瑞星卡卡安全论坛

刚才在下载漏洞补丁的时候出现自己提取文件的东西，一种不详的预感涌上心头。还有就是防火墙还不能工作，声音系统也没有恢复，跪求了。哎抱着侥幸的心理结果倒霉了

HijackThis_815汉化版扫描日志 V1.99.1
保存于      13:22:33, 日期 2006-7-31
操作系统：  Windows XP SP2 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
E:\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
E:\Rising\Rav\Ravmond.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
E:\Rising\Rav\RavStub.exe
E:\Rising\Rav\RavTask.exe
C:\WINDOWS\VM_STI.EXE
E:\Rising\Rav\Ravmon.exe
C:\Program Files\jmesoft\hotkey.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\jmesoft\hkload.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\user\LOCALS~1\Temp\Rar$EX00.578\HijackThis1991zww.exe
C:\WINDOWS\system32\wuauclt.exe

O2 - BHO: ThunderIEHelper - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:\WINDOWS\system32\xunleibho_v14.dll
O2 - BHO: internet explorer helper - {02C9B9AB-6372-46C5-B356-773FAF3B6B1E} - C:\WINDOWS\fonts\msshapi.dll
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [RavTask] "E:\Rising\Rav\RavTask.exe" -system
O4 - 启动项HKLM\\Run: [RfwMain] "E:\防火墙\Rising\Rfw\rfwmain.exe" -Startup
O4 - 启动项HKLM\\Run: [BigDogPath] C:\WINDOWS\VM_STI.EXE USB PC Camera 301P
O4 - 启动项HKLM\\Run: [jmekey] C:\Program Files\jmesoft\hotkey.exe
O4 - 启动项HKLM\\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O8 - IE右键菜单中的新增项目: &使用迅雷下载 - E:\迅雷\geturl.htm
O8 - IE右键菜单中的新增项目: &使用迅雷下载全部链接 - E:\迅雷\getallurl.htm
O8 - IE右键菜单中的新增项目: 导出到 Microsoft Office Excel(&X) - res://c:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - E:\QQ\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - E:\QQ\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 百度搜索 - res://C:\WINDOWS\DOWNLO~1\BaiDuBar.dll/BAIDUSEARCH.HTM
O9 - 浏览器额外的按钮: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - 浏览器额外的“工具”菜单项: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: {488A4255-3236-44B3-8F27-FA1AECAA8844} (CEditCtrl Object) - https://img.alipay.com/download/1007/aliedit.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{F7F82976-4785-4C86-ADE6-7118A94E8D1B}: NameServer = 61.152.82.18 202.96.209.6
O23 - NT 服务: Rising Proxy  Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - e:\防火墙\rising\rfw\rfwproxy.exe
O23 - NT 服务: Rising Personal Firewall Service (RfwService) - Unknown owner - e:\防火墙\rising\rfw\rfwsrv.exe
O23 - NT 服务: Remote Procedure Call System(RPCS) (RpcS) - Unknown owner - C:\WINDOWS\system32\RPCS.exe (file missing)
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - E:\Rising\Rav\CCenter.exe
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - E:\Rising\Rav\Ravmond.exe
O23 - NT 服务: Windows Audio Server - Unknown owner - C:\WINDOWS\system32\drwatsn.exe
改了正常模式下扫的

O4 - 启动项HKLM\\Run: [RfwMain] "E:\防火墙\Rising\Rfw\rfwmain.exe" -Startup

建议你不要用中文目录。。。

也不要在安全模式下扫。。我晕

修复
O23 - NT 服务: Remote Procedure Call System(RPCS) (RpcS) - Unknown owner - C:\WINDOWS\system32\RPCS.exe (file missing)

O23 - NT 服务: Windows Audio Server - Unknown owner - C:\WINDOWS\system32\drwatsn.exe
楼主知道它是什么吗?

drwatsn.exe
/...华医生。。你开他干吗？

【回复“Latyas”的帖子】
谢谢,学习了......

O23 - NT 服务: Remote Procedure Call System(RPCS) (RpcS) - Unknown owner - C:\WINDOWS\system32\RPCS.exe (file missing)这个删不了啊，点修复后就变成空白了，重新扫还是有

这个怎么能删阿！！！ RPC 阿

谢谢

引用:

【Latyas的贴子】这个怎么能删阿！！！ RPC 阿 ...........................

狂晕~~~~带(file missing)的项目=没有文件,只有注册表=项目不可用
你留着这个也没用
请不要乱说

怎么删啊，710207大师小弟电脑盲，详细点好吗

引用:

【品位人生1的贴子】怎么删啊，710207大师小弟电脑盲，详细点好吗 ...........................

开始--运行--regedit--确定
打开注册表编辑器
分别展开:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet00X\Services(X代表数字)
删除(如有)
RPCS
RpcS
Remote Procedure Call System

你这里有两个RpcS我这边可以看到的另外一个是RpcSs不知要不要删除
没有Remote Procedure Call System，也没有HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services

【回复“品位人生1”的帖子】
那个RpcSs不用删
O23 - NT 服务: Remote Procedure Call System(RPCS) (RpcS) - Unknown owner - C:\WINDOWS\system32\RPCS.exe (file missing)不删也可以,对系统没危害

谢谢大师，感激不尽，我再试试

瑞星提示有带RPC的漏洞攻击,系统声音还是没有，防火墙也不工作

O23 - NT 服务: Windows Audio Server - Unknown owner - C:\WINDOWS\system32\drwatsn.exe
这项也是病毒啊,华医生是drwtsn!!!

我的QQ好被盗了，哎早知道会出事的