瑞星卡卡安全论坛

大哥，帮帮忙，我的机子中了smss.exe病毒，一直留在启动项里！没法杀掉！！！

但愿不是那个病毒
请下载 System Repair Engineer，使用“智能扫描”，按下“扫描”按钮进行扫描，扫描完成后按下“保存报告”按钮保存报告日志文件（SREng.LOG），把保存的报告日志文件内容复制-粘贴上来
下载网址
http://www.kztechs.com/sreng/sreng2.zip
http://forum.ikaka.com/topic.asp?board=67&artid=5188931
日志一次粘不完，分次粘完，请不要修改。

【回复“梦帆浪子”的帖子】
smss.exe的路径？

【回复“我无邪”的帖子】
2006-07-17,21:35:33

System Repair Engineer 2.0.21.505 (2.0 RC 2)
Smallfrogs (http://www.KZTechs.com)

Windows 2000 Advanced Server Service Pack 2 (Build 2195)
- 管理权限用户 - 完整功能

以下内容被选中：
    所有的启动项目（包括注册表、启动文件夹、服务等）
    浏览器加载项
    正在运行的进程（包括进程模块信息）
    文件关联


启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <load><C:\WINNT\rundl132.exe>  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <internat.exe><internat.exe>  [Microsoft Corporation]
    <mmsk><C:\Program Files\木马杀客\mmsk.exe>  [木马杀客]
    <TProgram><C:\WINNT\smss.exe>  [nProj]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
    <mmsk><C:\Program Files\木马杀客\mmsk.exe>  [木马杀客]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><explorer.exe 1>  []
    <Userinit><C:\WINNT\system32\userinit.exe,>  [Microsoft Corporation]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{32CD708B-60A7-4C00-9377-D73EAA495F0F}><C:\WINNT\system32\RavExt.dll>  [Beijing Rising Technology Co., Ltd.]

==================================
启动文件夹
[U8管理服务]
  <C:\Documents and Settings\All Users\「开始」菜单\程序\启动\U8管理服务.lnk><N>
[服务管理器]
  <C:\Documents and Settings\All Users\「开始」菜单\程序\启动\服务管理器.lnk><N>

==================================
服务
[Logical Disk Manager Administrative Service / dmadmin]
  <C:\WINNT\System32\dmadmin.exe /com><VERITAS Software Corp.>
[firesmallsl / firesmallwa]
  <C:\WINNT\firesmall.exe><N/A>
[Distributed Transaction Coordinator / MSDTC]
  <C:\WINNT\System32\msdtc.exe><N/A>
[MSSQLServerADHelper / MSSQLServerADHelper]
  <C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqladhlp.exe><N/A>
[NVIDIA Display Driver Service / NVSvc]
  <C:\WINNT\System32\nvsvc32.exe><NVIDIA Corporation>
[Pml Driver HPZ12 / Pml Driver HPZ12]
  <C:\WINNT\System32\HPZipm12.exe><HP>
[Rising Process Communication Center / RsCCenter]
  <"C:\Program Files\Rising\Rav\CCenter.exe"><Beijing Rising Technology Co., Ltd.>
[SQLSERVERAGENT / SQLSERVERAGENT]
  <C:\PROGRA~1\MICROS~3\MSSQL\binn\sqlagent.exe><N/A>
[svchot / svchotm]
  <><N/A>
[UFSoft SMS Platform / U8SmsSrv]
  <C:\WINNT\system32\U8SMSSrv.exe><N/A>
[用友U8预警调度服务 / UFALERTSERVICE]
  <C:\WINNT\System32\AlertService.exe><N/A>
[U8管理软件 / UFNet]
  <C:\WINNT\system32\ServerNT.EXE><N/A>
[Windows Internet Name Service (WINS) / WINS]
  <C:\WINNT\System32\wins.exe><N/A>

【回复“我无邪”的帖子】
==================================
浏览器加载项
[@shdoclc.dll,-866]
  {c95fe080-8f5d-11d2-a20b-00aa003c157a} <, N/A>
[电台(&R)]
  {8E718888-423F-11D2-876E-00A0C9082467} <C:\WINNT\System32\msdxm.ocx, Microsoft Corporation>
[Shockwave Flash Object]
  {D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINNT\System32\Macromed\Flash\Flash8b.ocx, Macromedia, Inc.>
[添加到广告杀手]
  <C:\Program Files\TweakAssist\AdKiller.htm, N/A>

==================================
正在运行的进程
[PID: 180][\SystemRoot\System32\smss.exe]  <Microsoft Corporation><5.00.2195.2901>
[PID: 208][\??\C:\WINNT\system32\csrss.exe]  <Microsoft Corporation><5.00.2195.2581>
[PID: 232][\??\C:\WINNT\system32\winlogon.exe]  <Microsoft Corporation><5.00.2195.2953>
[PID: 260][C:\WINNT\system32\services.exe]  <Microsoft Corporation><5.00.2195.2780>
    [C:\WINNT\system32\dmserver.dll]  <VERITAS Software Corp.><2195.2778.297.3>
[PID: 272][C:\WINNT\system32\lsass.exe]  <Microsoft Corporation><5.00.2195.2964>
[PID: 376][C:\WINNT\System32\termsrv.exe]  <Microsoft Corporation><5.00.2195.2342>
[PID: 508][C:\WINNT\system32\svchost.exe]  <Microsoft Corporation><5.00.2134.1>
[PID: 532][C:\WINNT\system32\spoolsv.exe]  <Microsoft Corporation><5.00.2161.1>
    [C:\WINNT\system32\HPBMMON.DLL]  <Hewlett-Packard><10.00.16>
    [C:\WINNT\system32\hppamon0.dll]  <HP><7, 0, 5, 0>
    [C:\WINNT\system32\hpdomon.dll]  <Hewlett-Packard><03.42.00>
    [C:\WINNT\system32\HPBHealr.dll]  <N/A><N/A>
    [C:\WINNT\System32\spool\PRTPROCS\W32X86\hpzpp041.dll]  <Hewlett-Packard Corporation><60.041.41.00>
[PID: 560][C:\WINNT\System32\tcpsvcs.exe]  <Microsoft Corporation><5.00.2134.1>
[PID: 576][C:\WINNT\System32\svchost.exe]  <Microsoft Corporation><5.00.2134.1>
[PID: 604][C:\WINNT\System32\llssrv.exe]  <Microsoft Corporation><5.00.2195.2649>
[PID: 676][C:\PROGRA~1\MICROS~3\MSSQL\binn\sqlservr.exe]  <Microsoft Corporation><2000.080.0194.00>
[PID: 872][C:\WINNT\system32\U8SMSSrv.exe]  <N/A><N/A>
[PID: 952][C:\WINNT\system32\ServerNT.EXE]  <N/A><N/A>
    [C:\WINNT\system32\UMiscell.dll]  <><1, 0, 0, 1>
    [C:\WINNT\system32\sgv.dll]  <><8, 2, 0, 0>
    [C:\WINNT\system\Sense3.dll]  <N/A><N/A>
    [C:\WINNT\system32\SecuComm.dll]  <N/A><N/A>
[PID: 992][C:\WINNT\System32\WBEM\WinMgmt.exe]  <Microsoft Corporation><1.50.1085.0029>
[PID: 1028][C:\WINNT\system32\Dfssvc.exe]  <Microsoft Corporation><5.00.2195.2841>
[PID: 1052][C:\WINNT\System32\dns.exe]  <Microsoft Corporation><5.00.2195.2886>
[PID: 1068][C:\WINNT\System32\inetsrv\inetinfo.exe]  <Microsoft Corporation><5.00.0984>
[PID: 1132][C:\Program Files\Common Files\System\MSSearch\Bin\mssearch.exe]  <Microsoft Corporation><9.107.5512.0>
[PID: 1216][C:\WINNT\System32\AlertService.exe]  <N/A><N/A>
    [C:\WINNT\System32\AlertDispatcher.dll]  <><1, 0, 0, 1>
[PID: 1536][C:\WINNT\explorer.exe]  <Microsoft Corporation><5.00.3315.2846>
    [C:\WINNT\system32\RavExt.dll]  <Beijing Rising Technology Co., Ltd.><18, 0, 0, 13>
    [C:\WINNT\vDll.dll]  <N/A><N/A>
    [C:\WINNT\System32\ALSNDMGR.CPL]  <Realtek Semiconductor Corp.><2.2.26>
    [C:\WINNT\System32\U8SMSConfig.CPL]  <><1, 0, 0, 1>
    [C:\WINNT\System32\nvtuicpl.cpl]  <NVIDIA Corporation><6.14.10.5303>
    [C:\WINNT\System32\NVWRSZHC.DLL]  <NVIDIA Corporation><6.14.10.5303>
    [C:\Program Files\WinRAR\rarext.dll]  <N/A><N/A>
[PID: 1620][C:\WINNT\System32\svchost.exe]  <Microsoft Corporation><5.00.2134.1>
[PID: 392][C:\WINNT\System32\internat.exe]  <Microsoft Corporation><5.00.2920.0000>
[PID: 1468][C:\WINNT\System32\UfSvrMgr.exe]  <用友软件公司><1, 0, 0, 1>
[PID: 1384][C:\Program Files\木马杀客\mmsk.exe]  <木马杀客><2,0,0,6>
    [C:\Program Files\木马杀客\krnln.fnr]  <><1, 0, 0, 1>
    [C:\Program Files\木马杀客\HtmlView.fne]  <><1, 0, 0, 1>
    [C:\Program Files\木马杀客\iext.fnr]  <><1, 0, 0, 1>
    [C:\Program Files\木马杀客\TrayIcon.fne]  <><1, 0, 0, 1>
    [C:\Program Files\木马杀客\iext2.fne]  <><1, 0, 0, 1>
    [C:\Program Files\木马杀客\iext3.fne]  <><1, 0, 0, 1>
    [C:\Program Files\木马杀客\xplib.fne]  <N/A><N/A>
    [C:\Program Files\木马杀客\shell.fne]  <N/A><N/A>
    [C:\Program Files\木马杀客\dp1.fne]  <N/A><N/A>
    [C:\Program Files\木马杀客\eAPI.fne]  <><1, 0, 0, 1>
[PID: 1412][C:\WINNT\System32\conime.exe]  <Microsoft Corporation><5.00.2180.1>
[PID: 1660][C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe]  <Microsoft Corporation><2000.080.0194.00>
[PID: 1560][C:\Program Files\Internet Explorer\iexplore.exe]  <Microsoft Corporation><6.00.2800.1106>
    [C:\Program Files\Rising\Rav\RavScrCh.dll]  <Beijing Rising Technology Co., Ltd.><18, 0, 0, 3>
    [C:\WINNT\vDll.dll]  <N/A><N/A>
[PID: 848][C:\Program Files\Internet Explorer\IEXPLORE.EXE]  <Microsoft Corporation><6.00.2800.1106>
    [C:\Program Files\Rising\Rav\RavScrCh.dll]  <Beijing Rising Technology Co., Ltd.><18, 0, 0, 3>
    [C:\WINNT\System32\Macromed\Flash\Flash8b.ocx]  <Macromedia, Inc.><8,0,24,0>
[PID: 1580][C:\WINNT\smss.exe]  <nProj><0.00.0066>
    [C:\Program Files\Rising\Rav\RavScrCh.dll]  <Beijing Rising Technology Co., Ltd.><18, 0, 0, 3>
[PID: 1852][C:\WINNT\Logo1_.exe]  <N/A><N/A>
[PID: 1864][C:\Documents and Settings\Administrator\桌面\SREng2\SREng.exe]  <Smallfrogs Studio><2.0.21.505>

==================================
文件关联
.TXT  OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.EXE  Error. [WindowFiles]
.COM  OK. ["%1" %*]
.PIF  OK. ["%1" %*]
.REG  OK. [regedit.exe "%1"]
.BAT  OK. ["%1" %*]
.SCR  OK. ["%1" /S]
.CHM  OK. ["C:\WINNT\hh.exe" %1]
.HLP  OK. [%SystemRoot%\System32\winhlp32.exe %1]
.INI  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.INF  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.VBS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.JS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.LNK  OK. [{00021401-0000-0000-C000-000000000046}]

==================================
Winsock 提供者

==================================

【回复“我无邪”的帖子】
机子刚才还中了个名叫rundl132.exe的病毒，我刚把它给删了！！！

我机子是WIN2000。装的杀毒软件是瑞星，但是重装了N资了，瑞星监控还是不能起动，按装过程中就说按装过程中出现错误！！！

没办法了,我下了个木马杀客来杀,来监控,总是提示这个
正在检测系统并初始化杀毒引擎>>>>>>

<<<<<<系统检测完成

实时监控中......

系统事件：启动项目中发现木马!
木马名称：网络会话管理程序.35
木马启动项：tprogram
木马从启动项目中清除成功!
c:\winnt\smss.exe

木马在硬盘清除成功!
c:\winnt\smss.exe

核心启动中发现木马! 已经清除 1

实时监控中......

系统事件：启动项目中发现木马!
木马名称：网络会话管理程序.35
木马启动项：tprogram
木马从启动项目中清除成功!
c:\winnt\smss.exe

木马在硬盘清除成功!
c:\winnt\smss.exe

核心启动中发现木马! 已经清除 1

C:\WINNT\smss.exe
很遗憾，就是这个病毒，你除了这个病毒，还有不少问题。
我建议你也不要修复了
直接重装系统了事。

注意一点的是C:\WINNT\Logo1_.exe
它是蠕虫病毒，是一个传染性很强的病毒。
所有接触过你机子的U盘等都会传染
如果你的硬盘并没有什么重要的东东，我建议你重新分区格式，再重装系统。
关于这个蠕虫病毒，你可以看这个帖子
Logo1_.exe的专杀
http://forum.ikaka.com/topic.asp?board=28&artid=8098930
http://it.rising.com.cn/service/technology/RavVikiing.htm

【回复“我无邪”的帖子】
我的进程里有这个：SMSS.EXE  是感染病毒了吗

大哥，真的不能重装啊，这是公司财务服务器啊！有很多数据的，有很多问题，那麻烦大哥给我说说，一是我学习下，二是我一项一项解决吧！！真的是没有办法，你应该看出来了，我机子上有用友，也就晚上不用，到了白天，根本就不能停！！求你了大哥，给想个办法也行！！

首先我要告诉你，中了这个蠕虫病毒，会感染所有EXE格式的程序。也就是说，当你用杀软要杀的时候，所有的EXE都会删除。
这个，你在那帖子里应该看到的。
应该会感染所有的盘，所以，它才是你们局域网里最大的威胁。
注意这个Logo1_.exe进程，查看你们局域网里所有的机子。

我还是建议你重装
是在解决了Logo1_.exe后，好在不是24小时开机服务。
你可以晚上解决的。
用Logo1_.exe的专杀到安全模式查杀，杀完后，重启再回到安全模式，再杀一次。
直到查不出为止。
升级你的瑞星为最新，再扫一次。
Logo1_.exe的问题，建议把它上报你们领导。

呵 又学习了....