求救啊~~~请高人迅速回复~~感谢了 bbs.ikaka.com

2253593 - 2006-9-30 20:37:00

Logfile of HijackThis v1.99.1
Scan saved at 20:26:25, on 2006-9-30
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Rising\Rav\RavTask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.exe
C:\Program Files\TENCENT\TT\TTraveler.exe
C:\Documents and Settings\Administrator\桌面\orangeaug.com
C:\WINDOWS\system32\conime.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rar$EX03.500\HijackThis.exe

F2 - REG:system.ini: UserInit=userinit.exe,
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162} - D:\Program Files\Tencent\QQ\QQIEHelper.dll
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: 腾讯QQ.lnk = D:\Program Files\Tencent\QQ\QQ.exe
O8 - Extra context menu item: 上传到QQ网络硬盘 - D:\Program Files\Tencent\QQ\AddToNetDisk.htm
O8 - Extra context menu item: 添加到QQ自定义面板 - D:\Program Files\Tencent\QQ\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - D:\Program Files\Tencent\QQ\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - D:\Program Files\Tencent\QQ\SendMMS.htm
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - D:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - D:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra button: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - D:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra 'Tools' menuitem: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - D:\Program Files\Tencent\QQ\QQIEHelper.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\quartz32.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\quartz32.dll
O23 - Service: Rising Proxy Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - c:\program files\rising\rfw\rfwproxy.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - Unknown owner - F:\瑞星\Rising\Rav\CCenter.exe (file missing)
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - C:\Program Files\Rising\Rav\Ravmond.exe

luchaonan888 - 2006-9-30 21:21:00

朋友你中的病毒像下面这样解决:
一、关闭病毒进程

Ctrl + Alt + Del 任务管理器，在进程中查找 sxs 或 SVOHOST（不是SVCHOST，相差一个字母），有的话就将它结束掉

二、显示出被隐藏的系统文件

运行——regedit

HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\
Folder\Hidden\SHOWALL，将CheckedValue键值修改为1

这里要注意，病毒会把本来有效的DWORD值CheckedValue删除掉，新建了一个无效的字符串值CheckedValue，并且把键值改为0！我们将这个改为1是毫无作用的。（有部分病毒变种会直接把这个CheckedValue给删掉，只需和下面一样，自己再重新建一个就可以了）

方法：删除此CheckedValue键值，单击右键新建——Dword值——命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。

在文件夹——工具——文件夹选项中将系统文件和隐藏文件设置为显示

三、删除病毒

在分区盘上单击鼠标右键——打开，看到每个盘跟目录下有 autorun.inf 和 sxs.exe 两个文件，将其删除。也可以使用搜索整个硬盘,但是一定记得"在高级选项"中把"搜索隐藏的文件和文件夹"打勾哟.

四、删除病毒的自动运行项

打开注册表运行——regedit

HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run

下找到 SoundMam 键值，可能有两个，删除其中的键值为 C:\\WINDOWS\system32\SVOHOST.exe 的

最后到 C:\\WINDOWS\system32\ 目录下删除 SVOHOST.exe 或 sxs.exe

重启电脑后，发现杀毒软件可以打开，分区盘双击可以打开了。

如果瑞星计算机监控无法打开，或者打开后是收着的小红伞，并且所有的监控开启都失败，那么到“控制面板”－“管理工具”－“服务”，找到“Rising Process Communication Center”，应该是被禁用了，右键“属性”，启动类型一项改为“自动”，然后启用该服务。

svohost.exe （橙色八月）：特征：杀毒软件打不开，而且安全中心服务自动关闭。在进程里也可以看到，首先结束进程。然后运行木马杀客，将病毒隔离标记，再到C:\\WINDOWS\system32\中删除svohost.exe。最后在注册表里搜索svohost.exe并将搜索到的删除就好了。

zzq11211 - 2006-9-30 21:24:00

这个看不出来请到http://www.kztechs.com/sreng/sreng2.zip 下载System Repair Engineer 2.0.21.505（RC2）导出全部日志

2253593 - 2006-9-30 23:29:00

2006-09-30,23:13:45

System Repair Engineer 2.0.21.505 (2.0 RC 2)
Smallfrogs (http://www.KZTechs.com)

Windows XP Professional Service Pack 2 (Build 2600)
- 管理权限用户 - 完整功能

以下内容被选中：
所有的启动项目（包括注册表、启动文件夹、服务等）
浏览器加载项
正在运行的进程（包括进程模块信息）
文件关联

启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<ctfmon.exe><C:\WINDOWS\system32\ctfmon.exe> [Microsoft Corporation]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
<zz><C:\WINDOWS\system32\intenet.exe> []
<rx><C:\WINDOWS\system32\explore.exe> []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<RfwMain><"C:\Program Files\Rising\Rfw\rfwmain.exe" -Startup> []
<TProgram><C:\WINDOWS\SMSS.EXE> [i1g9ZPKR4pndAe6Bvtil]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
<TProgram><C:\WINDOWS\SMSS.EXE> [i1g9ZPKR4pndAe6Bvtil]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<shell><Explorer.exe 1> []
<Userinit><userinit.exe,> [Microsoft Corporation]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<AppInit_DLLs><> []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<UIHost><logonui.exe> [Microsoft Corporation]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
<{707D0547-0547-07DE-4707-5477D54707DE}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\054707DE.dll> []
<{32CD708B-60A7-4C00-9377-D73EAA495F0F}><> []

==================================
启动文件夹
[腾讯QQ]
<C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\腾讯QQ.lnk><N>

==================================
服务
[Adobe LM Service / Adobe LM Service]
<"C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe"><Adobe Systems>
[BlueSoleil Hid Service / BlueSoleil Hid Service]
<E:\手机\BTNtService.exe><N/A>
[Pml Driver HPZ12 / Pml Driver HPZ12]
<C:\WINDOWS\system32\HPZipm12.exe><HP>
[Rising Process Communication Center / RsCCenter]
<"F:\瑞星\Rising\Rav\CCenter.exe"><N/A>
[RsRavMon Service / RsRavMon]
<"C:\Program Files\Rising\Rav\Ravmond.exe"><Beijing Rising Technology Co., Ltd.>
[Rising Proxy Service / RfwProxySrv]
<c:\program files\rising\rfw\rfwproxy.exe><Beijing Rising Technology Co., Ltd.>

2253593 - 2006-9-30 23:30:00

浏览器加载项
[QQBrowserHelperObject Class]
{54EBD53A-9BC1-480B-966A-843A333CA162} <D:\Program Files\Tencent\QQIEHelper.dll, 深圳市腾讯计算机系统有限公司>
[QQ]
{c95fe080-8f5d-11d2-a20b-00aa003c157b} <D:\Program Files\Tencent\QQ.EXE, TENCENT>
[QQIEFloatBarCfgCmd Class]
{DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} <D:\Program Files\Tencent\QQIEHelper.dll, 深圳市腾讯计算机系统有限公司>
[HTML Document]
{25336920-03F9-11CF-8FD0-00AA00686F13} <%SystemRoot%\system32\mshtml.dll, N/A>
[BitComet工具栏]
{3F1ABCDB-A875-46C1-8345-B72A4567E486} <E:\BT\BitComet\BitCometBar\BitCometBar0.6.dll, N/A>
[QQBrowserHelperObject Class]
{54EBD53A-9BC1-480B-966A-843A333CA162} <D:\Program Files\Tencent\QQIEHelper.dll, 深圳市腾讯计算机系统有限公司>
[SearchCar]
{6D53ADB7-6AD5-4A59-BFE4-7B57D2F4AA89} <C:\Program Files\SearchCar\tbu01593\SearchCar.dll, N/A>
[Microsoft Web 浏览器]
{8856F961-340A-11D0-A96B-00C04FD705A2} <C:\WINDOWS\system32\shdocvw.dll, Microsoft Corporation>
[RDS.DataSpace]
{BD96C556-65A3-11D0-983A-00C04FC29E36} <C:\Program Files\Common Files\System\msadc\msadco.dll, Microsoft Corporation>
[Shockwave Flash Object]
{D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINDOWS\system32\Macromed\Flash\Flash8b.ocx, Macromedia, Inc.>
[上传到QQ网络硬盘]
<D:\Program Files\Tencent\AddToNetDisk.htm, N/A>
[添加到QQ自定义面板]
<D:\Program Files\Tencent\AddPanel.htm, N/A>
[添加到QQ表情]
<D:\Program Files\Tencent\AddEmotion.htm, N/A>
[用QQ彩信发送该图片]
<D:\Program Files\Tencent\SendMMS.htm, N/A>

==================================
正在运行的进程
[PID: 392][\SystemRoot\System32\smss.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 548][\??\C:\WINDOWS\system32\csrss.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 572][\??\C:\WINDOWS\system32\winlogon.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 616][C:\WINDOWS\system32\services.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 628][C:\WINDOWS\system32\lsass.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 780][C:\WINDOWS\system32\svchost.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 824][C:\WINDOWS\system32\svchost.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[C:\WINDOWS\system32\quartz32.dll] <><4, 1, 0, 0>
[PID: 892][C:\WINDOWS\System32\svchost.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[C:\WINDOWS\system32\quartz32.dll] <><4, 1, 0, 0>
[PID: 932][C:\WINDOWS\system32\svchost.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1040][C:\WINDOWS\system32\svchost.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1292][C:\WINDOWS\Explorer.EXE] <Microsoft Corporation><6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)>
[C:\Program Files\Common Files\Microsoft Shared\MSINFO\054707DE.dll] <N/A><N/A>
[C:\WINDOWS\system32\myrx.dll] <N/A><N/A>
[C:\WINDOWS\system32\myztr.dll] <N/A><N/A>
[C:\Program Files\WinRAR\rarext.dll] <N/A><N/A>
[C:\WINDOWS\system32\RavExt.dll] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 21>
[C:\Program Files\Rising\Rav\RSCOMMON.DLL] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 4>
[C:\Program Files\ACD Systems\PicaView\Picaview.dll] <ACD Systems, Ltd.><2, 0, 0, 84>
[C:\Program Files\ACD Systems\PlugIns\IDE_ACDStd.apl] <ACD Systems, Ltd.><1, 3, 2, 0664>
[PID: 1344][C:\WINDOWS\system32\spoolsv.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[C:\WINDOWS\system32\hpzsnt07.dll] <HP><2,140,0,0>
[C:\WINDOWS\System32\spool\PRTPROCS\W32X86\vprproc.dll] <Windows (R) 2000 DDK provider><5.00.2195.1620>
[PID: 1680][C:\WINDOWS\system32\svchost.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1780][C:\WINDOWS\system32\svchost.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 440][C:\WINDOWS\System32\alg.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[C:\WINDOWS\system32\quartz32.dll] <><4, 1, 0, 0>
[PID: 684][C:\Program Files\TENCENT\TT\TTraveler.exe] <腾讯公司><3.1.0.259>
[C:\Program Files\TENCENT\TT\Plugins\QQFloatBar\QQFloatBar4TT2.dll] <腾讯公司><1, 1, 0, 5>
[C:\Program Files\TENCENT\TT\Plugins\TWeather\TWeather.dll] <><1, 0, 0, 3>
[C:\Program Files\TENCENT\TT\PersonalDesktop.dll] <深圳市腾讯计算机系统公司QQ工作小组><1, 0, 0, 4>
[C:\WINDOWS\system32\quartz32.dll] <><4, 1, 0, 0>
[C:\Program Files\Rising\Rav\RavScrCh.dll] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 4>
[C:\WINDOWS\system32\Macromed\Flash\Flash8b.ocx] <Macromedia, Inc.><8,0,24,0>
[C:\WINDOWS\system32\UNISPIM.IME] <北京清华紫光软件股份有限公司><3.0.0.3045>
[C:\WINDOWS\system32\msdmo.dll] <N/A><N/A>
[C:\Program Files\Common Files\Microsoft Shared\MSINFO\054707DE.dll] <N/A><N/A>
[PID: 312][C:\WINDOWS\system32\ctfmon.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 1108][C:\WINDOWS\system32\conime.exe] <Microsoft Corporation><5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)>
[PID: 664][D:\Program Files\Tencent\QQ.exe] <TENCENT><0, 0, 0, 0>
[D:\Program Files\Tencent\QQBaseClassInDll.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\QQHelperDll.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\BasicCtrlDll.dll] <Tencent><5, 0, 200, 370>
[D:\Program Files\Tencent\QQAPI.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\TIMProxy.dll] <tencent><0, 3, 2, 4>
[D:\Program Files\Tencent\QQRes.dll] <tencent><1, 0, 0, 1>
[D:\Program Files\Tencent\WizardCtrl.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\QQMainFrame.dll] <N/A><N/A>
[D:\Program Files\Tencent\LoginCtrl.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\npkcntc.dll] <INCA Internet Co., Ltd.><2006, 6, 27, 1>
[D:\Program Files\Tencent\npkpdb.dll] <INCA Internet Co., Ltd.><2003, 10, 1, 1>
[C:\WINDOWS\system32\Macromed\Flash\Flash8b.ocx] <Macromedia, Inc.><8,0,24,0>
[D:\Program Files\Tencent\CQQApplication.dll] <N/A><N/A>
[D:\Program Files\Tencent\NewSkin.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\HostingMgr.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\CameraDll.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\MailSummary.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\QQSpace.dll] <><1, 0, 0, 1>
[C:\WINDOWS\system32\quartz32.dll] <><4, 1, 0, 0>
[C:\WINDOWS\system32\msdmo.dll] <N/A><N/A>
[D:\Program Files\Tencent\QQGroupMng.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\GroupLive.dll] <N/A><N/A>
[D:\Program Files\Tencent\UserDefinedHead.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\QQPlugin.dll] <N/A><N/A>
[D:\Program Files\Tencent\QQConfigPlugin.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\QRingMng.dll] <N/A><N/A>
[D:\Program Files\Tencent\PhoneAPI.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\DialerAllinOne.dll] <tencent><1, 4, 0, 0>
[D:\Program Files\Tencent\VPortal.dll] <><1, 0, 0, 4>
[D:\Program Files\Tencent\QQAvatar.dll] <N/A><N/A>
[D:\Program Files\Tencent\FlashAvatarDll.dll] <><1, 4, 0, 1>
[D:\Program Files\Tencent\LongConnection.dll] <tencent><5, 0, 200, 160>
[D:\Program Files\Tencent\QQPet.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\PersonalDesktop.dll] <深圳市腾讯计算机系统公司QQ工作小组><1, 0, 0, 2>
[D:\Program Files\Tencent\QQAllInOne.dll] <N/A><N/A>
[D:\Program Files\Tencent\SCCore.dll] <TENCENT><2, 0, 0, 1>
[D:\Program Files\Tencent\QQFileTransfer.dll] <Tencent><0, 3, 3, 5>
[D:\Program Files\Tencent\BQQApplication.dll] <N/A><N/A>
[D:\Program Files\Tencent\QQSysMsgMng.dll] <N/A><N/A>
[C:\Program Files\Common Files\Microsoft Shared\MSINFO\054707DE.dll] <N/A><N/A>
[D:\Program Files\Tencent\CommercesMng.dll] <><1, 0, 0, 1>
[D:\Program Files\Tencent\QQAddr.dll] <深圳市腾讯计算机系统有限公司><5, 0, 101, 240>
[D:\Program Files\Tencent\QQCustomFace.dll] <N/A><N/A>
[D:\Program Files\Tencent\QQSceneMng.dll] <N/A><N/A>
[D:\Program Files\Tencent\QQPhoneHelper.dll] <腾讯科技（深圳）有限公司><2, 0, 6, 60>
[C:\Program Files\Rising\Rav\RavScrCh.dll] <Beijing Rising Technology Co., Ltd.><18, 0, 0, 4>
[D:\Program Files\Tencent\GroupConnection.dll] <Tencent><0, 3, 3, 5>
[PID: 1176][D:\Program Files\Tencent\TIMPlatform.exe] <tencent><0, 3, 1, 8>
[D:\Program Files\Tencent\TIMProxy.dll] <tencent><0, 3, 2, 4>
[PID: 2004][C:\WINDOWS\SMSS.EXE] <i1g9ZPKR4pndAe6Bvtil><0.00.0108>
[PID: 1084][C:\Program Files\TENCENT\TT\TCPlus.exe] <><1, 0, 0, 3>
[C:\Program Files\TENCENT\TT\QQDownload.dll] <Tencent Technology (Shenzhen) Company Limited><1, 0, 101, 15>
[C:\Program Files\TENCENT\TT\TNProxy.dll] <Tencent Technology(Shenzhen) Company Limited><2, 1, 101, 50>
[C:\WINDOWS\system32\quartz32.dll] <><4, 1, 0, 0>
[C:\Program Files\Common Files\Microsoft Shared\MSINFO\054707DE.dll] <N/A><N/A>
[PID: 1964][C:\Program Files\WinRAR\WinRAR.exe] <N/A><N/A>
[C:\Program Files\Common Files\Microsoft Shared\MSINFO\054707DE.dll] <N/A><N/A>
[PID: 536][C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rar$EX00.562\SREng2\SREng.exe] <Smallfrogs Studio><2.0.21.505>
[C:\WINDOWS\system32\quartz32.dll] <><4, 1, 0, 0>

==================================
文件关联
.TXT OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.EXE Error. [winfiles]
.COM OK. ["%1" %*]
.PIF OK. ["%1" %*]
.REG OK. [regedit.exe "%1"]
.BAT OK. ["%1" %*]
.SCR OK. ["%1" /S]
.CHM OK. ["C:\WINDOWS\hh.exe" %1]
.HLP OK. [%SystemRoot%\system32\winhlp32.exe %1]
.INI OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.INF OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.VBS OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.JS OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.LNK OK. [{00021401-0000-0000-C000-000000000046}]

这是用楼上那个软件查的，怎么样？

2253593 - 2006-10-1 9:51:00

还没解决啊

303266474 - 2006-10-3 14:07:00

在论坛上找到的,还有一个浏览器劫持,就是乱弹广告,影响不大
引用"建能"
先进入安全模式~
1. 结束病毒的进程%\Windows\smss.exe（隐藏文件，把那个隐藏受保护的操作系统文件的勾点掉就能看到）
2. 删除相关文件：
C:\MSCONFIG.SYS
windows\1.com
windows\ExERoute.exe
windows\explorer.com
windows\finder.com
windows\smss.exe
windows\Debug\DebugProgram.exe
windows\command.pif
windows\dxdiag.com
system32\finder.com
system32\MSCONFIG.COM
system32\regedit.com
system32\rundll32.com
ProgramFiles\Internet Explorer\iexplore.com
ProgramFiles\Common Files\iexplore.pif
其中可能有几个找不到，没关系，找相同时间的文件出来删之（比如一木马的时间是2006-2-26 23：37(我中的木马修改时间。。。55~~，你就搜索所有2-26创建的文件，当然，时间也要一致，可别删错了）如果没找到，那最好了，说明他已经不存在了。
3. 恢复EXE文件关联
方法一：复制WINDOWS目录下的regedit.exe到桌面并改名为regedit.com，然后打开注册表，找到下列分支：HKEY_CLASSES_ROOT\exefile\shell\open\command，双击右侧窗口中的 (默认) 值，设置为 "%1" %* [包含引号]
再找到:
HKEY_CLASSES_ROOT\.exe
双击右侧窗口中的 (默认) 值，设置为 exefile
然后退出注册表编辑器，重启电脑
方法二：复制WINDOWS\system32目录下的cmd.exe到桌面并改名为cmd.com
命令行中，依次执行以下命令：
ftype exefile="%1" %* [包含引号](回车)
assoc .exe=exefile
重启电脑。
4. 删除病毒启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Torjan Program"="%Windows%\smss.exe"
修改[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]下
"shell"="Explorer.exe 1"
为
"shell"="Explorer.exe"
5. 恢复病毒修改的注册表信息：
(1)分别查找“command.pif”、“finder.com”、“rundll32.com”的信息，将“command.pif”、“finder.com”、“rundll32.com”修改为“rundll32.exe”

(2)查找“explorer.com”的信息，将“explorer.com”修改为“explorer.exe”

(3)查找“iexplore.com”的信息，将“iexplore.com”修改为“iexplore.exe”

(4)查找“iexplore.pif”的信息，将找到的“%ProgramFiles%\Common Files\iexplore.pif”修改为“%ProgramFiles%\Internet Explorer\iexplore.exe”(找不到应该也安全了吧)

查一下所有和smss.exe文件同时生成的文件,总共估计有30个(也有可能少的，那是因为这是它的变种)
其中有一两个大小不符的,其他都是39K
system32下还有个a.exe也要删除！
防范措施：在WINDOWS目录下建立一个SMSS.EXE文件并设置为”只读“这样就不会在感染木马了

瑞星卡卡安全论坛