瑞星卡卡安全论坛

症状：上网后，不断跳出网页。运行某个程序时或上网，出现RUNTIME ERRO的提示。（是不是卡巴的冲突？它总误认我的游戏为病毒木马）

我搞了以下动作：

--------------------------首先是超级兔子----------------------------------------


卸载了大部分恶意软件，但googlebar卸不了。是木马？

--------------------------然后是安全模式下木马杀客------------------------------

开始进行全盘扫描:...
系统事件：已发现伪系统木马!
木马名称：Backdoor.Gpigeon.5.ce.3059
木马路径：C:\WINDOWS\system32\server.exe
处理方式：隔离 失败(可能在内存中运行)
处理意见：请进安全模式清除木马
进入方法：计算机启动过程中一直按F8键
发现日期：2006年7月24日 


自己手工删server.exe失败，因为有进程在使用，关闭server.exe后又会自动生成。

--------------------------然后是安全模式下ewido---------------------------------

只有一个东西隔离不了，adware.generic.是不是应该关闭了系统还原后，再杀？




------------------------- 最后是日志---------------------------------


日志
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\server.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\Explorer.EXE
c:\windows\system32\wbem\smss.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\D-Tools\daemon.exe
C:\WINDOWS\system32\RMAServer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\ALCFDRTM.EXE
C:\Program Files\木马杀客\mmsk.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Progra~1\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\HijackThis1991【teyqiu】.exe

O2 - BHO: google bar  - {607E95A1-8F89-4343-B9BC-2EFC2B291BB4} - C:\WINDOWS\system32\googlebar.dll
O2 - BHO: 超级兔子上网精灵 - {7369D35A-5B70-4A5B-B789-B25FE09B4AF3} - G:\Program Files\Super Rabbit\MagicSet\haokanbar.dll
O2 - BHO: RMAHelper Class - {B4657940-1439-4CF3-A910-C687E388D9D5} - C:\WINDOWS\system32\RMA\RMAHelper\svchost.dll
O3 - IE工具栏增项: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O3 - IE工具栏增项: 超级兔子上网精灵 - {43869BB3-22FD-4F15-9B46-238106BA2F4E} - G:\Program Files\Super Rabbit\MagicSet\haokanbar.dll
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [ATIPTA] "C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe"
O4 - 启动项HKLM\\Run: [SoundMan] SOUNDMAN.EXE
O4 - 启动项HKLM\\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - 启动项HKLM\\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe"  -lang 1033
O4 - 启动项HKLM\\Run: [KAVPersonal50] ; "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O4 - 启动项HKLM\\Run: [svhoost] C:\WINDOWS\system32\checksys.exe
O4 - 启动项HKLM\\Run: [RMA] C:\WINDOWS\system32\RMAServer.exe
O4 - 启动项HKLM\\Run: [IntelFile] C:\WINDOWS\system32\IntelFile.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [updatereal] C:\WINDOWS\realupdate.exe other
O4 - HKCU\..\Run: [daemon] C:\WINDOWS\daemon.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{D6543C76-9D45-4871-8D07-0F6D7B320150}: NameServer = 192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{F1194212-4F76-47C7-8172-488FE731F135}: NameServer = 202.96.128.86 202.96.134.133
O23 - NT 服务: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - NT 服务: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - NT 服务: DHCP Clip - Unknown owner - C:\WINDOWS\system32\hosts.exe (file missing)
O23 - NT 服务: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe



请各位大大帮忙，偶不想重装啊，一定要自己搞定才有击败病毒的成就感。

人间应有真爱啊

可以用冰刃在安全模式干掉那个删不掉的文件~~~~

O2 - BHO: RMAHelper Class - {B4657940-1439-4CF3-A910-C687E388D9D5} - C:\WINDOWS\system32\RMA\RMAHelper\svchost.dll  ?
O4 - 启动项HKLM\\Run: [svhoost] C:\WINDOWS\system32\checksys.exe
O4 - 启动项HKLM\\Run: [IntelFile] C:\WINDOWS\system32\IntelFile.exe
O4 - HKCU\..\Run: [updatereal] C:\WINDOWS\realupdate.exe other
O23 - NT 服务: DHCP Clip - Unknown owner - C:\WINDOWS\system32\hosts.exe (file missing)

不认识是什么，谁帮忙解释下

在篮球论坛上求助得到以下结果...

病毒建立系统服务了，运行，输入services.msc，应该有名称含有service的服务项，右键查看关联文件，如果是C:\WINDOWS\system32\server.exe，就停止该服务，该为手动，然后去删除文件，再在注册表里搜索“C:\WINDOWS\system32\server.exe”，删掉项

引用:

【涅磐86970的贴子】O2 - BHO: RMAHelper Class - {B4657940-1439-4CF3-A910-C687E388D9D5} - C:\WINDOWS\system32\RMA\RMAHelper\svchost.dll  ? O4 - 启动项HKLM\\Run: [svhoost] C:\WINDOWS\system32\checksys.exe O4 - 启动项HKLM\\Run: [IntelFile] C:\WINDOWS\system32\IntelFile.exe O4 - HKCU\..\Run: [updatereal] C:\WINDOWS\realupdate.exe other O23 - NT 服务: DHCP Clip - Unknown owner - C:\WINDOWS\system32\hosts.exe (file missing) 不认识是什么，谁帮忙解释下 ………………

O23 - NT 服务: DHCP Clip - Unknown owner - C:\WINDOWS\system32\hosts.exe (file missing)
hosts.exe是木马程序troj/kelvir-o trojan释放出来的文件，通常出现在windows目录下，建议使用杀毒软件进行扫描。

C:\WINDOWS\system32\googlebar.dll
请参考:http://forum.ikaka.com/topic.asp?board=28&artid=8179895
按照上面一步步做,还有很多病毒,完成后,请下载 System Repair Engineer，使用“智能扫描”，按下“扫描”按钮进行扫描，扫描完成后按下“保存报告”按钮保存报告日志文件（SREng.LOG），把保存的报告日志文件内容复制-粘贴上来
下载网址
http://www.kztechs.com/sreng/sreng2.zip
http://forum.ikaka.com/topic.asp?board=67&artid=5188931
日志一次粘不完，分次粘完，请不要修改。谢谢．．．

runtime erro是什么原因啊？

如果是软件冲突，请问我如何知道哪些软件冲突呢？