瑞星卡卡安全论坛

HijackThis_815汉化版扫描日志不知道行不!～那个高手需要其它日志我扫给他！～我重装系统都删不掉的病毒！～大家研究一下！～




保存于      16:28:02, 日期 2006-8-10
操作系统：  Windows XP SP1 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP1 (6.00.2800.1106)

当前运行的进程：         
C:\WINDOWS\Explorer.EXE
c:\program files\rising\rfw\RfwMain.exe
C:\Program Files\Rising\Rav\RavTask.exe
C:\Program Files\Rising\Rav\Ravmon.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP3LAK.EXE
E:\HeroV9\Mmxado.exe
C:\Program Files\Microsoft Office\Office\WINWORD.EXE
C:\Program Files\Internet Explorer\iexplore.exe
D:\HijackThis1991zww.exe

O3 - IE工具栏增项: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [RfwMain] "C:\Program Files\Rising\Rfw\rfwmain.exe" -Startup
O4 - 启动项HKLM\\Run: [RavTask] "C:\Program Files\Rising\Rav\RavTask.exe" -system
O4 - 启动项HKLM\\Run: [CAP3ON] C:\WINDOWS\System32\spool\drivers\w32x86\3\CAP3ONN.EXE
O4 - 启动项HKLM\\Run: [syssvr] C:\WINDOWS\system32\syssvr.exe
O4 - 启动项HKLM\\RunOnce: [RavStub] "C:\Program Files\Rising\Rav\ravstub.exe" /RUNONCE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Canon LASER SHOT LBP-1120 状态窗口.LNK = C:\WINDOWS\system32\spool\drivers\w32x86\3\CAP3LAK.EXE
O9 - 浏览器额外的按钮: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - 浏览器额外的“工具”菜单项: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{DB2E3751-A33E-4FA0-BFB7-D39B8368CA75}: NameServer = 219.146.0.132,219.150.32.132
O23 - NT 服务: Rising Proxy  Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - c:\program files\rising\rfw\rfwproxy.exe
O23 - NT 服务: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Co., Ltd. - c:\program files\rising\rfw\rfwsrv.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - C:\Program Files\Rising\Rav\CCenter.exe
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - C:\Program Files\Rising\Rav\Ravmond.exe

修复：
O4 - 启动项HKLM\\Run: [syssvr] C:\WINDOWS\system32\syssvr.exe
删除：
C:\WINDOWS\system32\syssvr.exe
C:\WINDOWS\system32\KeyHook.dll

这样还搞不定吗？汗，那样本刚刚打开邮箱才拿到，还没来得及看呢。

O4 - 启动项HKLM\\Run: [syssvr] C:\WINDOWS\system32\syssvr.exe
删除：
C:\WINDOWS\system32\syssvr.exe
C:\WINDOWS\system32\KeyHook.dll

具体怎么操作？？？我不会！~猫大叔删不掉可能就是我理解他的方法有错误！~请详细一点！~谢谢！

http://forum.ikaka.com/topic.asp?board=28&artid=7259392

查了你之前的帖子，Trojan.Spy.PCRecord.a的病毒文件名称与具体路径？

C:\WINDOWS\system32\KeyHook.dll

我发过样本给猫大叔和一个谁忘了！

C:\WINDOWS\system32\syssvr.exe
C:\WINDOWS\system32\KeyHook.dll
这两个都删了还不行吗？
重装系统后没有连上网之前就有？会不会是系统安装盘的问题？

以前都删了！~ 注册表里的也删了。重装以后先在屏保中杀出毒！~以后就蔓延了！~~~  我按照《狮王心》的检查法发现密西木马QQ通行证。不知道该怎么做！~

密西木马、QQ通行证？我在日志中都没有发现。你是如何发现的？

按照《狮王心》发的帖子上的检查法发现密西木马和QQ通行证

我就是问你，是发现了哪些症状与此相符？

总置顶的那个帖子！
http://forum.ikaka.com/topic.asp?board=28&artid=8138175

system32目录下有connand

汗死，我当然知道。我指的是，SVOHOST并没有在你的日志中发现，何来QQ通行证之说？密西木马的注册表项也没看到啊。

任务管理器有SVOHST。EXE

我扫个别的日志给你看看？？？

引用:

【新手Q紫枫的贴子】任务管理器有SVOHST。EXE ………………

任务管理器截个图上来。

图怎么截？？？怎么发上来？？？

随便找个截图软件
在标准模式下回复
关注中

随便找个截图软件
你告诉我个吧！~我不知道

轩辕小聪,版主不好当呵..

我倒
红蜻蜓截图精灵

引用:

【新手Q紫枫的贴子】system32目录下有connand ………………

我更汗！如果你说的是这个（见下图），那是正常文件。好好看看那个帖子里附的图，两者是不一样的。

附件: 6484772006810174255.BMP