瑞星卡卡安全论坛

这几天常见求助帖子的HijackThis日志中出现：
O4 - HKLM\..\Run: [] C:\WINDOWS\system32\intenat.exe

这是个盗Q的木马。卡巴斯基报：Trojan-PWS.Win32.QQPass.lf。

手工查杀比较简单。按下面两个图示操作即可。

图1


附件: 155847200698105403.jpg

图2

附件: 155847200698105431.jpg

如果在XP系统中有INTERNAT.EXE呢？？？

谢谢 正为此困扰~瑞星最新版本貌似还杀不了这个....

引用:

【CheungWillams的贴子】如果在XP系统中有INTERNAT.EXE呢？？？ ………………

XP默认是没有internat.exe的，2000，98就有，是输入法的文件

引用:

【CheungWillams的贴子】如果在XP系统中有INTERNAT.EXE呢？？？ ………………

注意辨别文件名啊——老大！
INTERNAT.EXE与INTENAT.EXE不是一回事。
INTERNAT.EXE——正常文件。
INTENAT.EXE——木马。

少个R

请问baohe版主,那个hook.dlL有什么动静吗??

版主还在不? 帮偶看哈日志

Logfile of HijackThis v1.99.1
Scan saved at 12:59:10, on 2006-9-8
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
d:\Program Files\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Server.exe
C:\Program Files\UPHClean\uphclean.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
D:\Program Files\Rising\Rav\RavTask.exe
C:\WINDOWS\system32\UKEYMonitor.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
C:\Program Files\HP\Digital Imaging\Product Assistant\bin\hprblog.exe
C:\WINDOWS\system32\conime.exe
d:\Program Files\Rising\Rav\RAV.EXE
d:\Program Files\Rising\Rav\Ravmond.exe
d:\Program Files\Rising\Rav\RAVMON.EXE
d:\Program Files\Rising\Rav\RavStub.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\new\LOCALS~1\Temp\Rar$EX00.922\HijackThis.exe

O2 - BHO: (no name) - {A9930D97-9CF0-42A0-A10D-4F28836579D5} - D:\PROGRA~1\KuGoo3\KUGOO3~1.OCX
O2 - BHO: NTIECatcher Class - {C56CB6B0-0D96-11D6-8C65-B2868B609932} - C:\Program Files\Xi\NetTransport 2\NTIEHelper.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [RavTask] "d:\Program Files\Rising\Rav\RavTask.exe" -system
O4 - HKLM\..\Run: [gfaukeymonitor] C:\WINDOWS\system32\UKEYMonitor.exe
O4 - HKLM\..\Run: [IMSCMig] C:\PROGRA~1\COMMON~1\MICROS~1\IME\IMSC40A\IMSCMIG.EXE /Preload
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [bgswitch] C:\WINDOWS\system32\bgswitch.exe
O4 - HKCU\..\Run: [恢复BOOT菜单] c:\windows\BOOT-hf.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O8 - Extra context menu item: 使用KuGoo3下载(&K) - D:\Program Files\KuGoo3\KuGoo3DownX.htm
O8 - Extra context menu item: 使用影音传送带下载 - C:\Program Files\Xi\NetTransport 2\NTAddLink.html
O8 - Extra context menu item: 使用影音传送带下载全部链接 - C:\Program Files\Xi\NetTransport 2\NTAddList.html
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: 微软 - {6096E38F-5AC1-4391-8EC4-75DFA92FB32F} - http://www.microsoft.com/china/index.htm (file missing)
O9 - Extra button: 信息检索 - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{D36C0E96-5FB8-4572-ABE0-D444D5FD074C}: NameServer = 202.96.128.68,202.96.128.134
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: Remote Client (Device Access) - Unknown owner - C:\Documents.exe (file missing)
O23 - Service: Device (QoS RSVP32) - Unknown owner - C:\Program Files\Server.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - d:\Program Files\Rising\Rav\CCenter.exe
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - d:\Program Files\Rising\Rav\Ravmond.exe

O23 - Service: Remote Client (Device Access) - Unknown owner - C:\Documents.exe (file missing)
O23 - Service: Device (QoS RSVP32) - Unknown owner - C:\Program Files\Server.exe

O23 - Service: Remote Client (Device Access) - Unknown owner - C:\Documents.exe (file missing)

这个貌似已经被你自己解决了? 删了文件>? 呵呵

下面那个还在 快点处理下吧

恩，知道了

引用:

【闪电风暴的贴子】请问baohe版主,那个hook.dlL有什么动静吗?? ………………

hook.dll插入explorer.exe进程。监视、记录键盘、鼠标动作。

【回复“kooncheung”的帖子】
结束这个进程：
C:\Program Files\Server.exe
O4 - HKLM\..\Run: [gfaukeymonitor] C:\WINDOWS\system32\UKEYMonitor.exe——不知道这是什么。如果你自己也不清楚，请将C:\WINDOWS\system32\UKEYMonitor.exe打包发到：baohelin@yahoo.com.cn。
断网。关闭所有应用程序，用HIjackThis修复：
O23 - Service: Device (QoS RSVP32) - Unknown owner - C:\Program Files\Server.exe
重启系统。
显示隐藏文件。
删除C:\Program Files\Server.exe。

UKEYMonitor.exe 是电子钥匙
结束进程，删C:\Program Files\Server.exe文件就可以了吗？　
先谢了~!!!

顶下.....猫叔 /  虽然是最新的..我好想没中...不过也知道..该怎么做了.

如何知道发现hook.dll有问题？又如何确定hook.dll与病毒是一伙，而不是某个程序带的DLL文件？

我是新来的,借贵宝地,请问一下高手,
Rootkit.CallGate.gen是什么病毒?怎么杀啊?

在学习一下.......

引用:

【猪宝宝2006的贴子】如何知道发现hook.dll有问题？又如何确定hook.dll与病毒是一伙，而不是某个程序带的DLL文件？ ………………

baohe在使用tiny墙或SSM等监控工具的情况下，可以监控到intenat.exe释放hook.dll并实现dll注入的过程。因此得知。

还算幸运没有发现这个文件……

呵呵.现在病毒名都是迷惑人的....

引用:

【轩辕小聪的贴子】 baohe在使用tiny墙或SSM等监控工具的情况下，可以监控到intenat.exe释放hook.dll并实现dll注入的过程。因此得知。 ………………

但是在帮别人手工杀毒时，根本不会专门装这些软件，也无法知道对应dll文件，没有删除dll文件，有什么后遗症？