瑞星卡卡安全论坛

HijackThis_zww汉化版扫描日志 V1.99.1
保存于      14:55:20, 日期 2006-10-27
操作系统：  Windows XP SP2 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
c:\program files\rising\rfw\rfwsrv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
c:\program files\rising\rfw\RfwMain.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\VM_STI.EXE
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\Rising\Rav\RavTask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Rising\Rav\Ravmon.exe
C:\Program Files\Rising\Rav\Rav.exe
C:\Program Files\Rising\Rav\RsAgent.exe
C:\WINDOWS\msagent\AgentSvr.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
F:\IE修复日志\HijackThis1991zww.exe

F3 - REG:win.ini: load=C:\WINDOWS\rundl132.exe
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [SoundMan] SOUNDMAN.EXE
O4 - 启动项HKLM\\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - 启动项HKLM\\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - 启动项HKLM\\Run: [BigDogPath] C:\WINDOWS\VM_STI.EXE VIMICRO USB PC Camera
O4 - 启动项HKLM\\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - 启动项HKLM\\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - 启动项HKLM\\Run: [RavTask] "C:\Program Files\Rising\Rav\RavTask.exe" -system
O4 - 启动项HKLM\\Run: [RfwMain] "C:\Program Files\Rising\Rfw\rfwmain.exe" -Startup
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O9 - 浏览器额外的按钮: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - 浏览器额外的“工具”菜单项: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{06F31F0A-58F2-403C-9992-8A1103383D6C}: NameServer = 211.147.6.3 202.98.0.68
O17 - HKLM\System\CS1\Services\Tcpip\..\{06F31F0A-58F2-403C-9992-8A1103383D6C}: NameServer = 211.147.6.3 202.98.0.68
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - NT 服务: Rising Proxy  Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - c:\program files\rising\rfw\rfwproxy.exe
O23 - NT 服务: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Co., Ltd. - c:\program files\rising\rfw\rfwsrv.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - C:\Program Files\Rising\Rav\CCenter.exe

F3 - REG:win.ini: load=C:\WINDOWS\rundl132.exe
修复
找到C:\WINDOWS\rundl132.exe文件 查看创建日期
搜索一下相同日期创建的文件 看下还有什么可疑的
删除上文件及可疑文件 再试试
wuauclt.exe这个怎么有2个？
在下补丁？

C:\WINDOWS\rundl132.exe这个文件搜索不到啊

打开隐藏文件

引用:

【lansely的贴子】F3 - REG:win.ini: load=C:\WINDOWS\rundl132.exe 修复 找到C:\WINDOWS\rundl132.exe文件 查看创建日期 搜索一下相同日期创建的文件 看下还有什么可疑的 删除上文件及可疑文件 再试试 wuauclt.exe这个怎么有2个？ 在下补丁？ ………………

你没有发现那是“rundl132.exe”，而不是“rundll32.exe”吗？（前者是数字1，真正的程序应该是小写字母l）这应该也是问题文件吧？

我昨天开始也出现监控无法打开（即使打开也会自动退出）问题，一直无法解决，郁闷ing……
而且我的机子里不但有wuauclt.exe，还有一个wuauclt1.exe，看文件大小似乎完全一样……
用“Windows清理助手v1.436.1024”可以查到三种病毒（如图），可瑞星只能查出RootKit.Vanti.mn，显示删除成功，清理助手虽然也显示清理成功，但重启后三种病毒又全部重新再现！！
我怀疑这几个病毒是相互捆绑的。RootKit.Vanti.mn是从C:\Documents and Settings\Administrator\Local Settings\Temp目录中的
cd2b.dll、cp7c5.dll、eg.dll中查出的。

图中所示的未验证的隐匿对象对应的文件是system32\lzx32.sys，该文件即使在显示全部文件模式下，用windows的文件管理器也无法看见，
但用冰刃可以看到。但我不知道在这个论坛里怎样把样本附件贴上来。。。。

附件: 67932820061027164306.JPG