但找不到毒（我自己都找到了，它居然找不到，瑞星的工程师是不是不幸啊）。请高手指点，如何杀，如何杜绝。我的QQ:33326935.
--------------------------------------------------------------------------
2006-06-11,11:25:16

System Repair Engineer 2.0.21.505 (2.0 RC 2)
Smallfrogs (http://www.KZTechs.com)

Windows XP Professional Service Pack 2 (Build 2600)
- 管理权限用户 - 完整功能

以下内容被选中：
    所有的启动项目（包括注册表、启动文件夹、服务等）
    浏览器加载项
    正在运行的进程（包括进程模块信息）
    文件关联


启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <ctfmon.exe><D:\WINDOWS\system32\ctfmon.exe>  [Microsoft Corporation]
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <load><>  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <IMJPMIG8.1><"D:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32>  [Microsoft Corporation]
    <RavTask><"D:\Program Files\Rising\Rav\RavTask.exe" -system>  [Beijing Rising Technology Co., Ltd.]
    <AtiPTA><; Atiptaxx.exe>  [ATI Technologies, Inc.]
    <BigDogPath><; D:\WINDOWS\VM_STI.EXE VIMICRO USB PC Camera 301x>  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe>  [Microsoft Corporation]
    <Userinit><D:\WINDOWS\system32\userinit.exe,>  [Microsoft Corporation]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><>  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <UIHost><logonui.exe>  [Microsoft Corporation]

==================================
启动文件夹
服务
[Ati HotKey Poller / Ati HotKey Poller]
  <D:\WINDOWS\system32\ati2plab.exe><N/A>
[Macromedia Licensing Service / Macromedia Licensing Service]
  <"D:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe"><N/A>
[Rising Process Communication Center / RsCCenter]
  <"D:\Program Files\Rising\Rav\CCenter.exe"><Beijing Rising Technology Co., Ltd.>
[RsRavMon Service / RsRavMon]
  <"D:\Program Files\Rising\Rav\Ravmond.exe"><Beijing Rising Technology Co., Ltd.>

==================================
浏览器加载项
[Shockwave Flash Object]
  {D27CDB6E-AE6D-11CF-96B8-444553540000} <D:\WINDOWS\system32\Macromed\Flash\Flash8b.ocx, Macromedia, Inc.>
[Windows Media Player]
  {22D6F312-B0F6-11D0-94AB-0080C74C7E95} <D:\WINDOWS\system32\wmpdxm.dll, Microsoft Corporation>
[HTML Document]
  {25336920-03F9-11CF-8FD0-00AA00686F13} <%SystemRoot%\system32\mshtml.dll, N/A>
[HHCtrl Object]
  {41B23C28-488E-4E5C-ACE2-BB0BBABE99E8} <D:\WINDOWS\system32\hhctrl.ocx, Microsoft Corporation>
[Macrosoft Class]
  {58DB541D-F15A-4E95-A5D9-5DF5EE13920C} <c:\windows\system32\winlogin.dll, N/A>
[Shockwave Flash Object]
  {D27CDB6E-AE6D-11CF-96B8-444553540000} <D:\WINDOWS\system32\Macromed\Flash\Flash8b.ocx, Macromedia, Inc.>
[上传到QQ网络硬盘]
  <E:\Program Files\Tencent\QQ\AddToNetDisk.htm, N/A>
[使用网际快车下载]
  <E:\Program Files\FlashGet\jc_link.htm, N/A>
[使用网际快车下载全部链接]
  <E:\Program Files\FlashGet\jc_all.htm, N/A>
[添加到QQ自定义面板]
  <E:\Program Files\Tencent\QQ\AddPanel.htm, N/A>
[添加到QQ表情]
  <E:\Program Files\Tencent\QQ\AddEmotion.htm, N/A>
[用QQ彩信发送该图片]
  <E:\Program Files\Tencent\QQ\SendMMS.htm, N/A>

==================================
正在运行的进程
[PID: 476][\SystemRoot\System32\smss.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 532][\??\D:\WINDOWS\system32\csrss.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 556][\??\D:\WINDOWS\system32\winlogon.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 600][D:\WINDOWS\system32\services.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 612][D:\WINDOWS\system32\lsass.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 772][D:\WINDOWS\system32\svchost.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 816][D:\WINDOWS\system32\svchost.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 916][D:\WINDOWS\System32\svchost.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 992][D:\WINDOWS\system32\svchost.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1124][D:\WINDOWS\system32\svchost.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1460][D:\WINDOWS\Explorer.exe]  <Microsoft Corporation><6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)>
    [e:\Program Files\WinRAR\rarext.dll]  <N/A><N/A>
    [D:\WINDOWS\system32\RavExt.dll]  <Beijing Rising Technology Co., Ltd.><18, 0, 0, 19>
    [e:\Herosoft\Hero Audio Convert\HeroExt.dll]  <N/A><N/A>
    [D:\PROGRA~1\ftc\Commenu.dll]  <Fygsoft and Microsoft><2.0.0.0>
    [E:\PROGRA~1\ALCOHO~1\ALCOHO~1\AXShlEx.dll]  <Alcohol Soft Development Team><1.4.7.1024>
[PID: 1504][D:\WINDOWS\system32\spoolsv.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1852][D:\Program Files\Rising\Rav\RavTask.exe]  <Beijing Rising Technology Co., Ltd.><18, 0, 0, 22>
    [D:\Program Files\Rising\Rav\RSCOMMON.DLL]  <Beijing Rising Technology Co., Ltd.><18, 0, 0, 4>
    [D:\Program Files\Rising\Rav\RSAPPMGR.DLL]  <Beijing Rising Technology Co., Ltd.><18, 0, 0, 2>
    [D:\Program Files\Rising\Rav\CfgDll.dll]  <Beijing Rising Technology Co., Ltd.><18, 0, 0, 10>
    [D:\Program Files\Rising\Rav\RsCommX.dll]  <rising><18, 0, 0, 1>
[PID: 1884][D:\WINDOWS\system32\ctfmon.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 2044][D:\WINDOWS\system32\ati2plab.exe]  <N/A><N/A>
[PID: 1324][D:\WINDOWS\System32\alg.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1392][D:\WINDOWS\system32\wscntfy.exe]  <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1484][D:\Program Files\Internet Explorer\IEXPLORE.EXE]  <Microsoft Corporation><6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)>
    [D:\Program Files\Rising\Rav\RavScrCh.dll]  <Beijing Rising Technology Co., Ltd.><18, 0, 0, 3>
    [D:\WINDOWS\system32\Macromed\Flash\Flash8b.ocx]  <Macromedia, Inc.><8,0,24,0>
[PID: 1848][D:\Documents and Settings\wang\桌面\sreng2\SREng2\SREng.exe]  <Smallfrogs Studio><2.0.21.505>
[PID: 1580][D:\WINDOWS\WINLOGON.EXE]  <yYwXn><0.00.0073>

==================================
文件关联
.TXT  OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.EXE  OK. ["%1" %*]
.COM  OK. ["%1" %*]
.PIF  OK. ["%1" %*]
.REG  OK. [regedit.exe "%1"]
.BAT  OK. ["%1" %*]
.SCR  OK. ["%1" /S]
.CHM  OK. ["D:\WINDOWS\hh.exe" %1]
.HLP  OK. [%SystemRoot%\System32\winhlp32.exe %1]
.INI  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.INF  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.VBS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.JS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.LNK  OK. [{00021401-0000-0000-C000-000000000046}]

==================================
Winsock 提供者

==================================
HijackThis_815汉化版扫描日志 V1.99.1
保存于      11:37:38, 日期 2006-6-11
操作系统：  Windows XP SP2 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：         
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\Explorer.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Program Files\Rising\Rav\RavTask.exe
D:\WINDOWS\system32\ctfmon.exe
D:\WINDOWS\system32\ati2plab.exe
D:\WINDOWS\system32\wscntfy.exe
D:\Program Files\Internet Explorer\IEXPLORE.EXE
D:\WINDOWS\WINLOGON.EXE
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\NOTEPAD.EXE
E:\GREEN\HijackThis_zww汉化版\HijackThis1991\HijackThis1991zww.exe

O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "D:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [RavTask] "D:\Program Files\Rising\Rav\RavTask.exe" -system
O4 - 启动项HKLM\\Run: [AtiPTA] ; Atiptaxx.exe
O4 - 启动项HKLM\\Run: [BigDogPath] ; D:\WINDOWS\VM_STI.EXE VIMICRO USB PC Camera 301x
O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe
O8 - IE右键菜单中的新增项目: 上传到QQ网络硬盘 - E:\Program Files\Tencent\QQ\AddToNetDisk.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - E:\Program Files\FlashGet\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - E:\Program Files\FlashGet\jc_all.htm
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - E:\Program Files\Tencent\QQ\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - E:\Program Files\Tencent\QQ\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - E:\Program Files\Tencent\QQ\SendMMS.htm
O23 - NT 服务: Ati HotKey Poller - Unknown owner - D:\WINDOWS\system32\ati2plab.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - D:\Program Files\Rising\Rav\CCenter.exe
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - D:\Program Files\Rising\Rav\Ravmond.exe

不知道，我也有过。

[Macrosoft Class]
{58DB541D-F15A-4E95-A5D9-5DF5EE13920C} <c:\windows\system32\winlogin.dll, N/A>
D:\WINDOWS\WINLOGON.EXE
这两项有问题
这木马没有这么简单
如果你的系统还原并没有关闭，请用系统还原还原你的系统到最老的一个还原点。
如果系统还原关闭了，请给baohe版主发悄悄话，他写有这个病毒的手工查杀流程。

没装 防火墙

仅靠  杀软 不现实的

这个木马却是厉害。你就是手工删除WINLOGO.EXE，还没等你重启动，开个窗口，一转身又来了。不知道那里有转杀工具？？？

请教，是不是杀毒软件对于木马没有什么作用啊？不可能中了毒都去搞手工杀毒吧？

请高手指点。瑞星网站有没有该木马的转杀工具啊！或者其他什么可以清楚木马的工具？我机子是个双系统。好像98还没有感染，启动无木马进程

系统盘在D盘?

这是虚假的WINLOGON.EXE  ...有点难清除..

这是斑竹写的帖子http://forum.ikaka.com/topic.asp?board=28&artid=7495863

弄了一天，终于解决了。的确是很厉害的病毒。第一次遇到。体会有三点：1，自己的电脑动手能力一定要强。我计算机玩了7年，初程，网管考试都过了。但这种东西真是日新月异啊！必须要自己会动手，了解系统知识。2，论坛的高手多啊！好心人也多。3，第一次感到这些所谓正版的防病毒软件其实有时候一点也没有用。比如这次我中了WINLOGO.EXE木马。我自己都能找到几个病毒文件，而用瑞星扫描居然什么都发现不了。另外随便用其他的一些个人开发的小软件（好像都是老外开发的啊！）也可以发现很多问题。我不知道瑞星养了这么多工程师都是干什么吃的，是不是故意让病毒流行，好迫使更多的人来买他们的正版软件！要不然为什么连个人开发的一些软件都可以轻松发现和出去，而偌大的公司开发的软件居然找都找不到？？？难以理解啊。告诉每个朋友不要相信什么国产正版反病毒软件了。

需要注意的一点是你重装系统后要安装的软件
很多软件都有猫腻，在安装的同时会偷偷地安装其它程序