瑞星卡卡安全论坛

红伞打不开
主动跳出网页http://www.haokanvod.com/
主页被设置为http://vod.mmdy.org/zz/
瑞星安全中心打开后也是一片空白..怎么回事啊.
下面是那个什么听斟器听出来的结果,求救....


未知家族病毒分析
扫描结果:
C:\WINDOWS\system32\winasse.exe --> 与 Trojan.PSW.LMir 100%相似.


系统活动进程
C:\WINDOWS\SYSTEM32\ALG.EXE
C:\WINDOWS\SYSTEM32\SMSS.EXE
C:\WINDOWS\SYSTEM32\WINASSE.EXE
C:\WINDOWS\SYSTEM32\CSRSS.EXE
C:\WINDOWS\SYSTEM32\WINLOGON.EXE
C:\WINDOWS\SYSTEM32\MSACM32.DRV

C:\WINDOWS\SYSTEM32\SERVICES.EXE
C:\WINDOWS\SYSTEM32\LSASS.EXE
C:\WINDOWS\SYSTEM32\WUAUCLT.EXE
C:\WINDOWS\SYSTEM32\SVCHOST.EXE
C:\WINDOWS\SYSTEM32\IGFXTRAY.EXE
C:\WINDOWS\SYSTEM32\HCCUTILS.DLL
C:\WINDOWS\SYSTEM32\IGFXSRVC.DLL
C:\WINDOWS\SYSTEM32\IGFXRES.DLL
C:\WINDOWS\SYSTEM32\IGFXRESS.DLL

C:\WINDOWS\SYSTEM32\SVCHOST.EXE
C:\WINDOWS\SYSTEM32\HKCMD.EXE
C:\WINDOWS\SYSTEM32\HCCUTILS.DLL
C:\WINDOWS\SYSTEM32\IGFXSRVC.DLL
C:\WINDOWS\SYSTEM32\IGFXRES.DLL

C:\WINDOWS\SYSTEM32\IGFXPERS.EXE
C:\WINDOWS\SYSTEM32\IGFXSRVC.DLL

C:\WINDOWS\SYSTEM32\SVCHOST.EXE
C:\WINDOWS\SM56HLPR.EXE
C:\WINDOWS\SM56ENG.DLL
C:\WINDOWS\SM56FRA.DLL
C:\WINDOWS\SM56BRZ.DLL
C:\WINDOWS\SM56CHS.DLL
C:\WINDOWS\SM56CHT.DLL
C:\WINDOWS\SM56GER.DLL
C:\WINDOWS\SM56ITL.DLL
C:\WINDOWS\SM56JPN.DLL
C:\WINDOWS\SM56SPN.DLL

C:\WINDOWS\SYSTEM32\SVCHOST.EXE
D:\RUIXING\RISING\RAV\RSAGENT.EXE
D:\RUIXING\RISING\RAV\RSCOMMX.DLL
C:\WINDOWS\SYSTEM32\RAVEXT.DLL

C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\SYSTEM32\SVCHOST.EXE
D:\RUIXING\RISING\RAV\RAVTASK.EXE
D:\RUIXING\RISING\RAV\RSCOMMON.DLL
D:\RUIXING\RISING\RAV\RSAPPMGR.DLL
D:\RUIXING\RISING\RAV\CFGDLL.DLL
D:\RUIXING\RISING\RAV\RSCOMMX.DLL

C:\PROGRAM FILES\COMMON FILES\REAL\UPDATE_OB\REALSCHED.EXE
C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SYSTEM32\MSKEY32.DLL
D:\RUIXING\RISING\RAV\RAVSCRCH.DLL
C:\WINDOWS\SYSTEM32\MACROMED\FLASH\FLASH9.OCX
C:\WINDOWS\SYSTEM32\MSACM32.DRV

C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM32\RAVEXT.DLL
C:\WINDOWS\SYSTEM32\MSACM32.DRV
C:\WINDOWS\SYSTEM32\IGFXPPH.DLL
C:\WINDOWS\SYSTEM32\HCCUTILS.DLL
C:\WINDOWS\SYSTEM32\IGFXRES.DLL
C:\WINDOWS\SYSTEM32\IGFXRESS.DLL
C:\WINDOWS\SYSTEM32\IGFXSRVC.DLL
D:\RUIXING\RISING\RAV\RSCOMMON.DLL
C:\WINDOWS\SYSTEM32\MSKEY32.DLL

C:\WINDOWS\SYSTEM32\CTFMON.EXE
C:\WINDOWS\SYSTEM32\SPOOLSV.EXE
C:\WINDOWS\SYSTEM32\MDIMON.DLL
C:\WINDOWS\SYSTEM32\SPOOL\PRTPROCS\W32X86\MDIPPR.DLL

C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\桌面\RSDETECT.EXE
D:\RUIXING\RISING\RAV\RAVMON.EXE
D:\RUIXING\RISING\RAV\RSGUILIB.DLL
D:\RUIXING\RISING\RAV\BWLIST.DLL
D:\RUIXING\RISING\RAV\RSAPPMGR.DLL
D:\RUIXING\RISING\RAV\CFGDLL.DLL
D:\RUIXING\RISING\RAV\RSCOMMON.DLL
D:\RUIXING\RISING\RAV\RSCOMMX.DLL
D:\RUIXING\RISING\RAV\PNGDLL.DLL

C:\WINDOWS\SYSTEM32\CONIME.EXE
C:\DOCUMENTS AND SETTINGS\ADMINISTRATOR\MY DOCUMENTS\HUAWEI\PORTALSERVER\61.175.164.14\PORTALCLIENT.EXE
C:\WINDOWS\SYSTEM32\WDFMGR.EXE
C:\WINDOWS\MSAGENT\AGENTSVR.EXE
C:\WINDOWS\SYSTEM32\MSACM32.DRV


普通自启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
IMJPMIG8.1 = "C:\WINDOWS\IME\IMJP8_1\IMJPMIG.EXE" /SPOIL /REMADVDEF /MIGRATION32
PHIME2002ASync = C:\WINDOWS\SYSTEM32\IME\TINTLGNT\TINTSETP.EXE /SYNC
PHIME2002A = C:\WINDOWS\SYSTEM32\IME\TINTLGNT\TINTSETP.EXE /IMENAME
igfxtray = C:\WINDOWS\SYSTEM32\IGFXTRAY.EXE
igfxhkcmd = C:\WINDOWS\SYSTEM32\HKCMD.EXE
igfxpers = C:\WINDOWS\SYSTEM32\IGFXPERS.EXE
SMSERIAL = SM56HLPR.EXE
High Definition Audio Property Page Shortcut = HDASHCUT.EXE
SoundMan = SOUNDMAN.EXE
AlcWzrd = ALCWZRD.EXE
Alcmtr = ALCMTR.EXE
IMSCMig = C:\PROGRA~1\COMMON~1\MICROS~1\IME\IMSC40A\IMSCMIG.EXE /PRELOAD
RavTask = "D:\RUIXING\RISING\RAV\RAVTASK.EXE" -SYSTEM
TkBellExe = "C:\PROGRAM FILES\COMMON FILES\REAL\UPDATE_OB\REALSCHED.EXE" -OSBOOT
webService = SYSTEMS.EXE

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
9 = C:\WINDOWS\SYSTEM32\RAVDM.EXE
CheckFaultKernel = C:\WINDOWS\SYSTEM32\MSWDM.EXE
KernelCheck = C:\WINDOWS\SYSTEM32\WINASSE.EXE

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
ctfmon.exe = C:\WINDOWS\SYSTEM32\CTFMON.EXE


AppInit_DLLs
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
AppInit_DLLs =


系统文件关联
.exe ==> exefile = "%1" %*
.com ==> comfile = "%1" %*
.cmd ==> cmdfile = "%1" %*
.bat ==> batfile = "%1" %*
.txt ==> txtfile = %SystemRoot%\system32\NOTEPAD.EXE %1
.scr ==> scrfile = "%1" /S
.reg ==> regfile = regedit.exe "%1"
.doc ==> Word.Document.8 = "D:\新建文件夹\OFFICE11\WINWORD.EXE" /n /dde

其它启动项
WIN.INI
无信息

SYSTEM.INI
SHELL = Explorer.exe
SCRNSAVE.EXE = C:\WINDOWS\System32\logon.scr

下个卡巴试试吧，它对付广告程序有绝招。

不是已经有瑞星了吗,再下卡巴,两个杀毒软件会不会很混乱啊

红伞开不了啊...帮帮忙

http://forum.ikaka.com/topic.asp?board=67&artid=5188931
用6楼的工具扫描个日志

日志第一条不是给你报清楚了吗？！晕。
除掉第一条所述病毒；卸掉Rav文件夹下所有文件，将瑞星杀软重装一遍并升级，OK啦。

请把那个病毒文件删到回收站后，用WINRAR压缩打包后发到以下邮箱：（信的标题“病毒”)
yyq_987@yahoo.com.cn

不好意思删得太快了,没看到你的留言...
不过绿伞已经打开了,我到添加或修改程序里修复了一下瑞星的程序,之后就打开了.当然首先把那个找出来的文件删掉了.

C:\WINDOWS\system32\drivers\usmod.sys
Rootkit.Callgate.a
重启后删除
可是重启后还是不能删除啊....

怎么删啊?

引用:

【南荒丹桂的贴子】C:\WINDOWS\system32\drivers\usmod.sys Rootkit.Callgate.a 重启后删除 可是重启后还是不能删除啊.... 怎么删啊? ………………

我也不是高手。但你试试：重启到安全模式---删除这个“usmod.sys"(这个病毒的驱动文件），再找到并删除它生成的*dll文件、*exe 文件或/和别的生成文件。如删不掉，网上下载IceSword等类的强力工具试试。一切弄好后，建议将你的一些常用密码改改。
还要恢复、删除它动过的注册表项。

引用:

【南荒丹桂的贴子】C:\WINDOWS\system32\drivers\usmod.sys Rootkit.Callgate.a 重启后删除 可是重启后还是不能删除啊.... 怎么删啊? ………………

比较麻烦...
鸽子....去置顶帖找"灰鸽子"相关内容

怎么恢复注册表项?

【回复“两个铁球”的帖子】
怎么找它生成的*dll文件、*exe 文件或/和别的生成文件?
搜了一下好象就这个驱动文件啊,是不是表示它没生成其他文件呢?

引用:

【Flying1889的贴子】http://forum.ikaka.com/topic.asp?board=67&artid=5188931 用6楼的工具扫描个日志 ………………

  请问这个hijackthis能随便扫的吗?  对电脑有没有什么影响?

.....打开注册表项的时候,跳出一个编辑锁定的对话框,所以就是打不开的.

刚才进了一下安全模式,恢复正常模式的时候又变红伞了...同样的处理方法后才恢复绿的,怎么会变来变去的啊,寒...