瑞星卡卡安全论坛

只要打开IE就跳出某org娱乐网站,而且断网也会不定时指向那个网址,网络上已有多人中招,请高人分析一下日志,不胜感激.
HijackThis_zww汉化版扫描日志 V1.99.1
保存于      16:24:11, 日期 2006-9-7
操作系统：  Windows XP SP1 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP1 (6.00.2800.1106)

当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
D:\Rising\Rav\RavTask.exe
C:\WINDOWS\System32\ctfmon.exe
D:\Rising\Rav\Ravmon.exe
D:\Rising\Rav\CCenter.exe
D:\Rising\Rav\RavTray.exe
D:\Rising\Rav\RavService.exe
D:\Rising\Rav\Ravmond.exe
D:\Rising\Rav\RavStub.exe
C:\WINDOWS\System32\conime.exe
F:\反浏览器劫持工具\HijackThis.exe

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\Userinit.exe
O3 - IE工具栏增项: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - 启动项HKLM\\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - 启动项HKLM\\Run: [IMSCMig] C:\PROGRA~1\COMMON~1\MICROS~1\IME\IMSC40A\IMSCMIG.EXE /Preload
O4 - 启动项HKLM\\Run: [RavTask] "D:\Rising\Rav\RavTask.exe" -system
O4 - 启动项HKLM\\Run: [HotKeysCmds] ; C:\WINDOWS\System32\hkcmd.exe
O4 - 启动项HKLM\\Run: [IgfxTray] ; C:\WINDOWS\System32\igfxtray.exe
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] ; "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002A] ; C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [PHIME2002ASync] ; C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [SoundMan] ; SOUNDMAN.EXE
O4 - 启动项HKLM\\Run: [RavTray] "D:\Rising\Rav\RavTray.exe"
O4 - 启动项HKCU\\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - 启动项HKCU\\Run: [MSMSGS] ; "C:\Program Files\Messenger\msmsgs.exe" /background
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - IE右键菜单中的新增项目: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - 浏览器额外的按钮: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - 浏览器额外的“工具”菜单项: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O15 - 添加的受信任的 IP 地址范围: http://192.168.1.5
O17 - HKLM\System\CCS\Services\Tcpip\..\{88921FBE-E424-4A4D-88FE-BFBEA13197E1}: NameServer = 211.91.120.129
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - NT 服务: RavService - Unknown owner - D:\Rising\Rav\RavService.exe" /service (file missing)
O23 - NT 服务: Remote Managements Instrumenta (Remss_Ser) - Unknown owner - C:\WINDOWS\System32\netstart.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - D:\Rising\Rav\CCenter.exe
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - D:\Rising\Rav\Ravmond.exe

【回复“YClong”的帖子】
O23 - NT 服务: Remote Managements Instrumenta (Remss_Ser) - Unknown owner - C:\WINDOWS\System32\netstart.exe
断网。
关闭所有应用程序。
用HijackThis修复这个O23项。
重启。
显示隐藏文件。
删除C:\WINDOWS\System32\netstart.exe

O23 - NT 服务: RavService - Unknown owner - D:\Rising\Rav\RavService.exe" /service (file missing)
修复上述项,并删除相关文件.

O4 - 启动项HKLM\\Run: [HotKeysCmds] ; C:\WINDOWS\System32\hkcmd.exe
O23 - NT 服务: Remote Managements Instrumenta (Remss_Ser) - Unknown owner - C:\WINDOWS\System32\netstart.exe
这二项有问题,删掉

楼上的几位高手去我的帖子看看吧！

只要跳出网址,IE修改项变灰,注册表也不能修改(没有权限),用瑞星注册表修改后,能改回IE空白,我把哪个娱乐网址放入受限制站点也没用.如过不断网可能下载一堆病毒.

我查到baohe的回复:
【回复“tianyou216”的帖子】
O23 - NT 服务: Remote Managements Instrumenta (Remss_Ser) - Unknown owner - C:\WINDOWS\system32\netstart.exe
这个服务项有问题。
C:\WINDOWS\system32\netstart.exe是冒牌货。
系统文件是C:\WINDOWS\system32\netstat.exe。
请将这个C:\WINDOWS\system32\netstart.exe打包，发到：baohelin@yahoo.com.cn


所以确定修改:
O23 - NT 服务: Remote Managements Instrumenta (Remss_Ser) - Unknown owner - C:\WINDOWS\System32\netstart.exe

建议下载stem Repair Engineer(SREng)修复
具体请参见 http://bty.nj13z.cn/ShowArticle.asp?ArticleID=141

另外用stem Repair Engineer(SREng)查看“system.ini: UserInit=C:\WINDOWS\System32\Userinit.exe”为红色，说要修复。但不敢做，有次将“F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\Userinit.exe”修复后，就总在输入密码地方转，进不了系统了。

只保留UserInit=C:\WINDOWS\System32\Userinit.exe就行了,后面的删掉,如果删不掉,看一下后面的是哪个文件,先删掉这个文件,然后再改就可以了

是不是改这里：

附件: 706924200697224222.gif

引用:

【YClong的贴子】是不是改这里： ………………

正常。
不要动这个注册表项。

时间太晚了影响各位休息，在此谢谢各位高人！

你注意看一下这个键值,从截图上看是正常的,但我遇到过后面加了N长的空格,在空格后还加有别的健值,如果有你删掉

其实IE连接的网站是HxxP://vod.mmdy.org，这是一个很恶心的娱乐网站。
要想铲除必须做：
1. 在运行输入“regedt32”打开注册表，查找“SYSTEMS.EXE”,删除之，同时删除C:\windows\SYSTEMS.EXE.
2. 修复 O23 - NT 服务: Remote Managements Instrumenta (Remss_Ser) - Unknown owner - C:\WINDOWS\system32\netstart.exe，并删除C:\WINDOWS\system32\netstat.exe。
3.用瑞星注册表修复工具修复IE。
4.正像楼上说的键值UserInit“C:\WINDOWS\System32\Userinit.exe,”要修复。
不过O23 - NT 服务项是关键。上述顺序自己调整看看。我终于在大家的帮助下清除了mmdy的绑定。谢谢大家！

恢复后的HijackThis扫描日志（安全模式）

HijackThis_zww汉化版扫描日志 V1.99.1
保存于      9:37:59, 日期 2006-9-8
操作系统：  Windows XP SP1 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP1 (6.00.2800.1106)

当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
F:\反浏览器劫持工具\HijackThis.exe

O3 - IE工具栏增项: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - 启动项HKLM\\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - 启动项HKLM\\Run: [IMSCMig] C:\PROGRA~1\COMMON~1\MICROS~1\IME\IMSC40A\IMSCMIG.EXE /Preload
O4 - 启动项HKLM\\Run: [RavTask] "D:\Rising\Rav\RavTask.exe" -system
O4 - 启动项HKLM\\Run: [HotKeysCmds] ; C:\WINDOWS\System32\hkcmd.exe
O4 - 启动项HKLM\\Run: [IgfxTray] ; C:\WINDOWS\System32\igfxtray.exe
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] ; "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002A] ; C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [PHIME2002ASync] ; C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [SoundMan] ; SOUNDMAN.EXE
O4 - 启动项HKLM\\Run: [RavTray] "D:\Rising\Rav\RavTray.exe"
O4 - 启动项HKCU\\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - 启动项HKCU\\Run: [MSMSGS] ; "C:\Program Files\Messenger\msmsgs.exe" /background
O8 - IE右键菜单中的新增项目: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - 浏览器额外的按钮: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - 浏览器额外的“工具”菜单项: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O15 - 添加的受信任的 IP 地址范围: http://192.168.1.5
O17 - HKLM\System\CCS\Services\Tcpip\..\{88921FBE-E424-4A4D-88FE-BFBEA13197E1}: NameServer = 211.91.120.129
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - NT 服务: RavService - Unknown owner - D:\Rising\Rav\RavService.exe" /service (file missing)
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - D:\Rising\Rav\CCenter.exe
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - D:\Rising\Rav\Ravmond.exe

修复
O23 - NT 服务: RavService - Unknown owner - D:\Rising\Rav\RavService.exe" /service (file missing)
日志正常了

在修复之前，该机还中了“wdm.exe”病毒和流氓软件，瑞星连续杀出“Rootkit.CallGate.gen”和“Trojan.PSW.LMir.atc”等病毒，杀掉之后才针对mmdy的。