瑞星卡卡安全论坛

一开IE就自动打开http://vod.mmdy.org/网站，无法修改主业，也无法删除临时cookies
卡巴老提示有毒，名称为KB525181M.LOG  ，路径为C：\WINDOWS\KB525181M.LOG
现在连注册表都被禁用了

日志如下，刚扫描的
HijackThis_815汉化版扫描日志 V1.99.1
保存于      16:45:09, 日期 2006-8-2
操作系统：  Windows XP SP2 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\netdde.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\conime.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
D:\sreng2\HijackThis1991zww.exe

F3 - REG:win.ini: load=;
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\difd.exe
O2 - BHO: Shockwave Flash Object - {14A21378-5BB1-4BC4-95D5-5D3F51527F6F} - C:\WINDOWS\system32\smflash.ocx
O2 - BHO: 超级兔子上网精灵 - {7369D35A-5B70-4A5B-B789-B25FE09B4AF3} - D:\Super Rabbit\MagicSet\haokanbar.dll
O3 - IE工具栏增项: 超级兔子上网精灵 - {43869BB3-22FD-4F15-9B46-238106BA2F4E} - D:\Super Rabbit\MagicSet\haokanbar.dll
O4 - 启动项HKLM\\Run: [KAVPersonal50] "D:\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O4 - 启动项HKLM\\Run: [webService] systems.exe
O4 - 启动项HKLM\\Run: [ATIPTA] ; ; ; C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - 启动项HKLM\\Run: [CdnCtr] ;
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] ; ; ; "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [MiniPPGou.exe] ;
O4 - 启动项HKLM\\Run: [MoveSearch] ;
O4 - 启动项HKLM\\Run: [ms] ;
O4 - 启动项HKLM\\Run: [PDF Converter Registry Controller] ; "C:\Program Files\ScanSoft\PDF Converter\RegistryController.exe"
O4 - 启动项HKLM\\Run: [PDFConverterReminder] ; "C:\PROGRA~1\ScanSoft\PDFCON~1\EReg\EReg.exe" -r "C:\PROGRA~1\ScanSoft\PDFCON~1\EReg\ereg.ini"
O4 - 启动项HKLM\\Run: [PHIME2002A] ; ; ; C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [PHIME2002ASync] ; ; ; C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [RemoteControl] ; ; ; d:\CyberLink\PowerDVD\PDVDServ.exe
O4 - 启动项HKLM\\Run: [Rundll32] ;
O4 - 启动项HKLM\\Run: [SKYNET Personal FireWall] ; D:\防火墙\FireWall\pfw.exe
O4 - 启动项HKLM\\Run: [SOUNDM] ; winsmd.exe
O4 - 启动项HKLM\\Run: [SoundMan] ; ; SOUNDMAN.EXE
O4 - 启动项HKLM\\Run: [spoolsrv] ;
O4 - 启动项HKLM\\Run: [spoolsv] ;
O4 - 启动项HKLM\\Run: [StormCodec_Helper] ; ; ; "d:\暴风影音\Ringz Studio\Storm Codec\StormSet.exe" /S /opti
O4 - 启动项HKLM\\Run: [Super Rabbit Shutdown] ; D:\Super Rabbit\MagicSet\srshut.EXE /LOAD
O4 - 启动项HKLM\\Run: [TProgram] ;
O4 - 启动项HKLM\\Run: [_rx] ;
O4 - HKCU\..\Run: [DesktopSprite] D:\SnowFox\DesktopSprite2\DesktopSprite.exe
O4 - HKCU\..\Run: [ctfmon.exe] ; C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] ; "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [msnmsgr] ; "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [msnnt] ;
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - IE右键菜单中的新增项目: &使用迅雷下载 - d:\迅雷\Thunder Network\Thunder\Program\GetUrl.htm
O8 - IE右键菜单中的新增项目: &使用迅雷下载全部链接 - d:\迅雷\Thunder Network\Thunder\Program\GetAllUrl.htm
O8 - IE右键菜单中的新增项目: 上传到QQ网络硬盘 - D:\QQ\AddToNetDisk.htm
O8 - IE右键菜单中的新增项目: 导出到 Microsoft Office Excel(&X) - res://D:\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - D:\QQ\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - D:\QQ\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - D:\QQ\SendMMS.htm
O9 - 浏览器额外的按钮: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - d:\QQ\QQ.EXE
O9 - 浏览器额外的“工具”菜单项: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - d:\QQ\QQ.EXE
O9 - 浏览器额外的按钮: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - d:\QQ\QQIEHelper.dll (file missing)
O9 - 浏览器额外的“工具”菜单项: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - d:\QQ\QQIEHelper.dll (file missing)
O16 - DPF: {2354A44B-3CEB-4829-9940-545B03103538} (PowerPlr Control) - http://kp.wuhan.net.cn/plugin/PowerPlr.ocx
O16 - DPF: {53AF6E02-F18F-4228-AC13-3E79773FBE50} (CMCBooter Object) - http://download.mysee.com/plugin/booter.cab
O16 - DPF: {5932517A-3326-4439-A708-1C98EDB5C549} (Downloader Class) - file://C:\Documents and Settings\All Users\Application Data\Share Helper\Cast\GGS\d33570114a\js\iMopDl.cab
O16 - DPF: {F138084D-84D7-48CD-BEA8-04772457516E} (VqqSpeedDlProxy Class) - http://59.36.97.38/jsxz/vqqsdl1009.cab
O18 - 列举现有的协议: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - AppInit_DLLs: KB525181M.LOG
O21 - SSODL: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - (no file)
O21 - SSODL: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - (no file)
O21 - SSODL: DVDBurn - {790448C3-4239-45AF-C98B-367991A8B103} - C:\WINDOWS\Downloaded Program Files\AfxEdit.dll (file missing)
O23 - NT 服务: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - NT 服务: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - NT 服务: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - D:\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - NT 服务: kavsvc - Kaspersky Lab - D:\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - NT 服务: Remote Managements Instrumenta (Remss_Ser) - Unknown owner - C:\WINDOWS\system32\netstart.exe
O23 - NT 服务: Windows XP Vista        - Unknown owner - C:\WINDOWS\Hacker.com.cn.ini

O23 - NT 服务: Windows XP Vista - Unknown owner - C:\WINDOWS\Hacker.com.cn.ini
鸽子
参考http://forum.ikaka.com/topic.asp?board=28&artid=7713905

我知道着个是鸽子，但还有几个比鸽子牛得多的毒，不知道怎么弄啊

大虾门，你们哪去了啊？？

。。。。。。。。。。还没人来啊

。。。。。。。。。。。

【回复“xp123”的帖子】
建议：尝试系统还原吧。
你把系统搞成什么样子了！！
看看那些启动项——一个个都怪怪的。
后门、木马、流氓——全了！
汗！

。。。。。。。

那写是被病毒搞的
前几天还不是这个样的
自从有了毒
电脑就怪怪的
麻烦你告诉我哪个是毒，可以吗？

引用:

【xp123的贴子】那写是被病毒搞的 前几天还不是这个样的 自从有了毒 电脑就怪怪的 麻烦你告诉我哪个是毒，可以吗？ ………………

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\difd.exe——流氓。
O4 - 启动项HKLM\\Run: [webService] systems.exe——木马。
————————————
O4 - 启动项HKLM\\Run: [MiniPPGou.exe] ;
O4 - 启动项HKLM\\Run: [MoveSearch] ;
O4 - 启动项HKLM\\Run: [ms] ;
O4 - 启动项HKLM\\Run: [PHIME2002A] ; ; ;
O4 - 启动项HKLM\\Run: [SOUNDM] ; winsmd.exe
O4 - 启动项HKLM\\Run: [spoolsrv] ;
O4 - 启动项HKLM\\Run: [spoolsv] ;
O4 - 启动项HKLM\\Run: [TProgram] ;
O4 - 启动项HKLM\\Run: [_rx] ;

怪异的启动项。
——————————————————
O23 - NT 服务: Windows XP Vista - Unknown owner - C:\WINDOWS\Hacker.com.cn.ini——灰鸽子（后门）
O23 - NT 服务: Remote Managements Instrumenta (Remss_Ser) - Unknown owner - C:\WINDOWS\system32\netstart.exe——另一个木马。

谢谢了斑竹
O4 - 启动项HKLM\\Run: [MiniPPGou.exe] ; 这是流氓