瑞星卡卡安全论坛

问好各位朋友，草莓（就是我）的电脑中了这个病毒，autorun.inf和sxs.exe，我在网上找了很久相关的查杀资料，都试了，但是都不管用，而且与我本身的现象都不一样的。第一，我的机器上在进程里并没有发现任何SVOHOST.exe字样进程，rose进程和sxs进程。在C:\Windows\system32下也没有发现这样的文件，我的机器中只有两个盘，C盘下没有，在D盘根目录可以发现有这两个文件，autorun.inf和sxs.exe，但就是怎么也删除不掉，改成同名文件覆盖也不行，按shift加del键可以删掉，但是一秒钟就又会蹦出来，怎么也弄不明白是为什么，而且中毒的机器已经完全孤立，局域网也被我断掉了，在安全模式下现象是一样的，删除了就会重新生成，删了哪个就出来哪个，简直要晕死了。不知道大家有没有什么高招啊，救救草莓吧，在网上找到了这个论坛，相信大家一定会帮我的，草莓在此谢谢各位高手了。

扫日志上来。。http://szcht.ys168.com系统工具里有得下载

sxs.exe和SHE.EXE都是一路货

冰刀试下

谢谢两位朋友，2楼朋友推荐的那些系统工具怎么用啊，还有你要的是什么日志？是用你给的工具扫描出来的日志文件吗？
三楼朋友，冰刀是什么工具？哪里有下，对我这样的现象也可以吗？

参考http://forum.ikaka.com/topic.asp?board=28&artid=8208573

多谢，这个帖子是说什么的？没看到关于这个病毒的啊

就是那个sxs.exe的其中一个变种 如果使用该方法不能杀
请下载 System Repair Engineer，
http://www.kztechs.com/sreng/sreng2.zip
1 解压缩sreng2.zip
2 运行SREng.exe
3 智能扫描=》扫描=》保存报告
4 把日志中的报告完整拷贝贴上来，不要修改

正在下载，用你推荐的那个方法好像不行
我的系统里没有servicex这些东西

额 不好意思 发错地址了
http://forum.ikaka.com/topic.asp?board=28&artid=8208573
看这个

哈哈。没关系的，多谢，现在就看

有个专杀工具的..我用过.你在网上搜索一下SXS.EXE专杀工具就可以了

变种了 专杀都实效了

对啊，专杀现在都不管用了
看了那个帖子，我一会去试试，多谢大家热心帮忙

引用:

【newcenturymoon的贴子】就是那个sxs.exe的其中一个变种 如果使用该方法不能杀 请下载 System Repair Engineer， http://www.kztechs.com/sreng/sreng2.zip 1 解压缩sreng2.zip 2 运行SREng.exe 3 智能扫描=》扫描=》保存报告 4 把日志中的报告完整拷贝贴上来，不要修改 ………………

好像txt文本传不上来，我拷贝再传好了。

2006-11-18,15:26:09

System Repair Engineer 2.2.6.605
Smallfrogs (http://www.KZTechs.com)

Windows XP Professional Service Pack 2 (Build 2600)
- Administrative User - Completed Functions Allowed

Follow item(s) have been choosed:
    All Boot Items (Including Registry, Startup Folders, Services and so on)
    Browser Add-ons
    Runing Processes (Including process model information)
    File Associations
    Winsock Provider
    Autorun.Inf
    HOSTS File


Boot Items
Registry
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <CTFMON.EXE><C:\WINDOWS\system32\ctfmon.exe>  [(Verified)Microsoft Corporation]
    <MSMSGS><"C:\Program Files\Messenger\msmsgs.exe" /background>  [(Verified)Microsoft Corporation]
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <load><>  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <IMJPMIG8.1><"C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32>  [(Verified)Microsoft Corporation]
    <PHIME2002ASync><C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC>  [(Verified)Microsoft Corporation]
    <PHIME2002A><C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName>  [(Verified)Microsoft Corporation]
    <SigmatelSysTrayApp><sttray.exe>  [N/A]
    <IntelAudioStudio><"C:\Program Files\Intel Audio Studio\IntelAudioStudio.exe" BOOT>  [N/A]
    <igfxtray><C:\WINDOWS\system32\igfxtray.exe>  [(Verified)Intel Corporation]
    <igfxhkcmd><C:\WINDOWS\system32\hkcmd.exe>  [(Verified)Intel Corporation]
    <igfxpers><C:\WINDOWS\system32\igfxpers.exe>  [(Verified)Intel Corporation]
    <DAEMON Tools-2052><"C:\Program Files\D-Tools\daemon.exe"  -lang 2052>  [DAEMON'S HOME]
    <NGServer><C:\Program Files\Symantec\Ghost\ngserver.exe>  [(Verified)Symantec Corporation]
    <helper.dll><C:\WINDOWS\system32\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32>  [N/A]
    <BigDogPath><C:\WINDOWS\VM_STI.EXE Anyvision USB PC Camera>  [N/A]
    <J3D5D5><C:\WINDOWS\system32\vipbkv.exe>  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe>  [(Verified)Microsoft Corporation]
    <Userinit><C:\WINDOWS\system32\userinit.exe,>  [(Verified)Microsoft Corporation]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><>  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <UIHost><logonui.exe>  [(Verified)Microsoft Corporation]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\igfxcui]
    <WinlogonNotify: igfxcui><igfxdev.dll>  [(Verified)Intel Corporation]

==================================
Startup Folders
N/A

==================================
Services
[111953CA / 111953CA]
  <C:\WINDOWS\system32\111953CA.EXE -service><Microsoft Corporation>
[4BB67160 / 4BB67160]
  <C:\WINDOWS\system32\4BB67160.EXE -service><Microsoft Corporation>
[ASP.NET State Service / aspnet_state]
  <C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\aspnet_state.exe><Microsoft Corporation>
[Human Interface Device Access / HidServ]
  <C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\hidserv.dll><N/A>
[Machine Debug Manager / MDM]
  <"C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe"><Microsoft Corporation>
[Symantec Ghost Database Service / ngdbserv]
  <C:\Program Files\Symantec\Ghost\bin\dbserv.exe><Symantec Corporation>
[Symantec Ghost Win32 Configuration Server / NGServer]
  <C:\Program Files\Symantec\Ghost\ngserver.exe><Symantec Corporation>

==================================
Drivers
[d347bus / d347bus]
  <\SystemRoot\system32\DRIVERS\d347bus.sys><>
[d347prt / d347prt]
  <\SystemRoot\System32\Drivers\d347prt.sys><>
[Intel(R) PRO/1000 PCI Express Network Connection Driver / e1express]
  <system32\DRIVERS\e1e5132.sys><Intel Corporation>
[Microsoft UAA Bus Driver for High Definition Audio / HDAudBus]
  <system32\DRIVERS\HDAudBus.sys><Windows (R) Server 2003 DDK provider>
[ialm / ialm]
  <system32\DRIVERS\ialmnt5.sys><Intel Corporation>
[Driver for Intel(R) Active Management Technology - KCS / IAMTXP]
  <system32\DRIVERS\IAMTXP.sys><Intel Corporation>
[npkcrypt / npkcrypt]
  <\??\C:\Program Files\Tencent\QQ\npkcrypt.sys><N/A>
[Direct Parallel Link Driver / Ptilink]
  <system32\DRIVERS\ptilink.sys><Parallel Technologies, Inc.>
[Secdrv / Secdrv]
  <system32\DRIVERS\secdrv.sys><N/A>
[Sonic Focus Plugin for Sigmatel HDA / sfng32]
  <system32\drivers\sfng32.sys><Sonic Focus, Inc>
[SigmaTel High Definition Audio CODEC / STHDA]
  <system32\drivers\sthda.sys><SigmaTel, Inc.>

==================================
Browser Add-ons
[FlashFXP Helper for Internet Explorer]
  {E5A1691B-D188-4419-AD02-90002030B8EE} <C:\PROGRA~1\FlashFXP\IEFlash.dll, IniCom Networks, Inc.>
[&Research]
  {92780B25-18CC-41C8-B9BE-3C9C571A8263} <C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL, Microsoft Corporation>
[QQ]
  {c95fe080-8f5d-11d2-a20b-00aa003c157b} <C:\Program Files\Tencent\QQ\QQ.EXE, N/A>
[Messenger]
  {FB5F1910-F110-11d2-BB9E-00C04F795683} <C:\Program Files\Messenger\msmsgs.exe, Microsoft Corporation>
[Java Plug-in 1.4.2]
  {8AD9C840-044E-11D1-B3E9-00805F499D93} <C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll, JavaSoft / Sun Microsystems, Inc.>
[Java Plug-in 1.4.2]
  {CAFEEFAC-0014-0002-0000-ABCDEFFEDCBA} <C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll, JavaSoft / Sun Microsystems, Inc.>
[Shockwave Flash Object]
  {D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINDOWS\system32\macromed\flash\flash.ocx, Macromedia, Inc.>
[FlashFXP Helper for Internet Explorer]
  {E5A1691B-D188-4419-AD02-90002030B8EE} <C:\PROGRA~1\FlashFXP\IEFlash.dll, IniCom Networks, Inc.>
[E&xport to Microsoft Excel]
  <res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000, N/A>
[上传到QQ网络硬盘]
  <C:\Program Files\Tencent\QQ\AddToNetDisk.htm, N/A>
[添加到QQ自定义面板]
  <C:\Program Files\Tencent\QQ\AddPanel.htm, N/A>
[添加到QQ表情]
  <C:\Program Files\Tencent\QQ\AddEmotion.htm, N/A>
[用QQ彩信发送该图片]
  <C:\Program Files\Tencent\QQ\SendMMS.htm, N/A>

==================================
Running Processes
[PID: 660][\SystemRoot\System32\smss.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 716][\??\C:\WINDOWS\system32\csrss.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 740][\??\C:\WINDOWS\system32\winlogon.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 784][C:\WINDOWS\system32\services.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 796][C:\WINDOWS\system32\lsass.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 956][C:\WINDOWS\system32\svchost.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 1024][C:\WINDOWS\system32\svchost.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 1064][C:\WINDOWS\System32\svchost.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 1152][C:\WINDOWS\system32\svchost.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 1184][C:\WINDOWS\system32\svchost.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 1364][C:\WINDOWS\system32\spoolsv.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 1604][C:\WINDOWS\system32\inetsrv\inetinfo.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 1620][C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe]  [Microsoft Corporation, 7.10.3077]
[PID: 1668][C:\Program Files\Symantec\Ghost\ngserver.exe]  [Symantec Corporation, 8.2.0.1117]
    [C:\Program Files\Symantec\Ghost\THREAD.DLL]  [Symantec Corporation, 8.2.0.1117]
    [C:\Program Files\Symantec\Ghost\bin\dbodbc7.dll]  [Sybase, Inc., 7.0.3.2046]
    [C:\Program Files\Symantec\Ghost\bin\dblgen7.dll]  [Sybase, Inc., 7.0.3.2046]
[PID: 1796][C:\WINDOWS\system32\svchost.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 204][C:\Program Files\Symantec\Ghost\bin\dbserv.exe]  [Symantec Corporation, 8.2.0.1117]
[PID: 224][C:\Program Files\Symantec\Ghost\bin\rteng7.exe]  [Sybase, Inc., 7.0.2.1402]
    [C:\Program Files\Symantec\Ghost\bin\dbserv7.dll]  [Sybase, Inc., 7.0.2.1402]
    [C:\Program Files\Symantec\Ghost\bin\dbctrs7.dll]  [Sybase, Inc., 7.0.2.1402]
    [C:\Program Files\Symantec\Ghost\bin\dblgen7.dll]  [Sybase, Inc., 7.0.3.2046]
[PID: 456][C:\WINDOWS\Explorer.EXE]  [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
    [C:\WINDOWS\system32\vipbkv.dll]  [N/A, N/A]
    [C:\WINDOWS\system32\igfxpph.dll]  [Intel Corporation, 3.0.0.4363]
    [C:\WINDOWS\system32\hccutils.DLL]  [Intel Corporation, 3.0.0.4363]
    [C:\WINDOWS\system32\igfxres.dll]  [Intel Corporation, 3.0.0.4363]
    [C:\WINDOWS\system32\igfxress.dll]  [Intel Corporation, 3.0.0.4363]
    [C:\WINDOWS\system32\igfxsrvc.dll]  [Intel Corporation, 3.0.0.4363]
[PID: 980][C:\WINDOWS\system32\ctfmon.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
    [C:\WINDOWS\system32\vipbkv.dll]  [N/A, N/A]
[PID: 668][C:\WINDOWS\system32\igfxtray.exe]  [Intel Corporation, 3.0.0.4363]
    [C:\WINDOWS\system32\hccutils.DLL]  [Intel Corporation, 3.0.0.4363]
    [C:\WINDOWS\system32\igfxsrvc.dll]  [Intel Corporation, 3.0.0.4363]
    [C:\WINDOWS\system32\igfxres.dll]  [Intel Corporation, 3.0.0.4363]
    [C:\WINDOWS\system32\igfxress.dll]  [Intel Corporation, 3.0.0.4363]
    [C:\WINDOWS\system32\vipbkv.dll]  [N/A, N/A]
[PID: 1124][C:\WINDOWS\system32\hkcmd.exe]  [Intel Corporation, 3.0.0.4363]
    [C:\WINDOWS\system32\hccutils.DLL]  [Intel Corporation, 3.0.0.4363]
    [C:\WINDOWS\system32\igfxsrvc.dll]  [Intel Corporation, 3.0.0.4363]
    [C:\WINDOWS\system32\vipbkv.dll]  [N/A, N/A]
    [C:\WINDOWS\system32\igfxres.dll]  [Intel Corporation, 3.0.0.4363]
[PID: 1088][C:\WINDOWS\system32\igfxpers.exe]  [Intel Corporation, 3.0.0.4363]
    [C:\WINDOWS\system32\igfxsrvc.dll]  [Intel Corporation, 3.0.0.4363]
    [C:\WINDOWS\system32\vipbkv.dll]  [N/A, N/A]
[PID: 1204][C:\Program Files\D-Tools\daemon.exe]  [DAEMON'S HOME, 3.47.0.0]
    [C:\WINDOWS\daemon.dll]  [N/A, 3.47.0.0]
    [C:\Program Files\D-Tools\PFCTOC.DLL]  [Padus(R), Inc., 1, 0, 0, 12]
    [C:\Program Files\D-Tools\Plugins\Images\bw5mount.dll]  [N/A, 1.0.2.0]
    [C:\Program Files\D-Tools\Plugins\Images\ccdmount.dll]  [GENERIC, 1.02.0.0]
    [C:\Program Files\D-Tools\Plugins\Images\mdsmount.dll]  [GENERIC, 1.01.0.0]
    [C:\Program Files\D-Tools\Plugins\Images\nrgmount.dll]  [GENERIC, 1.02.0.0]
    [C:\Program Files\D-Tools\Plugins\Images\pdimount.dll]  [GENERIC, 1.01.0.0]
    [C:\WINDOWS\system32\vipbkv.dll]  [N/A, N/A]
[PID: 1304][C:\WINDOWS\VM_STI.EXE]  [Vimicro, 4, 2, 1225, 6]
    [C:\WINDOWS\system32\msdmo.dll]  [N/A, N/A]
    [C:\WINDOWS\system32\vipbkv.dll]  [N/A, N/A]
[PID: 1308][C:\WINDOWS\system32\vipbkv.exe]  [N/A, N/A]
    [C:\WINDOWS\system32\vipbkv.dll]  [N/A, N/A]
[PID: 1456][C:\Program Files\Messenger\msmsgs.exe]  [Microsoft Corporation, 4.7.3000]
    [C:\WINDOWS\system32\vipbkv.dll]  [N/A, N/A]
[PID: 3048][D:\sreng2\SREng\SREng.exe]  [Smallfrogs Studio, 2.2.6.605]
    [C:\WINDOWS\system32\vipbkv.dll]  [N/A, N/A]

==================================
File Associations
.TXT  OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.EXE  OK. ["%1" %*]
.COM  OK. ["%1" %*]
.PIF  OK. ["%1" %*]
.REG  OK. [regedit.exe "%1"]
.BAT  OK. ["%1" %*]
.SCR  OK. ["%1" /S]
.CHM  OK. ["C:\WINDOWS\hh.exe" %1]
.HLP  OK. [%SystemRoot%\System32\winhlp32.exe %1]
.INI  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.INF  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.VBS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.JS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.LNK  OK. [{00021401-0000-0000-C000-000000000046}]

==================================
Winsock Provider
N/A

==================================
Autorun.Inf
[D:\]
[AutoRun]
open=sxs.exe
shellexecute=sxs.exe
shell\Auto\command=sxs.exe

==================================
HOSTS File
127.0.0.1      localhost

==================================

用那个工具扫描的log文件就是这样的
请高手帮忙分析一下啊，我该如何清除？

我的电脑中的文件应该是这个vipbkv.dll和vipbkv.exe还有qqhx.bat的这几个，但是那个dll文件删不掉

你的解决办法如下
1.下载Icesword 1.20和 sreng
地址http://www.crsky.com/soft/6947.html
http://www.kztechs.com/sreng/sreng2.zip
2.打开Icesword.exe-进程 找到vipbkv.exe 右键结束他
3.点击Icesword左下角的文件 找到C:\WINDOWS\system32\vipbkv.exe
C:\WINDOWS\system32\QQhx.dat右键删除掉他们
4.打开sreng 启动项目 注册表
找到J3D5D5><C:\WINDOWS\system32\vipbkv.exe> 删除掉
5. 把下面的 代
码拷入记事本中然后另存为1.reg文件
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"

双击1.reg把这个注册表项导入
此时隐藏文件就可以显示了
6.重启计算机
7.双击我的电脑 工具 文件夹选项
查看 选中显示所有文件和文件夹 并且把隐藏受保护的操作系统文件的钩和隐藏文件的扩展名的钩挑下去 然后确定
右击打开C盘
找到C:\WINDOWS\system32\vipbkv.dll删除掉
然后右击打开其他磁盘分区删除 每个分区根目录下的 sxs.exe和autorun.inf文件
注意 一定不要双击打开 否则病毒又会被激活！

谢谢楼上的朋友，草莓已经解决了问题，重启了几次，又用移动硬盘试了一下，病毒没了，哈哈
真的太感谢了，但是草莓还有个问题要求助，另外去开帖子，希望大家帮忙啊。

我记得上次我们班级电脑中了这个病毒没过多久就又中了维金……

我也没辙～

和柯南病毒一样，只是变种