瑞星卡卡安全论坛
与时拒进 - 2006-12-13 22:30:00
同事的笔记本中毒!瑞星瘫痪!!!病毒居然不让卸载!!!我把日志从本本上拷过来,发布一下,大家看怎么弄,说详细点啊,谢谢
(今天凌晨的补充:第一,卡卡,瑞星,防火墙全被废,既卸载不了也安装不了,用在线查毒、杀毒都是到一半就反复重复下载同一个文件(7225k那个,中途停,一刷新就重复)。第二,按照mopeyy的办法杀了几个毒,但有两个(progar~1下的文件)根本找不到,因为隐藏文件夹被病毒感染了(估计是),试了各种方法,无效。用icesword、winrar都找不到,制作.reg的文件修改注册表,一样没效果,其他都显示,那个PROGRA~1就是看不到,我试着建一个同名的文件夹,冲突,表明它确实存在。最后用hjackthis和S Rn修复,根本不让改,改了自动还原。
各位高手,该怎么办呐!)
各位大侠帮忙!!!!!!!!
Logfile of HijackThis v1.99.1
Scan saved at 22:03:18, on 2006-12-13
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\svhost32.exe
C:\WINDOWS\system32\sistray.EXE
C:\WINDOWS\system32\khooker.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\LTSMMSG.exe
C:\Program Files\淘宝网\淘宝旺旺\WangWang.EXE
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\zts2.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\mhs2.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wlzs2.exe
C:\Program Files\Microsoft\svhost32.exe
C:\WINDOWS\down\rundll32.exe
C:\WINDOWS\Download\svhost32.exe
C:\WINDOWS\system32\kernlx.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Progra~1\Eset\iexpl0re.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\taskmgr.exe
C:\WINDOWS\system32\conime.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rar$EX00.837\HijackThis.exe
F3 - REG:win.ini: load=C:\PROGRA~1\svhost32.exe
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FLASHGET\jccatch.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\fgiebar.dll
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\system32\sistray.EXE
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\system32\khooker.exe
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\sisUSBrg.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [SKYNET Personal FireWall] C:\PROGRA~1\SKYNET\FIREWALL\pfw.exe
O4 - HKLM\..\Run: [WangWang] "C:\Program Files\淘宝网\淘宝旺旺\WangWang.EXE"
O4 - HKLM\..\Run: [zts2] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\zts2.exe
O4 - HKLM\..\Run: [mhs2] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\mhs2.exe
O4 - HKLM\..\Run: [wlzs2] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wlzs2.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [ms] C:\Program Files\Microsoft\svhost32.exe
O4 - HKLM\..\Run: [r] C:\WINDOWS\down\rundll32.exe
O4 - HKLM\..\Run: [wl] C:\WINDOWS\Download\svhost32.exe
O4 - HKLM\..\Run: [windowstime.exe] C:\WINDOWS\system32\windowstime.exe
O4 - HKLM\..\Run: [wlovif] C:\WINDOWS\system32\kernlx.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [ravtask] C:\Progra~1\Eset\iexpl0re.exe
O8 - Extra context menu item: 使用网际快车下载 - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: 使用网际快车下载全部链接 - C:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{FD37A319-8C20-4A5E-AECC-F4398F72D8FD}: NameServer = 10.3.128.2,202.99.160.68
O20 - AppInit_DLLs: 684745M.BMP
O23 - Service: mpcsvc (bit-media service) - Unknown owner - C:\WINDOWS\mpcsvc.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Rising Proxy Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - c:\program files\rising\rfw\rfwproxy.exe
goober8 - 2006-12-13 22:45:00
太狠了,好多我都有过,不过修复了。就我能确定的给你说说吧。
关闭进程
C:\PROGRA~1\svhost32.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\zts2.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\mhs2.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wlzs2.exe
C:\Program Files\Microsoft\svhost32.exe
C:\WINDOWS\down\rundll32.exe
C:\WINDOWS\Download\svhost32.exe
修复
O4 - HKLM\..\Run: [zts2] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\zts2.exe
O4 - HKLM\..\Run: [mhs2] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\mhs2.exe
O4 - HKLM\..\Run: [wlzs2] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wlzs2.exe
O4 - HKLM\..\Run: [ms] C:\Program Files\Microsoft\svhost32.exe
O4 - HKLM\..\Run: [r] C:\WINDOWS\down\rundll32.exe
O4 - HKLM\..\Run: [wl] C:\WINDOWS\Download\svhost32.exe
重启删除相应文件
别的我就不知道了。
就是色龙 - 2006-12-13 22:49:00
中毒太深~
goober8 - 2006-12-13 22:51:00
应该还有,只是我不能确定,目前正看帖学习呢,希望以后可以…………嘿嘿~~~~~~
mopery - 2006-12-13 23:04:00
修复
F3 - REG:win.ini: load=C:\PROGRA~1\svhost32.exe
O4 - HKLM\..\Run: [zts2] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\zts2.exe
O4 - HKLM\..\Run: [mhs2] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\mhs2.exe
O4 - HKLM\..\Run: [wlzs2] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\wlzs2.exe
O4 - HKLM\..\Run: [ms] C:\Program Files\Microsoft\svhost32.exe
O4 - HKLM\..\Run: [r] C:\WINDOWS\down\rundll32.exe
O4 - HKLM\..\Run: [wl] C:\WINDOWS\Download\svhost32.exe
O4 - HKLM\..\Run: [windowstime.exe] C:\WINDOWS\system32\windowstime.exe
O4 - HKLM\..\Run: [wlovif] C:\WINDOWS\system32\kernlx.exe
O4 - HKCU\..\Run: [ravtask] C:\Progra~1\Eset\iexpl0re.exe
O20 - AppInit_DLLs: 684745M.BMP
删除
C:\PROGRA~1\svhost32.exe
C:\Program Files\Microsoft\svhost32.exe
C:\WINDOWS\down\rundll32.exe
C:\WINDOWS\Download\svhost32.exe
:\WINDOWS\system32\windowstime.exe
C:\WINDOWS\system32\kernlx.exe
C:\Progra~1\Eset\iexpl0re.exe
C:\WINDOWS\684745M.BMP
O23 - Service: mpcsvc (bit-media service) - Unknown owner - C:\WINDOWS\mpcsvc.exe
安全模式...打开注册表编辑器,展开:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
搜索 bit-media service 删除...
删除
C:\WINDOWS\mpcsvc.exe
与时拒进 - 2006-12-13 23:19:00
:-(,快哭了,我等半天也没高手回复,自己就动手修复了,结果出现错误,我再扫个日志,你看看,另外,怎么删除,修复时不自动删除吗???
等会儿
Logfile of HijackThis v1.99.1
Scan saved at 23:03:59, on 2006-12-13
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\sistray.EXE
C:\WINDOWS\system32\khooker.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\LTSMMSG.exe
C:\Program Files\淘宝网\淘宝旺旺\WangWang.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wuauclt.exe
D:\杀毒常背小工具\hijackthis\HijackThis.exe
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FLASHGET\jccatch.dll
O2 - BHO: 卡卡上网安全助手 - {AFF6E516-CBE5-4F8A-9C2F-38A68013E766} - C:\WINDOWS\system32\kakatool.dll (file missing)
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\fgiebar.dll
O3 - Toolbar: 卡卡上网安全助手 - {DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} - C:\WINDOWS\system32\kakatool.dll (file missing)
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\system32\sistray.EXE
O4 - HKLM\..\Run: [SiS KHooker] C:\WINDOWS\system32\khooker.exe
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\sisUSBrg.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [SKYNET Personal FireWall] C:\PROGRA~1\SKYNET\FIREWALL\pfw.exe
O4 - HKLM\..\Run: [WangWang] "C:\Program Files\淘宝网\淘宝旺旺\WangWang.EXE"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: 使用网际快车下载 - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: 使用网际快车下载全部链接 - C:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra button: 访问瑞星网站 - {FF2DE7A6-ECB1-4CBC-9C0E-D92A9E66E444} - http://www.rising.com.cn/?u=RSTB (file missing)
O9 - Extra button: 访问卡卡社区 - {FF2DE7A6-ECB1-4CBC-9C0E-D92A9E66E445} - http://www.ikaka.com/?u=RSTB (file missing)
O17 - HKLM\System\CCS\Services\Tcpip\..\{FD37A319-8C20-4A5E-AECC-F4398F72D8FD}: NameServer = 10.3.128.2,202.99.160.68
O20 - AppInit_DLLs: 684745M.BMP
O23 - Service: mpcsvc (bit-media service) - Unknown owner - C:\WINDOWS\mpcsvc.exe
O23 - Service: Rising Proxy Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - c:\program files\rising\rfw\rfwproxy.exe
O23 - Service: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Co., Ltd. - C:\Program Files\Rising\Rfw\rfwsrv.exe
卡卡NCI卡卡刚才不能用,修复后,卡卡能用,但瑞星防火墙还是没反应,按那个都没动静
020项不能修复
无法修复C:\WINDOWS\684745M.BMP——删除不了
另外C:\PROGRA~1\svhost32.exe不显示,无法删除,文件夹-查看——显示隐藏也不行,用winr也找不到
与时拒进 - 2006-12-13 23:42:00
等——
mopery - 2006-12-13 23:43:00
O20 - AppInit_DLLs: 684745M.BMP
O23 - Service: mpcsvc (bit-media service) - Unknown owner - C:\WINDOWS\mpcsvc.exe
与时拒进 - 2006-12-13 23:52:00
谢谢!但O20 - AppInit_DLLs: 684745M.BMP删除不了
与时拒进 - 2006-12-14 0:11:00
显示隐藏——改不过来,不起作用!!!
与时拒进 - 2006-12-14 9:55:00
(今天凌晨的补充:第一,卡卡,瑞星,防火墙全被废,既卸载不了也安装不了,用在线查毒、杀毒都是到一半就反复重复下载同一个文件(7225k那个,中途停,一刷新就重复)。第二,按照mopeyy的办法杀了几个毒,但有两个(progar~1下的文件)根本找不到,因为隐藏文件夹被病毒感染了(估计是),试了各种方法,无效。用icesword、winrar都找不到,制作.reg的文件修改注册表,一样没效果,其他都显示,那个PROGRA~1就是看不到,我试着建一个同名的文件夹,冲突,表明它确实存在。最后用hjackthis和S Rn修复,根本不让改,改了自动还原。
各位高手,该怎么办呐!)
baohe - 2006-12-14 10:01:00
| 引用: |
【与时拒进的贴子】 卡卡NCI卡卡刚才不能用,修复后,卡卡能用,但瑞星防火墙还是没反应,按那个都没动静 020项不能修复
无法修复C:\WINDOWS\684745M.BMP——删除不了 另外C:\PROGRA~1\svhost32.exe不显示,无法删除,文件夹-查看——显示隐藏也不行,用winr也找不到
……………… |
1、O20不能修复、C:\WINDOWS\684745M.BMP不能删除问题:
请用IceSword强制删除。试试看。如果不行,可以考虑用SSM禁止其加载运行,重启后删除之。这个东东比较棘手(插入winlogon.exe进程)。
2、C:\PROGRA~1\svhost32.exe的删除————也可用IceSword实现。
与时拒进 - 2006-12-14 10:10:00
| 引用: |
【baohe的贴子】 1、O20不能修复、C:\WINDOWS\684745M.BMP不能删除问题: 请用IceSword强制删除。试试看。如果不行,可以考虑用SSM禁止其加载运行,重启后删除之。这个东东比较棘手(插入winlogon.exe进程)。 2、C:\PROGRA~1\svhost32.exe的删除————也可用IceSword实现。 ……………… |
猫叔,问题是用IceSword就根本找不到!!!!(修复以后,现在就是这样了)但那个PROGRA~1又确实存在。684745M.BMP删除没反应,出现一个带红叉的对话框,说删除不了。还有,用SRn修复,马上就复原——真是怪透了
猫叔你帮着详细看看,这病毒应该有很多人中过,怎么能彻底解决,猫叔帮忙啊
baohe - 2006-12-14 10:21:00
| 引用: |
【与时拒进的贴子】 猫叔,问题是用IceSword就根本找不到!!!!(修复以后,现在就是这样了)但那个PROGRA~1又确实存在。684745M.BMP删除没反应,出现一个带红叉的对话框,说删除不了。还有,用SRn修复,马上就复原——真是怪透了
猫叔你帮着详细看看,这病毒应该有很多人中过,怎么能彻底解决,猫叔帮忙啊
……………… |
这样处理:
附件:
15584720061214101213.jpg
baohe - 2006-12-14 10:21:00
afkp4e7 - 2006-12-14 10:35:00
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden]
"Text"="隐藏文件和文件夹"
"Type"="group"
"Bitmap"="C:\\WINNT\\system32\\shell32.dll,4"
"HelpID"="shell.hlp#51131"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="不显示隐藏的文件和文件夹"
"Type"="radio"
"CheckedValue"=dword:00000002
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51104"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="显示所有文件和文件夹"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"
保存为reg双击导入修复隐藏文件
与时拒进 - 2006-12-14 10:46:00
谢谢猫叔,这笔记本是同事的(我的电脑基本没问题了——自从上论坛受你们指点之后),没有SSM(补充:我的也卸了——因为试用问题解决不了,我怎么弄也白搭,连重装都是过期,修改那个字串符或删除lastupdate,全不行,只好忍痛割爱)我只好晚上下载一个试一试,晚上有问题再PS你吧,
很关心就算这两个毒解决后,瑞星、卡卡还能不能用,有时感觉瑞星很脆弱,随便什么个病毒居然就能让他挂了,汗!
另外:15楼的建议,以试过多次,能显示隐藏文件夹——关键是就是不显示那个含病毒的文件夹
谢谢猫叔哦
afkp4e7 - 2006-12-14 10:47:00
试试PendMove的延时删除
loveguang2000 - 2006-12-14 11:14:00
DOS下删吧,有时候工具不是说找就找的到的!我以前帮同事修本本的时候就试过-本本上不了我想上的网站.所以说要修电脑一定要学一下DOS
afkp4e7 - 2006-12-14 11:20:00
PendMove和System Repair Engineer是一个人写的
http://www.KZTechs.com有下
与时拒进 - 2006-12-14 11:39:00
| 引用: |
【afkp4e7的贴子】PendMove和System Repair Engineer是一个人写的 http://www.KZTechs.com有下 ……………… |
谢谢啊,我还没试,只能等到晚上我才能把机子拿过来,
说明一下,用SREn修复,删除后,病毒马上复原,没用,不知用这个会不会有同样的问题
afkp4e7 - 2006-12-14 11:59:00
延时删除不灵用unlock再不行就用虚拟软驱到dos下删除
总有一款适合你
与时拒进 - 2006-12-14 16:25:00
最新日志
Logfile of HijackThis v1.99.1
Scan saved at 16:09:46, on 2006-12-14
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
D:\杀毒常背小工具\hijackthis\HijackThis.exe
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FLASHGET\jccatch.dll
O2 - BHO: 卡卡上网安全助手 - {AFF6E516-CBE5-4F8A-9C2F-38A68013E766} - C:\WINDOWS\system32\kakatool.dll (file missing)
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\fgiebar.dll
O3 - Toolbar: 卡卡上网安全助手 - {DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} - C:\WINDOWS\system32\kakatool.dll (file missing)
O4 - HKLM\..\Run: [SiS Tray] ; C:\WINDOWS\system32\sistray.EXE
O4 - HKLM\..\Run: [SiS KHooker] ; C:\WINDOWS\system32\khooker.exe
O4 - HKLM\..\Run: [SiSUSBRG] ; C:\WINDOWS\sisUSBrg.exe
O4 - HKLM\..\Run: [SoundMan] ; SOUNDMAN.EXE
O4 - HKLM\..\Run: [LTSMMSG] ; LTSMMSG.exe
O4 - HKLM\..\Run: [WangWang] ; "C:\Program Files\淘宝网\淘宝旺旺\WangWang.EXE"
O4 - HKLM\..\Run: [KernelFaultCheck] ; %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: 使用网际快车下载 - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: 使用网际快车下载全部链接 - C:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra button: 访问瑞星网站 - {FF2DE7A6-ECB1-4CBC-9C0E-D92A9E66E444} - http://www.rising.com.cn/?u=RSTB (file missing)
O9 - Extra button: 访问卡卡社区 - {FF2DE7A6-ECB1-4CBC-9C0E-D92A9E66E445} - http://www.ikaka.com/?u=RSTB (file missing)
O17 - HKLM\System\CCS\Services\Tcpip\..\{FD37A319-8C20-4A5E-AECC-F4398F72D8FD}: NameServer = 10.3.128.2,202.99.160.68
O20 - AppInit_DLLs: 684745M.BMP
O23 - Service: Rising Proxy Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - c:\program files\rising\rfw\rfwproxy.exe
O23 - Service: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Co., Ltd. - C:\Program Files\Rising\Rfw\rfwsrv.exe
与时拒进 - 2006-12-14 16:25:00
2006-12-14,16:09:11
System Repair Engineer 2.2.6.605
Smallfrogs (http://www.KZTechs.com)
Windows XP Professional Service Pack 2 (Build 2600)
- 管理权限用户 - 完整功能
以下内容被选中:
所有的启动项目(包括注册表、启动文件夹、服务等)
浏览器加载项
正在运行的进程(包括进程模块信息)
文件关联
Winsock 提供者
Autorun.inf
HOSTS 文件
启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<ctfmon.exe><C:\WINDOWS\system32\ctfmon.exe> [(Verified)Microsoft Corporation]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<SiS Tray><; C:\WINDOWS\system32\sistray.EXE> [Silicon Integrated Systems Corporation]
<SiS KHooker><; C:\WINDOWS\system32\khooker.exe> [Silicon Integrated Systems Corporation]
<SiSUSBRG><; C:\WINDOWS\sisUSBrg.exe> [Silicon Integrated Systems Corp.]
<SoundMan><; SOUNDMAN.EXE> [(Verified)Realtek Semiconductor Corp.]
<LTSMMSG><; LTSMMSG.exe> [(Verified)Lucent Technologies]
<WangWang><; "C:\Program Files\淘宝网\淘宝旺旺\WangWang.EXE"> [淘宝(中国)软件有限公司]
<KernelFaultCheck><; %systemroot%\system32\dumprep 0 -k> [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<shell><Explorer.exe> [(Verified)Microsoft Corporation]
<Userinit><C:\WINDOWS\system32\userinit.exe,> [(Verified)Microsoft Corporation]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<AppInit_DLLs><684745M.BMP> [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<UIHost><> [N/A]
==================================
启动文件夹
N/A
==================================
服务
[Human Interface Device Access / HidServ]
<C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\hidserv.dll><N/A>
[Macromedia Licensing Service / Macromedia Licensing Service]
<"C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe"><N/A>
[Rising Proxy Service / RfwProxySrv]
<c:\program files\rising\rfw\rfwproxy.exe><Beijing Rising Technology Co., Ltd.>
[Rising Personal Firewall Service / RfwService]
<C:\Program Files\Rising\Rfw\rfwsrv.exe><Beijing Rising Technology Co., Ltd.>
[Rising RealTime Monitor / RsRavMon]
<"C:\Program Files\Rising\Rav\Ravmond.exe"><N/A>
[Windows DHCP Service / WinDHCPsvc]
<C:\WINDOWS\system32\rundll32.exe windhcp.ocx,start><Microsoft Corporation>
==================================
驱动程序
[Service for Realtek AC97 Audio (WDM) / ALCXWDM]
<system32\drivers\ALCXWDM.SYS><Realtek Semiconductor Corp.>
[AliIde / AliIde]
<\SystemRoot\System32\DRIVERS\aliide.sys><N/A>
[Rising TDI Base Driver / BaseTDI]
<System32\DRIVERS\BaseTDI.SYS><Beijing Rising Technology Co., Ltd.>
[HelloNet PPPoE 虚拟网卡 / BRPPPOE]
<system32\DRIVERS\brpppoe.sys><N/A>
[CmdIde / CmdIde]
<\SystemRoot\System32\DRIVERS\cmdide.sys><CMD Technology, Inc.>
[ExpScaner / ExpScaner]
<\??\C:\Program Files\Rising\Rav\ExpScan.sys><N/A>
[HookCont / HookCont]
<\??\C:\Program Files\Rising\Rav\HOOKCONT.sys><N/A>
[HookReg / HookReg]
<\??\C:\Program Files\Rising\Rav\HookReg.sys><N/A>
[HookSys / HookSys]
<\??\C:\Program Files\Rising\Rav\HookSys.sys><N/A>
[HookUrl / HookUrl]
<\??\C:\Program Files\Rising\Rfw\HookUrl.sys><Beijing Rising Technology Co., Ltd.>
[Lucent Technologies Soft Modem / LucentSoftModem]
<system32\DRIVERS\LTSM.sys><Lucent Technologies>
[MegaIDE / MegaIDE]
<\SystemRoot\System32\DRIVERS\MegaIDE.sys><LSI Logic Corporation.>
[MEMSCAN / MEMSCAN]
<\??\C:\Program Files\Rising\Rav\MEMSCAN.sys><N/A>
[nv / nv]
<system32\DRIVERS\nv4_mini.sys><NVIDIA Corporation>
[Direct Parallel Link Driver / Ptilink]
<system32\DRIVERS\ptilink.sys><Parallel Technologies, Inc.>
[RSPPSYS / RSPPSYS]
<\??\C:\Program Files\Rising\Rav\RSPPSYS.sys><N/A>
[Realtek RTL8139(A/B/C)-based PCI Fast Ethernet Adapter NT Driver / rtl8139]
<system32\DRIVERS\RTL8139.SYS><Realtek Semiconductor Corporation>
[Secdrv / Secdrv]
<system32\DRIVERS\secdrv.sys><N/A>
[SiS315 / SiS315]
<system32\DRIVERS\sisgrp.sys><Silicon Integrated Systems Corporation>
[SiS AGP Filter / sisagp]
<\SystemRoot\system32\DRIVERS\sisagp.sys><Silicon Integrated Systems Corporation>
[SiSkp / SiSkp]
<system32\drivers\srvkp.sys><N/A>
[SVKP / SVKP]
<\??\C:\WINDOWS\system32\SVKP.sys><AntiCracking>
==================================
与时拒进 - 2006-12-14 16:26:00
==================================
浏览器加载项
[IeCatch2 Class]
{A5366673-E8CA-11D3-9CD9-0090271D075B} <C:\PROGRA~1\FLASHGET\jccatch.dll, Amaze Soft>
[卡卡上网安全助手]
{AFF6E516-CBE5-4F8A-9C2F-38A68013E766} <C:\WINDOWS\system32\kakatool.dll, N/A>
[FlashGet]
{D6E814A0-E0C5-11d4-8D29-0050BA6940E3} <C:\PROGRA~1\FLASHGET\flashget.exe, Amaze Soft>
[访问瑞星网站]
{FF2DE7A6-ECB1-4CBC-9C0E-D92A9E66E444} <http://www.rising.com.cn/?u=RSTB, N/A>
[访问卡卡社区]
{FF2DE7A6-ECB1-4CBC-9C0E-D92A9E66E445} <http://www.ikaka.com/?u=RSTB, N/A>
[FlashGet Bar]
{E0E899AB-F487-11D5-8D29-0050BA6940E3} <C:\PROGRA~1\FLASHGET\fgiebar.dll, Amaze Soft>
[卡卡上网安全助手]
{DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} <C:\WINDOWS\system32\kakatool.dll, N/A>
[Windows Media Player]
{22D6F312-B0F6-11D0-94AB-0080C74C7E95} <C:\WINDOWS\system32\wmpdxm.dll, Microsoft Corporation>
[HtmlDlgSafeHelper Class]
{3050F819-98B5-11CF-BB82-00AA00BDCE0B} <C:\WINDOWS\system32\mshtmled.dll, Microsoft Corporation>
[HHCtrl Object]
{52A2AAAE-085D-4187-97EA-8C30DB990436} <C:\WINDOWS\system32\hhctrl.ocx, Microsoft Corporation>
[Windows Media Player]
{6BF52A52-394A-11D3-B153-00C04F79FAA6} <C:\WINDOWS\system32\wmp.dll, Microsoft Corporation>
[IeCatch2 Class]
{A5366673-E8CA-11D3-9CD9-0090271D075B} <C:\PROGRA~1\FLASHGET\jccatch.dll, Amaze Soft>
[卡卡上网安全助手]
{AFF6E516-CBE5-4F8A-9C2F-38A68013E766} <C:\WINDOWS\system32\kakatool.dll, N/A>
[SearchAssistantOC]
{B45FF030-4447-11D2-85DE-00C04FA35C89} <%SystemRoot%\system32\shdocvw.dll, N/A>
[RDS.DataSpace]
{BD96C556-65A3-11D0-983A-00C04FC29E36} <C:\Program Files\Common Files\System\msadc\msadco.dll, Microsoft Corporation>
[RealPlayer G2 Control]
{CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA} <C:\WINDOWS\system32\rmoc3260.dll, RealNetworks, Inc.>
[Shockwave Flash Object]
{D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINDOWS\system32\macromed\flash\Flash.ocx, Macromedia, Inc.>
[卡卡上网安全助手]
{DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} <C:\WINDOWS\system32\kakatool.dll, N/A>
[FlashGet Bar]
{E0E899AB-F487-11D5-8D29-0050BA6940E3} <C:\PROGRA~1\FLASHGET\fgiebar.dll, Amaze Soft>
[Rising Web Scan Object]
{E4E2F180-CB8B-4DE9-ACBB-DA745D3BA153} <C:\WINDOWS\DOWNLO~1\OL2005.dll, Beijing Rising Technology Co., Ltd.>
[KvScanOnline Control]
{EF6205C1-3F17-4829-BCB5-1336ED89E356} <C:\WINDOWS\KVSCAN~1\KvDown.ocx, dreamersoft>
[使用网际快车下载]
<C:\Program Files\FlashGet\jc_link.htm, N/A>
[使用网际快车下载全部链接]
<C:\Program Files\FlashGet\jc_all.htm, N/A>
[导出到 Microsoft Office Excel(&X)]
<res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000, N/A>
==================================
正在运行的进程
[PID: 476][\SystemRoot\System32\smss.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 532][\??\C:\WINDOWS\system32\csrss.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 556][\??\C:\WINDOWS\system32\winlogon.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\684745M.BMP] [N/A, N/A]
[PID: 608][C:\WINDOWS\system32\services.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\684745M.BMP] [N/A, N/A]
[PID: 620][C:\WINDOWS\system32\lsass.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\684745M.BMP] [N/A, N/A]
[PID: 780][C:\WINDOWS\system32\svchost.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\684745M.BMP] [N/A, N/A]
[PID: 856][C:\WINDOWS\system32\svchost.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\684745M.BMP] [N/A, N/A]
[PID: 916][C:\WINDOWS\System32\svchost.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\684745M.BMP] [N/A, N/A]
[PID: 1004][C:\WINDOWS\system32\svchost.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\684745M.BMP] [N/A, N/A]
[PID: 1048][C:\WINDOWS\system32\svchost.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\684745M.BMP] [N/A, N/A]
[PID: 1184][C:\WINDOWS\system32\spoolsv.exe] [Microsoft Corporation, 5.1.2600.2696 (xpsp_sp2_gdr.050610-1519)]
[C:\WINDOWS\684745M.BMP] [N/A, N/A]
[PID: 1320][C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE] [Microsoft Corporation, 7.00.9466]
[C:\WINDOWS\684745M.BMP] [N/A, N/A]
[PID: 1556][C:\WINDOWS\System32\alg.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\684745M.BMP] [N/A, N/A]
[PID: 372][C:\WINDOWS\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\684745M.BMP] [N/A, N/A]
[C:\WINDOWS\system32\windhcp.ocx] [N/A, N/A]
[C:\Program Files\WinRAR\rarext.dll] [N/A, N/A]
[C:\PROGRA~1\FLASHGET\jccatch.dll] [Amaze Soft, 1, 1, 4, 0]
[PID: 508][C:\WINDOWS\system32\ctfmon.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\684745M.BMP] [N/A, N/A]
[C:\WINDOWS\system32\windhcp.ocx] [N/A, N/A]
[PID: 1800][D:\杀毒常背小工具\sreng2\SREng\SREng.exe] [Smallfrogs Studio, 2.2.6.605]
[C:\WINDOWS\system32\windhcp.ocx] [N/A, N/A]
==================================
文件关联
.TXT OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.EXE OK. ["%1" %*]
.COM OK. ["%1" %*]
.PIF OK. ["%1" %*]
.REG OK. [regedit.exe "%1"]
.BAT OK. ["%1" %*]
.SCR OK. ["%1" /S]
.CHM OK. ["C:\WINDOWS\hh.exe" %1]
.HLP OK. [%SystemRoot%\system32\winhlp32.exe %1]
.INI OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.INF OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.VBS OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.JS OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.LNK OK. [{00021401-0000-0000-C000-000000000046}]
==================================
Winsock 提供者
N/A
==================================
Autorun.inf
[D:\]
[AutoRun]
open=sxs.exe
shellexecute=sxs.exe
shell\Auto\command=sxs.exe
==================================
HOSTS 文件
127.0.0.1 localhost
==================================
病毒删除后,即时生成!!!!!!!头都大了,瑞星/卡卡/防火墙还是不行
这个684745M.BMP也太变态了吧,几乎哪都有它,各位看看,怎么整一一下啊
与时拒进 - 2006-12-14 17:32:00
这是老帖,希望有用
1
© 2000 - 2026 Rising Corp. Ltd.