瑞星卡卡安全论坛

电脑不停的弹出来驱动器未就绪，可能没关闭驱动器门

附件: 80857320061222173839.JPG

怎么搞的？？？用GOHST恢复系统马上又这样。。。以前不会的。。。

还有用电脑只要一进D。E。F。H等几个盘就显示什么SSS病毒。。。总杀不干净。。怎么搞的

附件: 80857320061222173054.JPG

请用 置顶处反毒工具集 中的sreng2扫描一个log贴上来。
1 解压缩sreng2.zip
2 运行SREng2.exe
3 智能扫描=》扫描=》保存报告
4 把日志SREngLOG.log中的报告完整拷贝贴上来，不要修改

友情提示：
扫描前关闭所有手工打开的软件和窗口，扫描后将日志发上来。但请不要用附件形式贴。

注意在没有进一步提示前，勿要胡乱修复，否则系统可能变的情况更糟。

拔掉油盘或移动硬盘，扫描日志上来。
肯定是病毒造成的。

请用 置顶处反毒工具集 中的sreng2扫描一个log贴上来。
....本人愚昧。。。。反毒工具集这东西在哪里。。。

引用:

【pcmomo的贴子】请用 置顶处反毒工具集 中的sreng2扫描一个log贴上来。 ....本人愚昧。。。。反毒工具集这东西在哪里。。。 ………………

在剑盟反病毒,很久没来这里了,来了也只看看置顶贴新增的内容.没发现少了的,不好意思.现在补上.

下载地址:http://www.kztechs.com/sreng/sreng2.zip

使用手册:http://forum.ikaka.com/topic.asp?board=67&artid=8125594

注意频繁弹出的对话框标题名称，是scvhsot.exe,不是正常的svchost.exe，在注册表中也找不到，注册表中只能找到sss.exe，并且每个盘都写的有，删除之后只要再打开盘就会又写进去，停用或卸载掉软盘后scvhsot.exe就不再弹出，但打开各盘符的时候sss.exe就又会写进去。。。。。到底是怎么会事！！！！！！！！！！！！！紧急求助，办公室的电脑都中了，包括部分不能上网的机器，应该是U盘传播的

楼上的跟我一样啊。。。同是天涯伦落人。。。我马上扫一个上来。。另外谢谢叶女英雄

很简单的U盘病毒.............

我是楼住。。。我来贴LOG了。。。不好意思。。。莫名其妙

2006-12-22,18:14:40

System Repair Engineer 2.2.6.605
Smallfrogs (http://www.KZTechs.com)

Windows XP Professional  (Build 2600)
- 管理权限用户 - 完整功能

以下内容被选中：
    所有的启动项目（包括注册表、启动文件夹、服务等）
    浏览器加载项
    正在运行的进程（包括进程模块信息）
    文件关联
    Winsock 提供者
    Autorun.inf
    HOSTS 文件


启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <ctfmon.exe><C:\WINDOWS\System32\ctfmon.exe>  [(Verified)Microsoft Corporation]
    <MSMSGS><"C:\Program Files\Messenger\msmsgs.exe" /background>  [(Verified)Microsoft Corporation]
    <colorful><>  [N/A]
    <myZt><C:\WINDOWS\east\SVCH0ST.EXE>  [N/A]
    <myZt2><C:\DOCUME~1\T-T\LOCALS~1\Temp\Zt2\SVCH0ST.EXE>  [N/A]
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <load><>  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <IMJPMIG8.1><C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE /Spoil /RemAdvDef /Migration32>  [(Verified)Microsoft Corporation]
    <PHIME2002ASync><C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC>  [(Verified)Microsoft Corporation]
    <PHIME2002A><C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName>  [(Verified)Microsoft Corporation]
    <SoundMan><SOUNDMAN.EXE>  [(Verified)Realtek Semiconductor Corp.]
    <ATIPTA><C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe>  [ATI Technologies, Inc.]
    <TkBellExe><"C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot>  [RealNetworks, Inc.]
    <QQKAV><C:\WINDOWS\System32\scvhsot.exe>  [N/A]
    <kav><"C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe">  [Kaspersky Lab]
    <jiahus><c:\windows\system32\svchqs.exe>  [N/A]
    <rxzs><C:\DOCUME~1\T-T\LOCALS~1\Temp\20070.exe>  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe>  [(Verified)Microsoft Corporation]
    <Userinit><C:\WINDOWS\system32\userinit.exe,>  [(Verified)Microsoft Corporation]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><235780M.BMP>  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <UIHost><logonui.exe>  [(Verified)Microsoft Corporation]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{1A404685-7563-4d02-B0F6-58B308A406A9}><c:\program files\ati technologies\ati control panel\ioltoaqz.dll>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\klogon]
    <WinlogonNotify: klogon><C:\WINDOWS\System32\klogon.dll>  [Kaspersky Lab]

==================================
启动文件夹
[Adobe Gamma Loader]
  <C:\Documents and Settings\All Users\「开始」菜单\程序\启动\Adobe Gamma Loader.lnk --> C:\PROGRA~1\COMMON~1\Adobe\CALIBR~1\ADOBEG~1.EXE [Adobe Systems, Inc.]><N>
[腾讯QQ]
  <C:\Documents and Settings\T-T\「开始」菜单\程序\启动\腾讯QQ.lnk --> C:\PROGRA~1\Tencent\QQ\QQ.exe [TENCENT]><N>

==================================
服务
[Adobe LM Service / Adobe LM Service]
  <"C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe"><N/A>
[Ati HotKey Poller / Ati HotKey Poller]
  <C:\WINDOWS\System32\Ati2evxx.exe><ATI Technologies Inc.>
[ATI Smart / ATI Smart]
  <C:\WINDOWS\system32\ati2sgag.exe><>
[卡巴斯基反病毒软件6.0 / AVP]
  <C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe -r><Kaspersky Lab>
[C-DillaCdaC11BA / C-DillaCdaC11BA]
  <C:\WINDOWS\System32\drivers\CDAC11BA.EXE><Macrovision>
[Human Interface Device Access / HidServ]
  <C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\hidserv.dll><N/A>
[IMAPI CD-Burning COM Service / ImapiService]
  <C:\WINDOWS\System32\imapi.exe><Microsoft Corporation>
[Windows DHCP Service / WinDHCPsvc]
  <C:\WINDOWS\System32\rundll32.exe windhcp.ocx,start><Microsoft Corporation>

==================================
驱动程序
[Service for WDM 3D Audio Driver / ALCXSENS]
  <system32\drivers\ALCXSENS.SYS><Sensaura>
[Service for Realtek AC97 Audio (WDM) / ALCXWDM]
  <system32\drivers\ALCXWDM.SYS><Realtek Semiconductor Corp.>
[ati2mtag / ati2mtag]
  <System32\DRIVERS\ati2mtag.sys><ATI Technologies Inc.>
[CdaC15BA / CdaC15BA]
  <\??\C:\WINDOWS\System32\drivers\CDAC15BA.SYS><Macrovision Europe Ltd>
[kl1 / kl1]
  <\SystemRoot\System32\drivers\kl1.sys><Kaspersky Lab>
[klif / klif]
  <\??\C:\WINDOWS\System32\drivers\klif.sys><Kaspersky Lab>
[Netgroup Packet Filter / NPF]
  <System32\DRIVERS\npf.sys><CACE Technologies>
[npkcrypt / npkcrypt]
  <\??\C:\Program Files\Tencent\QQ\npkcrypt.sys><INCA Internet Co., Ltd.>
[Direct Parallel Link Driver / Ptilink]
  <System32\DRIVERS\ptilink.sys><Parallel Technologies, Inc.>
[Realtek RTL8139/810x Family Fast Ethernet NIC NT Driver / rtl8139]
  <System32\DRIVERS\R8139n51.SYS><Realtek Semiconductor Corporation>
[Secdrv / Secdrv]
  <System32\DRIVERS\secdrv.sys><N/A>
[TSP / TSP]
  <\??\C:\WINDOWS\system32\drivers\klif.sys><Kaspersky Lab>
[Microsoft USB 2.0 Enhanced Host Controller Miniport Driver / usbehci]
  <System32\DRIVERS\usbehci.sys><VIA Technologies, INC.>

==================================

浏览器加载项
[BitComet Helper]
  {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} <C:\Program Files\BitComet\tools\BitCometBHO.dll, BitComet>
[QQBrowserHelperObject Class]
  {54EBD53A-9BC1-480B-966A-843A333CA162} <C:\Program Files\Tencent\QQ\QQIEHelper.dll, 深圳市腾讯计算机系统有限公司>
[Web反病毒保护]
  {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} <C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll, Kaspersky Lab>
[@shdoclc.dll,-866]
  {c95fe080-8f5d-11d2-a20b-00aa003c157a} <, N/A>
[QQ]
  {c95fe080-8f5d-11d2-a20b-00aa003c157b} <C:\Program Files\Tencent\QQ\QQ.EXE, TENCENT>
[QQIEFloatBarCfgCmd Class]
  {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} <C:\Program Files\Tencent\QQ\QQIEHelper.dll, 深圳市腾讯计算机系统有限公司>
[电台(&R)]
  {8E718888-423F-11D2-876E-00A0C9082467} <C:\WINDOWS\System32\msdxm.ocx, Microsoft Corporation>
[金山快译(&K)]
  {6C3797D2-3FEF-4cd4-B654-D3AE55B4128C} <C:\PROGRA~1\Kingsoft\FastAIT\IEBand.dll, >
[Shockwave Flash Object]
  {D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINDOWS\System32\Macromed\Flash\Flash9b.ocx, Adobe Systems, Inc.>
[&使用BitComet下载]
  <res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm, N/A>
[&使用BitComet下载全部链接]
  <res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm, N/A>
[&使用BitComet下载本页视频]
  <res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm, N/A>
[上传到QQ网络硬盘]
  <C:\Program Files\Tencent\QQ\AddToNetDisk.htm, N/A>
[添加到QQ自定义面板]
  <C:\Program Files\Tencent\QQ\AddPanel.htm, N/A>
[添加到QQ表情]
  <C:\Program Files\Tencent\QQ\AddEmotion.htm, N/A>
[用QQ彩信发送该图片]
  <C:\Program Files\Tencent\QQ\SendMMS.htm, N/A>

==================================
正在运行的进程
[PID: 508][\SystemRoot\System32\smss.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
[PID: 596][\??\C:\WINDOWS\system32\csrss.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
[PID: 620][\??\C:\WINDOWS\system32\winlogon.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
    [C:\WINDOWS\system32\Ati2evxx.dll]  [ATI Technologies Inc., 6.14.10.4113]
    [C:\WINDOWS\System32\klogon.dll]  [Kaspersky Lab, 6.0.0.299]
    [c:\program files\ati technologies\ati control panel\ioltoaqz.dll]  [, 1, 0, 0, 11]
[PID: 664][C:\WINDOWS\system32\services.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
[PID: 676][C:\WINDOWS\system32\lsass.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
[PID: 832][C:\WINDOWS\System32\Ati2evxx.exe]  [ATI Technologies Inc., 6.14.10.4113]
    [C:\WINDOWS\System32\Ati2edxx.dll]  [ATI Technologies, Inc., 6, 14, 10, 2496]
[PID: 860][C:\WINDOWS\system32\svchost.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
[PID: 916][C:\WINDOWS\System32\svchost.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
[PID: 996][C:\WINDOWS\System32\svchost.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
[PID: 1080][C:\WINDOWS\System32\svchost.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
[PID: 1300][C:\WINDOWS\system32\spoolsv.exe]  [Microsoft Corporation, 5.1.2600.0 (XPClient.010817-1148)]
[PID: 1424][C:\WINDOWS\system32\Ati2evxx.exe]  [ATI Technologies Inc., 6.14.10.4113]
    [C:\WINDOWS\system32\Ati2edxx.dll]  [ATI Technologies, Inc., 6, 14, 10, 2496]
[PID: 1540][C:\WINDOWS\Explorer.EXE]  [Microsoft Corporation, 6.00.2600.0000 (xpclient.010817-1148)]
    [C:\WINDOWS\System32\AcSignIcon.dll]  [Autodesk, 16.0.0.86]
    [C:\WINDOWS\System32\windhcp.ocx]  [N/A, N/A]
    [C:\Program Files\Common Files\Autodesk Shared\AcSignCore16.dll]  [Autodesk, 16.0.0.86]
    [c:\program files\ati technologies\ati control panel\ioltoaqz.dll]  [, 1, 0, 0, 11]
    [C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scr_ch_pg.dll]  [Kaspersky Lab, 1.0.6.299]
    [C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\klscav.dll]  [Kaspersky Lab, 6.0.0.299]
    [C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\pr_remote.dll]  [Kaspersky Lab, 6.0.0.299]
    [C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\prloader.dll]  [Kaspersky Lab, 6.0.0.299]
    [C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\prkernel.ppl]  [Kaspersky Lab, 6.0.0.299]
    [c:\program files\kaspersky lab\kaspersky anti-virus 6.0\params.ppl]  [Kaspersky Lab, 6.0.0.299]
    [c:\program files\kaspersky lab\kaspersky anti-virus 6.0\pxstub.ppl]  [Kaspersky Lab, 6.0.0.299]
    [c:\program files\kaspersky lab\kaspersky anti-virus 6.0\tempfile.ppl]  [Kaspersky Lab, 6.0.0.299]
[PID: 1712][C:\WINDOWS\System32\drivers\CDAC11BA.EXE]  [Macrovision, 4.20.030]
[PID: 288][C:\WINDOWS\SOUNDMAN.EXE]  [Realtek Semiconductor Corp., 5.1.0.30]
[PID: 300][C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe]  [ATI Technologies, Inc., 6.14.10.5142]
    [C:\Program Files\ATI Technologies\ATI Control Panel\atipdsxx.dll]  [ATI Technologies, Inc., 6.14.10.5142]
    [C:\PROGRAM FILES\ATI TECHNOLOGIES\ATI CONTROL PANEL\ATRPUIXX.CHS]  [ATI Technologies, Inc., 6.14.10.5142]
    [C:\Program Files\ATI Technologies\ATI Control Panel\atipdxxx.dll]  [ATI Technologies, Inc., 6.14.10.5142]
[PID: 308][C:\Program Files\Common Files\Real\Update_OB\realsched.exe]  [RealNetworks, Inc., 0.1.0.1622]
[PID: 384][C:\WINDOWS\System32\ctfmon.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
[PID: 392][C:\Program Files\Messenger\msmsgs.exe]  [Microsoft Corporation, 4.0.0155]
[PID: 400][C:\WINDOWS\east\SVCH0ST.EXE]  [N/A, N/A]
    [C:\WINDOWS\Ztg8.dll]  [N/A, N/A]
[PID: 220][C:\WINDOWS\System32\scvhsot.exe]  [N/A, N/A]
[PID: 2432][D:\软件包\SREng\SREng.exe]  [Smallfrogs Studio, 2.2.6.605]

==================================
文件关联
.TXT  OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.EXE  OK. ["%1" %*]
.COM  OK. ["%1" %*]
.PIF  OK. ["%1" %*]
.REG  OK. [regedit.exe "%1"]
.BAT  OK. ["%1" %*]
.SCR  Error. [AutoCADScriptFile]
.CHM  OK. ["C:\WINDOWS\hh.exe" %1]
.HLP  OK. [%SystemRoot%\System32\winhlp32.exe %1]
.INI  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.INF  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.VBS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.JS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.LNK  OK. [{00021401-0000-0000-C000-000000000046}]

==================================
Winsock 提供者
N/A

==================================
Autorun.inf
[D:\]
[AutoRun]

open=sss.exe

shellexecute=sss.exe

shell\Auto\command=sss.exe
[E:\]
[AutoRun]

open=sss.exe

shellexecute=sss.exe

shell\Auto\command=sss.exe
[H:\]
[AutoRun]

open=sss.exe

shellexecute=sss.exe

shell\Auto\command=sss.exe

==================================
HOSTS 文件
127.0.0.1      localhost

哪位大好人救救我呀。。。。

运行SREng删除注册表启动项:

<colorful><> [N/A]
<myZt><C:\WINDOWS\east\SVCH0ST.EXE> [N/A]
<myZt2><C:\DOCUME~1\T-T\LOCALS~1\Temp\Zt2\SVCH0ST.EXE> [N/A]

<QQKAV><C:\WINDOWS\System32\scvhsot.exe> [N/A]

<jiahus><c:\windows\system32\svchqs.exe> [N/A]
<rxzs><C:\DOCUME~1\T-T\LOCALS~1\Temp\20070.exe> [N/A]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
<AppInit_DLLs><235780M.BMP> [N/A
此项编辑为空.

==================================

删除以下服务:

[Windows DHCP Service / WinDHCPsvc]
<C:\WINDOWS\System32\rundll32.exe windhcp.ocx,start><Microsoft Corporation>

安全模式下killbos按路径删除删除:

C:\WINDOWS\east\SVCH0ST.EXE

C:\DOCUME~1\T-T\LOCALS~1\Temp\Zt2\SVCH0ST.EXE

C:\WINDOWS\System32\scvhsot.exe

c:\windows\system32\svchqs.exe

C:\DOCUME~1\T-T\LOCALS~1\Temp\20070.exe

C:\WINDOWS\Ztg8.dll

killbox下载地址:http://www.onlinedown.net/soft/37257.htm

搜索(包括隐藏文件):235780M.BMP、windhcp.ocx找到后删除.

显示所有文件后右键打开D、E、H盘(不要双击)删除:Autorun.inf、sss.exe

取消文件隐藏模式方法:
1.打开任意文件夹窗口=》工具=》文件夹选项=》查看
2.取消隐藏受保护的系统文件前面的钩(出现提示点是)
3.选中显示所有文件和文件
4.取消隐藏已知文件类型扩展名前面的勾
5.确定,再到windows下你会发现,这个文件

如何进入安全模式
Windows Xp 进入安全模式方法:
在计算机开启BIOS加载完之后,迅速按下F8键,在出现的WindowsXP高级选项菜单中回车按下[安全模式].
Windows 2000 进入安全模式方法:
启动Windows2000时,当看到白色箭头的进度条,按下F8键,出现Windows2000高级选项菜单中回车按下[安全模式].
Windows98/Me 进入安全模式方法:
启动Windows98/Me时,当出现[Starting Windows 98]的时候,迅速按下F8键,按下启动菜单中选择第三项[Safe Mode].

常见的SREng操作:http://forum.ikaka.com/topic.asp?board=67&artid=8125594

看得我眼花撩乱。。。。我开始弄。。。多谢女英雄。。

运行System Repair Engineer 启动项目，注册表删除
myZt><C:\WINDOWS\east\SVCH0ST.EXE> [N/A]
<myZt2><C:\DOCUME~1\T-T\LOCALS~1\Temp\Zt2\SVCH0ST.EXE> [N/A]
<QQKAV><C:\WINDOWS\System32\scvhsot.exe> [N/A]
<jiahus><c:\windows\system32\svchqs.exe> [N/A]
<rxzs><C:\DOCUME~1\T-T\LOCALS~1\Temp\20070.exe> [N/A]
AppInit_DLLs><235780M.BMP> [N/A]
<{1A404685-7563-4d02-B0F6-58B308A406A9}><c:\program files\ati technologies\ati control panel\ioltoaqz.dll> [N/A]
启动项目，服务,win32服务应用程序，勾选隐藏微软服务后删除
[Windows DHCP Service / WinDHCPsvc]
<C:\WINDOWS\System32\rundll32.exe windhcp.ocx,start><Microsoft Corporation>
安全模式下我的电脑，工具，文件夹选项，查看，显示所有文件和文件夹，把“隐藏受保护的系统文件”的勾去掉
C:\WINDOWS\System32\scvhsot.exe
c:\windows\system32\svchqs.exe
235780M.BMP
c:\program files\ati technologies\ati control panel\ioltoaqz.dll
windhcp.ocx
这个文件夹所有文件C:\DOCUME~1\T-T\LOCALS~1\Temp
右键打开各个硬盘分区删除sss.exe，Autorun.inf

无法删除的话mizuki.ys168.com下载冰刃删除

再修复下文件关联:

==================================
文件关联

.SCR Error. [AutoCADScriptFile]

多谢两位大好人呀。。。我机器不弹对话筐了。。能帮忙看下这个进程里面的AVP。EXE是什么东西吗？？是病毒吗？

附件: 55669120061222195106.JPG

卡巴的吧

谢谢楼上的好人呀。。。