瑞星卡卡安全论坛

连续两次，中病毒。很想知道手工是怎么杀的，还有就是现在这个病毒和以前不太一样，他会和灰鸽子病毒以及木马一起发作，今天用老卡来杀，也不能成功。
2006-07-27,19:21:01

System Repair Engineer 2.0.21.505 (2.0 RC 2)
Smallfrogs (http://www.KZTechs.com)

Windows 2000 Professional Service Pack 4 (Build 2195)
- 管理权限用户 - 完整功能

以下内容被选中：
    所有的启动项目（包括注册表、启动文件夹、服务等）
    浏览器加载项
    正在运行的进程（包括进程模块信息）
    文件关联


启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <ScanRegistry><C:\Program Files\Common Files\update\update.exe>  []
    <BitComet><"C:\Program Files\BitComet\BitComet.exe">  [www.BitComet.com]
    <eMuleAutoStart><D:\eMule 0.47a\emule.exe -AutoStart>  [http://www.emule.org.cn]
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <load><>  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <lzhmaya><C:\WINNT\lzhmaya.exe>  []
    <Synchronization Manager><mobsync.exe /logon>  [Microsoft Corporation]
    <NTdhcp><C:\WINNT\system32\NTdhcp.exe>  []
    <ToP><C:\WINNT\LSASS.exe>  [Swj4ef8SAF]
    <svchost><C:\Program Files\Common Files\System\svchost.exe>  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <Userinit><C:\WINNT\system32\userinit.exe,>  [Microsoft Corporation]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\PCANotify]
    <WinlogonNotify: PCANotify><PCANotify.dll>  [Symantec Corporation]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    <BitComet><; "C:\Program Files\BitComet\BitComet.exe">  [www.BitComet.com]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    <DAEMON Tools-1033><; "C:\Program Files\D-Tools\daemon.exe"  -lang 1033>  [DAEMON'S HOME]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    <Internat.exe><; internat.exe>  [Microsoft Corporation]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
    <lzhmaya><; C:\WINNT\lzhmaya.exe>  []
    <pcAGWMonitor><; "C:\Program Files\Symantec\pcAnywhere Gateway\GWMonitor.exe">  [Symantec Corporation]
    <Synchronization Manager><; mobsync.exe /logon>  [Microsoft Corporation]

==================================

启动文件夹
服务
[Symantec pcAnywhere Gateway Service / AWGateway]
  <"C:\Program Files\Symantec\pcAnywhere Gateway\AWGateway.exe"><Symantec Corporation>
[Symantec pcAnywhere Host Service / awhost32]
  <"C:\Program Files\Symantec\pcAnywhere\awhost32.exe"><Symantec Corporation>
[Logical Disk Manager Administrative Service / dmadmin]
  <C:\WINNT\System32\dmadmin.exe /com><VERITAS Software Corp.>
[Firebird Server - MAGIX Instance / FirebirdServerMAGIXInstance]
  <C:\MAGIX\Common\Database\bin\fbserver.exe><MAGIX?>
[Gray / Gray]
  <2 - 系统找不到指定的文件。
><N/A>
[Kaspersky Anti-Virus Service / kavsvc]
  <"C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kavsvc.exe"><Kaspersky Lab>
[LiveUpdate / LiveUpdate]
  <"C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE"><Symantec Corporation>
[UPnPService / UPnPService]
  <C:\Program Files\Common Files\MAGIX Shared\UPnPService\UPnPService.exe><>

==================================
浏览器加载项
[@shdoclc.dll,-866]
  {c95fe080-8f5d-11d2-a20b-00aa003c157a} <, N/A>
[@msdxmLC.dll,-1@2052,电台(&R)]
  {8E718888-423F-11D2-876E-00A0C9082467} <C:\WINNT\System32\msdxm.ocx, Microsoft Corporation>
[Shockwave Flash Object]
  {D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINNT\system32\Macromed\Flash\Flash9.ocx, Adobe Systems, Inc.>
[上传到QQ网络硬盘]
  <E:\QQ\AddToNetDisk.htm, N/A>
[添加到QQ自定义面板]
  <E:\QQ\AddPanel.htm, N/A>
[添加到QQ表情]
  <E:\QQ\AddEmotion.htm, N/A>
[用QQ彩信发送该图片]
  <E:\QQ\SendMMS.htm, N/A>

==================================
正在运行的进程
[PID: 176][\SystemRoot\System32\smss.exe]  <Microsoft Corporation><5.00.2195.6601>
[PID: 204][\??\C:\WINNT\system32\csrss.exe]  <Microsoft Corporation><5.00.2195.6601>
[PID: 224][\??\C:\WINNT\system32\winlogon.exe]  <Microsoft Corporation><5.00.2195.6714>
    [C:\WINNT\system32\PCANotify.dll]  <Symantec Corporation><12.0.0.123>
[PID: 252][C:\WINNT\system32\services.exe]  <Microsoft Corporation><5.00.2195.6700>
[PID: 264][C:\WINNT\system32\lsass.exe]  <Microsoft Corporation><5.00.2195.6695>
[PID: 456][C:\WINNT\system32\svchost.exe]  <Microsoft Corporation><5.00.2134.1>
[PID: 556][C:\WINNT\System32\svchost.exe]  <Microsoft Corporation><5.00.2134.1>
[PID: 596][C:\WINNT\System32\WBEM\WinMgmt.exe]  <Microsoft Corporation><1.50.1085.0100>
[PID: 724][C:\WINNT\explorer.exe]  <Microsoft Corporation><5.00.3700.6690>
    [C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\scrchpg.dll]  <Kaspersky Lab><5.0.527.20>
    [C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\scbridge.dll]  <Kaspersky Lab><5.0.527.1>
    [C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\klipc.dll]  <Kaspersky Lab><5.0.527.0>
    [C:\Program Files\WinRAR\rarext.dll]  <N/A><N/A>
    [C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\shellex.dll]  <Kaspersky Lab><5.0.527.1>
[PID: 1152][C:\WINNT\LSASS.exe]  <Swj4ef8SAF><0.00.0085>
    [C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\scrchpg.dll]  <Kaspersky Lab><5.0.527.20>
    [C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\scbridge.dll]  <Kaspersky Lab><5.0.527.1>
    [C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\klipc.dll]  <Kaspersky Lab><5.0.527.0>
[PID: 912][E:\123\sreng2\SREng2\SREng.exe]  <Smallfrogs Studio><2.0.21.505>

==================================
文件关联
.TXT  OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.EXE  Error. [WindowFiles]
.COM  OK. ["%1" %*]
.PIF  OK. ["%1" %*]
.REG  OK. [regedit.exe "%1"]
.BAT  OK. ["%1" %*]
.SCR  OK. ["%1" /S]
.CHM  OK. ["C:\WINNT\hh.exe" %1]
.HLP  OK. [%SystemRoot%\System32\winhlp32.exe %1]
.INI  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.INF  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.VBS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.JS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.LNK  OK. [{00021401-0000-0000-C000-000000000046}]

==================================
Winsock 提供者

==================================

还有在用卡吧的时候有个G_SERVER1.123.EXE用System Repair Engineer 没发现服务。

天天能看看这个吗

无邪？

C:\WINNT\lzhmaya.exe
C:\WINNT\system32\NTdhcp.exe
C:\WINNT\LSASS.exe
C:\Program Files\Common Files\System\svchost.exe
C:\WINNT\lzhmaya.exe
这些都是问题
但我觉得你首先干掉
C:\WINNT\LSASS.exe
如果它杀不死，就直接重装系统。

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<ScanRegistry><C:\Program Files\Common Files\update\update.exe> []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<lzhmaya><C:\WINNT\lzhmaya.exe> []
<Synchronization Manager><mobsync.exe /logon> [Microsoft Corporation]
<NTdhcp><C:\WINNT\system32\NTdhcp.exe> []
<ToP><C:\WINNT\LSASS.exe> [Swj4ef8SAF]
<svchost><C:\Program Files\Common Files\System\svchost.exe> []
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
<lzhmaya><; C:\WINNT\lzhmaya.exe> []
[PID: 1152][C:\WINNT\LSASS.exe] <Swj4ef8SAF><0.00.0085>

这些都是有问题的，卡巴斯基怎么会让进来这么多东西

我也觉得纳闷，不过这个病毒是一体的，什么灰鸽子．还有lsas.exe都是一起执行．我想问问，老卡能杀否！
我刚刚运行过，杀除了，重起又出现，还有就是Ｇ＿ＳＥＲＶＥＲ１．２３.EXE用System Repair Engineer 没发现服务。

引用:

【ogim的贴子】还有在用卡吧的时候有个G_SERVER1.123.EXE用System Repair Engineer 没发现服务。 ...........................

[Gray / Gray]
<2 - 系统找不到指定的文件。
><N/A>
就是这个。
日志会出现这种显示，是因为此服务的确在开机时仍存在，但是之后注册表项被删除了。看来卡巴已经把它的注册表项也删了，在这种状态下重启了之后，SREng日志中的这一项也会消失。

不是老卡删的，是我用System Repair Engineer 删除的．
．．．．．

引用:

【ogim的贴子】不是老卡删的，是我用System Repair Engineer 删除的． ．．．．． ...........................

晕，那还说什么找不到？！