瑞星卡卡安全论坛

就是这个图里边前边是两个黄圆圈的显示为重启后删除的文件,每次开机都说发现病毒,然后杀,但是显示完说重启后删除.下一次开还有..已经2天这样了不得..求助啊!谢谢了!!!!!!!!!!

绿色圆圈的好象也和这两个重名...是怎么回事?
而且这两个叫什么plkbt.dll / zqvko.sys 的文件删不掉


而且我的卡八现在在安全模式下不启动,

[CODE]

2007-02-13,16:28:30

System Repair Engineer 2.3.13.690
Smallfrogs (http://www.KZTechs.com)

Windows XP Professional Service Pack 2 (Build 2600)
- 管理权限用户 - 完整功能

以下内容被选中：
所有的启动项目（包括注册表、启动文件夹、服务等）
浏览器加载项
正在运行的进程（包括进程模块信息）
文件关联
Winsock 提供者
Autorun.inf
HOSTS 文件


启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<ctfmon.exe><C:\WINDOWS\system32\ctfmon.exe> [(Verified)Microsoft Corporation]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<High Definition Audio 属性页快捷方式><HDAudPropShortcut.exe> [(Verified)Windows (R) Server 2003 DDK provider]
<High Definition Audio 属性页><> [N/A]
<CTSysVol><E:\Program Files\Creative\SB Live! 24-bit\Surround Mixer\CTSysVol.exe /r> [Creative Technology Ltd]
<KernelFaultCheck><%systemroot%\system32\dumprep 0 -k> [N/A]
<LiveUpatePower><rem MyUpdate.exe> [N/A]
<TkBellExe><"C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot> [RealNetworks, Inc.]
<kav><"E:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"> [Kaspersky Lab]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<shell><Explorer.exe> [(Verified)Microsoft Corporation]
<Userinit><C:\WINDOWS\system32\userinit.exe,> [(Verified)Microsoft Corporation]
<UIHost><"\Program Files\Logonui\Royale.exe"> [Microsoft Corporation]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\klogon]
<WinlogonNotify: klogon><C:\WINDOWS\system32\klogon.dll> [Kaspersky Lab]

==================================
启动文件夹
[Adobe Gamma Loader]
<C:\Documents and Settings\All Users\「开始」菜单\程序\启动\Adobe Gamma Loader.lnk --> C:\PROGRA~1\COMMON~1\Adobe\CALIBR~1\ADOBEG~1.EXE [Adobe Systems, Inc.]><N>

==================================
服务
[ASP.NET State Service / aspnet_state][Stopped/Manual Start]
<C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\aspnet_state.exe><Microsoft Corporation>
[Ati HotKey Poller / Ati HotKey Poller][Running/Auto Start]
<C:\WINDOWS\system32\Ati2evxx.exe><ATI Technologies Inc.>
[ATI Smart / ATI Smart][Stopped/Auto Start]
<C:\WINDOWS\system32\ati2sgag.exe><>
[卡巴斯基反病毒6.0 / AVP][Running/Auto Start]
<"E:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r><Kaspersky Lab>
[Human Interface Device Access / HidServ][Stopped/Disabled]
<C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\hidserv.dll><N/A>
[Intel(R) Desktop Utilities Service / iHCService][Running/Auto Start]
<"C:\Program Files\Intel\IDU\IDUServ.exe"><OSA Technologies, Inc.>
[Rising Process Communication Center / RsCCenter][Running/Auto Start]
<C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE><rising>
[RsRavMon Service / RsRavMon][Stopped/Auto Start]
<C:\PROGRAM FILES\RISING\RAV\Ravmond.exe><Beijing Rising Technology Co., Ltd.>
[Distributed Console Manager / Tech][Running/Auto Start]
<C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\pbfwa.dll><Microsoft Corporation>
[共享 USN 杂志阅读器服务 / usnsvc][Stopped/Manual Start]
<C:\WINDOWS\system32\svchost.exe -k usnsvc-->C:\Program Files\MSN Messenger\usnsvc.dll><N/A>

==================================
驱动程序
[1184031 / 1184031][Stopped/Boot Start]
<\SystemRoot\System32\drivers\1184031.sys><N/A>
[16490593 / 16490593][Stopped/Boot Start]
<\SystemRoot\System32\drivers\16490593.sys><N/A>
[16540640 / 16540640][Stopped/Boot Start]
<\SystemRoot\System32\drivers\16540640.sys><N/A>
[AliIde / AliIde][Stopped/Boot Start]
<\SystemRoot\System32\DRIVERS\aliide.sys><N/A>
[ati2mtag / ati2mtag][Running/Manual Start]
<system32\DRIVERS\ati2mtag.sys><ATI Technologies Inc.>
[BaseTDI / BaseTDI][Running/Auto Start]
<\??\C:\WINDOWS\system32\drivers\basetdi.sys><Rising>
[c18494734 / c18494734][Stopped/Boot Start]
<\SystemRoot\System32\drivers\c18494734.sys><N/A>
[CmdIde / CmdIde][Running/Boot Start]
<\SystemRoot\System32\DRIVERS\cmdide.sys><CMD Technology, Inc.>
[Creative SoundFont Management Device Driver / ctsfm2k][Running/Manual Start]
<system32\DRIVERS\ctsfm2k.sys><Creative Technology Ltd>
[Rising Exploit Scaner 1.0 / ExpScaner][Stopped/Manual Start]
<\??\C:\PROGRAM FILES\RISING\RAV\ExpScan.sys><N/A>
[Microsoft 用于 High Definition Audio 服务的 UAA 功能驱动程序 / HdAudAddService][Stopped/Manual Start]
<system32\drivers\HdAudio.sys><Windows (R) Server 2003 DDK provider>
[Microsoft 用于 High Definition Audio 的 UAA 总线驱动程序 / HDAudBus][Running/Manual Start]
<system32\DRIVERS\HDAudBus.sys><Windows (R) Server 2003 DDK provider>
[HookCont / HookCont][Running/Auto Start]
<\??\C:\PROGRAM FILES\RISING\RAV\HOOKCONT.sys><Rising tech Co. ltd>
[HookReg / HookReg][Stopped/Auto Start]
<\??\C:\PROGRAM FILES\RISING\RAV\HOOKREG.sys><N/A>
[HookSys / HookSys][Running/Auto Start]
<\??\C:\PROGRAM FILES\RISING\RAV\hooksys.sys><瑞星>
[Service for Realtek HD Audio (WDM) / IntcAzAudAddService][Running/Manual Start]
<system32\drivers\RtkHDAud.sys><Realtek Semiconductor Corp.>
[IRXON SMH-IR650 IrDA Adapter / ir650][Stopped/Manual Start]
<system32\DRIVERS\ir650.sys><IRXON Technology,.Ltd>
[kl1 / kl1][Running/Boot Start]
<\SystemRoot\system32\drivers\kl1.sys><Kaspersky Lab>
[klif / klif][Running/System Start]
<\??\C:\WINDOWS\system32\drivers\klif.sys><Kaspersky Lab>
[MegaIDE / MegaIDE][Running/Boot Start]
<\SystemRoot\System32\DRIVERS\MegaIDE.sys><LSI Logic Corporation.>
[npkcrypt / npkcrypt][Stopped/Auto Start]
<\??\E:\Program Files\Tencent\QQ\npkcrypt.sys><N/A>
[nv / nv][Stopped/Manual Start]
<system32\DRIVERS\nv4_mini.sys><NVIDIA Corporation>
[osaio / osaio][Running/Auto Start]
<\SystemRoot\system32\drivers\osaio.sys><Windows (R) 2000 DDK provider>
[Creative OS Services Driver / ossrv][Running/Manual Start]
<system32\DRIVERS\ctoss2k.sys><Creative Technology Ltd.>
[Sound Blaster Live! 24-bit / P17][Running/Manual Start]
<system32\drivers\P17.sys><Creative Technology Ltd.>
[PfModNT / PfModNT][Running/Auto Start]
<\??\C:\WINDOWS\system32\drivers\PfModNT.sys><Creative Technology Ltd.>
[PnpWmkDrv / PnpWmkDrv][Running/System Start]
<\??\C:\WINDOWS\system32\drivers\PnpWmkDrv.sys><N/A>
[StarForce Protection Environment Driver v6 / prodrv06][Running/System Start]
<\SystemRoot\System32\drivers\prodrv06.sys><Protection Technology>
[StarForce Protection Helper Driver v2 / prohlp02][Running/Boot Start]
<\SystemRoot\System32\drivers\prohlp02.sys><Protection Technology>
[StarForce Protection Synchronization Driver v1 / prosync1][Running/Boot Start]
<\SystemRoot\System32\drivers\prosync1.sys><Protection Technology>
[Direct Parallel Link Driver / Ptilink][Running/Manual Start]
<system32\DRIVERS\ptilink.sys><Parallel Technologies, Inc.>
[RsAntiSpyware / RsAntiSpyware][Running/Boot Start]
<\SystemRoot\system32\drivers\RsBoot.sys><Beijing Rising>
[Realtek RTL8139(A/B/C)-based PCI Fast Ethernet Adapter NT Driver / rtl8139][Running/Manual Start]
<system32\DRIVERS\RTL8139.SYS><Realtek Semiconductor Corporation>
[Secdrv / Secdrv][Running/Auto Start]
<system32\DRIVERS\secdrv.sys><Macrovision Corporation, Macrovision Europe Limited, and Macrovision Japan and Asia K.K.>
[StarForce Protection Helper Driver / sfhlp01][Running/Boot Start]
<\SystemRoot\System32\drivers\sfhlp01.sys><Protection Technology>
[SIODRV / SIODRV][Running/Auto Start]
<\??\C:\WINDOWS\system32\drivers\SIODRV.SYS><Intel Corporation>
[Intel (R) System Management BIOS Service / SMBios][Running/Manual Start]
<system32\DRIVERS\SMBios.sys><Intel Corporation>
[Intel(R) SMBus 2.0 Driver / smbusp][Running/Manual Start]
<system32\DRIVERS\intelsmb.sys><Intel Corporation>
[TSP / TSP][Stopped/Manual Start]
<\??\C:\WINDOWS\system32\drivers\klif.sys><Kaspersky Lab>
[ViaIde / ViaIde][Running/Boot Start]
<\SystemRoot\system32\DRIVERS\viaide.sys><Microsoft Corporation>
[World Standard Teletext Codec / WSTCODEC][Stopped/Manual Start]
<system32\DRIVERS\WSTCODEC.SYS><Microsoft Corporation>
[zqvk / zqvko][Running/Boot Start]
<\SystemRoot\System32\DRIVERS\zqvko.sys><N/A>

==================================
浏览器加载项
[Flashget Catch Url Class]
{2F364306-AA45-47B5-9F9D-39A8B94E7EF7} <E:\Program Files\FlashGet\jccatch.dll, www.flashget.com>
[FlashGet GetFlash Class]
{F156768E-81EF-470C-9057-481BA8380DBA} <E:\Program Files\FlashGet\getflash.dll, www.flashget.com>
[浩方对战平台]
{0A155D3C-68E2-4215-A47A-E800A446447A} <D:\Program Files\浩方对战平台\GameClient.exe, 上海浩方在线信息技术有限公司>
[Web反病毒保护]
{1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} <E:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll, Kaspersky Lab>
[快车]
{D6E814A0-E0C5-11d4-8D29-0050BA6940E3} <E:\Program Files\FlashGet\FlashGet.exe, FlashGet.com>
[快车(FlashGet)]
{E0E899AB-F487-11D5-8D29-0050BA6940E3} <E:\Program Files\FlashGet\fgiebar.dll, Amaze Soft>
[Shockwave Flash Object]
{D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINDOWS\system32\Macromed\Flash\Flash9b.ocx, Adobe Systems, Inc.>
[金山毒霸在线产品升级]
{E847C78C-C210-4195-8799-FBF3BF89797D} <C:\WINDOWS\system32\kingsoft\KOS\KOSInit.ocx, 金山软件股份有限公司>
[Flashget Catch Url Class]
{2F364306-AA45-47B5-9F9D-39A8B94E7EF7} <E:\Program Files\FlashGet\jccatch.dll, www.flashget.com>
[SearchAssistantOC]
{B45FF030-4447-11D2-85DE-00C04FA35C89} <%SystemRoot%\system32\shdocvw.dll, N/A>
[Shockwave Flash Object]
{D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINDOWS\system32\Macromed\Flash\Flash9b.ocx, Adobe Systems, Inc.>
[快车(FlashGet)]
{E0E899AB-F487-11D5-8D29-0050BA6940E3} <E:\Program Files\FlashGet\fgiebar.dll, Amaze Soft>
[FlashGet GetFlash Class]
{F156768E-81EF-470C-9057-481BA8380DBA} <E:\Program Files\FlashGet\getflash.dll, www.flashget.com>
[JetCarNetscape Class]
{FB5DA724-162B-11D3-8B9B-AA70B4B0B524} <E:\Program Files\FlashGet\jccatch.dll, www.flashget.com>
[&使用快车(FlashGet)下载]
<E:\Program Files\FlashGet\jc_link.htm, N/A>
[&使用快车(FlashGet)下载全部链接]
<E:\Program Files\FlashGet\jc_all.htm, N/A>
[上传到QQ网络硬盘]
<E:\Program Files\Tencent\QQ\AddToNetDisk.htm, N/A>

==================================
正在运行的进程
N/A

==================================
文件关联
.TXT OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.EXE OK. ["%1" %*]
.COM OK. ["%1" %*]
.PIF OK. ["%1" %*]
.REG OK. [regedit.exe "%1"]
.BAT OK. ["%1" %*]
.SCR OK. ["%1" /S]
.CHM OK. ["C:\WINDOWS\hh.exe" %1]
.HLP OK. [%SystemRoot%\System32\winhlp32.exe %1]
.INI OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.INF OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.VBS OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.JS OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.LNK OK. [{00021401-0000-0000-C000-000000000046}]

==================================
Winsock 提供者
N/A

==================================
Autorun.inf
N/A

==================================
HOSTS 文件
N/A

==================================
API HOOK
警告！System Repair Engineer 提醒
你下面的函数内容与预期值不符，他
们可能被一些恶意的软件所修改：
RVA 错误： LoadLibraryA
RVA 错误： LoadLibraryExA
RVA 错误： LoadLibraryExW
RVA 错误： LoadLibraryW

==================================


[/CODE]

启动SREG2，“启动项目”---〉“服务”选项卡，单击“Win32服务应用程序”，然后勾选上“隐藏已认证的微软项目”。（如图所示，图片来自：http://forum.ikaka.com/topic.asp?board=28&artid=8270267）







在
[Distributed Console Manager / Tech][Running/Auto Start]
<C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\pbfwa.dll><Microsoft Corporation>
上面单击右键--〉“停止服务”，然后再次选中该服务，选中“删除服务”，点“设置”就可以删除

删除以下文件（如果你的XP是在C盘，那么\SystemRoot就是为c:\windows）：

C:\WINDOWS\system32\pbfwa.dll
C:\WINDOWS\system32\plkbt.dll
\SystemRoot\System32\drivers\1184031.sys
\SystemRoot\System32\drivers\16490593.sys
\SystemRoot\System32\drivers\16540640.sys
\SystemRoot\System32\drivers\c18494734.sys
\SystemRoot\System32\DRIVERS\zqvko.sys


问一句：为什么你又装卡巴又装瑞星？不会冲突吗？

“正在运行的进程”竟然显示为“N/A”？太令我惊讶了
难怪日至如此之短 ......

引用:

【horseluke11的贴子】启动SREG2，“启动项目”---〉“服务”选项卡，单击“Win32服务应用程序”，然后勾选上“隐藏已认证的微软项目”。（如图所示，图片来自：http://forum.ikaka.com/topic.asp?board=28&artid=8270267） 在 [Distributed Console Manager / Tech][Running/Auto Start] <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\pbfwa.dll><Microsoft Corporation> 上面单击右键--〉“停止服务”，然后再次选中该服务，选中“删除服务”，点“设置”就可以删除 删除以下文件（如果你的XP是在C盘，那么\SystemRoot就是为c:\windows）： C:\WINDOWS\system32\pbfwa.dll C:\WINDOWS\system32\plkbt.dll \SystemRoot\System32\drivers\1184031.sys \SystemRoot\System32\drivers\16490593.sys \SystemRoot\System32\drivers\16540640.sys \SystemRoot\System32\drivers\c18494734.sys \SystemRoot\System32\DRIVERS\zqvko.sys 问一句：为什么你又装卡巴又装瑞星？不会冲突吗？ ………………

我这样做了,是不是病毒就能删除了??谢谢大侠!
但是杀完毒后再次开机还是这样......

而且现在我的卡八在安全模式下启动不了

请问是不是应该删掉一个? 我装的是卡八和卡卡上网.......

引用:

【horseluke11的贴子】“正在运行的进程”竟然显示为“N/A”？太令我惊讶了 难怪日至如此之短 ...... ………………

确实是这样, 我也不知道是怎么回事..

奇怪
你试着找到卡巴所显示的已被感染的文件然后在手动删除看看

到安全模式打开卡巴斯基来杀

KILLBOX直接把那两个文件铲了，然后看注册表里面是否还有这样的东西

用unlock强制把两个文件删了

引用:

【lkcqeiouo的贴子】 1\绿色圆圈的好象也和这两个重名...是怎么回事? 2\而且这两个叫什么plkbt.dll / zqvko.sys 的文件删不掉 3\我这样做了,是不是病毒就能删除了??谢谢大侠! 但是杀完毒后再次开机还是这样...... 4\而且现在我的卡八在安全模式下启动不了.请问是不是应该删掉一个? 我装的是卡八和卡卡上网....... ………………

那我一个一个讲了:

1\重名并不奇怪,可能是卡巴的检测机制,又或者是病毒尝试多次启动.....

2\删除不到的话,请下载ICESWORD,到安全模式删除我发帖中的几个病毒文件.
ICESWORD：
http://www.newhua.com/soft/4523.htm
Icesword使用方法（2、“删除文件”——图4－图6）：http://forum.ikaka.com/topic.asp?board=28&artid=7168178

3\不敢担保,因为SREG2日志最重要部分之一的"正在运行的进程"显示为N/A,无从得知你的电脑正在运行什么程序。你要不再扫一次，看能不能够显示。

4、哦，原来如此。两个都不用卸载了。
在安全模式下启动不了？是指无法开启实时监控（这非常正常）还是连程序都开不了？


忘记说了，顺带下载一个WinsockFix，防止删除文件后无法上网。修复方法：运行程序，然后按"FIX"。到最后提示你完成的时候重新启动。

WinsockFix:
http://down1.tech.sina.com.cn/download/downContent/2004-11-27/12242.shtml
http://www.onlinedown.net/soft/35272.htm


斑竹能否解释一下为什么"正在运行的进程"显示为N/A？

学习了。

如果可以的话，用ntfs权限禁止任何程序访问那几个可疑文件或者icesword重启监视进程创建，看能不能找出些线索。