瑞星卡卡安全论坛

用了瑞星、诺顿都杀不完，看前面的帖子好像说要用SREng2来出报告，我搞了个报告，请各位高人指点一下啊。

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon; .NET CLR 1.1.4322; .NET CLR 2.0.50727)


附件: 10047332008116102635.txt

说说具体病毒文件名和路径。

呵呵！！

这论坛里还常见有夸诺顿好的，原来也有杀不了的。

算了，不要说了，刚看到一堆病毒。

建议重装系统。

【回复“天月来了”的帖子】
    <{22FAACDE-34DA-CCD4-AB4D-DA34485A3422}><C:\WINDOWS\Fonts\rsjzbpm.dll>  []
    <{F859245F-345D-BC13-AC4F-145D47DA34FF}><C:\WINDOWS\Fonts\avzxomn.dll>  []
    <{B960356A-458E-DE24-BD50-268F589A56AB}><C:\WINDOWS\Fonts\avwlkmn.dll>  []
    <{DC87A354-ABC3-DEDE-FF33-3213FD7447CD}><C:\WINDOWS\Fonts\kvdxmma.dll>  []
    <{E9FA4178-7749-A8D9-F5C8-88645525769E}><C:\WINDOWS\Fonts\kashnzy.dll>  []
    <Internet Explorer><%systemroot%\system32\shmgrate.exe OCInstallUserConfigIE>  [N/A]
    <Outlook Express><%systemroot%\system32\shmgrate.exe OCInstallUserConfigOE>  [N/A]
    <通讯簿 6><"%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install>  [N/A]

[PID: 372 / Yue][C:\WINDOWS\explorer.exe]  [Microsoft Corporation, 6.00.2900.3156 (xpsp_sp2_gdr.070613-1234)]
    [C:\WINDOWS\system32\GOOGLEPINYIN.IME]  [Google Inc., ]
    [C:\WINDOWS\system32\msacm32.drv]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
    [C:\WINDOWS\system32\labsii.dll]  [N/A, ]
    [C:\WINDOWS\system32\Kvsc3.dll]  [N/A, ]
    [C:\WINDOWS\system32\qrtbby.dll]  [N/A, ]

[PID: 2420 / Yue][C:\WINDOWS\system32\conime.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
    [C:\WINDOWS\system32\GOOGLEPINYIN.IME]  [Google Inc., ]
    [C:\WINDOWS\system32\qrtbby.dll]  [N/A, ]
    [C:\WINDOWS\system32\labsii.dll]  [N/A, ]


[PID: 2480 / Yue][c:\program files\common files\symantec shared\ccapp.exe]  [Symantec Corporation, 103.5.1.9]
    [C:\WINDOWS\system32\MSVCP71.dll]  [Microsoft Corporation, 7.10.3077.0]
    [C:\WINDOWS\system32\MSVCR71.dll]  [Microsoft Corporation, 7.10.3052.4]
    [c:\program files\common files\symantec shared\ccL35.dll]  [Symantec Corporation, 103.5.1.9]
    [C:\WINDOWS\system32\GOOGLEPINYIN.IME]  [Google Inc., ]
    [C:\Program Files\Common Files\Symantec Shared\ccVrTrst.dll]  [Symantec Corporation, 103.5.1.9]
    [C:\PROGRA~1\COMMON~1\SYMANT~1\CCALERT.DLL]  [Symantec Corporation, 103.5.1.9]
    [C:\PROGRA~1\COMMON~1\SYMANT~1\CCEMLPXY.DLL]  [Symantec Corporation, 103.5.1.9]
    [C:\WINDOWS\system32\SYMREDIR.DLL]  [Symantec Corporation, 5.5.1.6]
    [C:\Program Files\Common Files\Symantec Shared\ccSetEvt.dll]  [Symantec Corporation, 103.5.1.9]
    [C:\Program Files\Common Files\Symantec Shared\ccProSub.dll]  [Symantec Corporation, 103.5.1.9]
    [C:\Program Files\Symantec AntiVirus\SavEmail.dll]  [Symantec Corporation, 10.0.0.359]
    [C:\WINDOWS\system32\qrtbby.dll]  [N/A, ]
    [C:\WINDOWS\system32\labsii.dll]  [N/A, ]

[PID: 224 / Yue][C:\WINDOWS\system32\taskmgr.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
    [c:\program files\kingsoft\kingsoft internet security 2008\KMailOEBand.DLL]  [Kingsoft Corporation, 2007,11,29,128]
    [c:\program files\kingsoft\kingsoft internet security 2008\kis.dll]  [Kingsoft Corporation, 2007,11,29,128]
    [C:\WINDOWS\system32\GOOGLEPINYIN.IME]  [Google Inc., ]
    [C:\WINDOWS\system32\qrtbby.dll]  [N/A, ]
    [C:\WINDOWS\system32\labsii.dll]  [N/A, ]
    [C:\WINDOWS\system32\Kvsc3.dll]  [N/A, ]


每个PID后面都有那几个 dll 文件，肯定是病毒把。

【回复“yueyue999”的帖子】

这是我挑出的报告里面比较可疑的条目。

将系统时间改正确。
做好准备工作后，一定要断网处理，不然还不行。
——————————————————————————————————————
在开始菜单的启动文件夹里删了这些，
==================================
启动文件夹
[ScheduleTV]
  <C:\Documents and Settings\All Users\「开始」菜单\程序\启动\ScheduleTV.lnk --> C:\PROGRA~1\Gadmei\SCHEDU~1\SCHEDU~1.EXE []><H>
[HotSync Manager]
  <C:\Documents and Settings\Yue\「开始」菜单\程序\启动\HotSync Manager.lnk --> C:\PROGRA~1\SONYHA~1\HOTSYNC.EXE [Palm, Inc.]><H>
[Stardock ObjectDock]
  <C:\Documents and Settings\Yue\「开始」菜单\程序\启动\Stardock ObjectDock.lnk --> D:\Program Files\Stardock\ObjectDock\ObjectDock.exe [N/A]><H>
————————————————————————————————————————
你只有用Xdelbox这个工具去删除这些文件。
Xdelbox下载：http://www.dodudou.com/down/里面的原创软件文件夹下载那个1.6版本的。
下载后
解压所有文件到一个文件夹,（一定要解压出来运行，不要懒）运行xdelbox前请卸载所有可移动存储设备。
将下面的文件信息全部复制，然后打开Xdelbox直接使用右键菜单的“剪贴板导入不检查路径”导入，并全选文件选择右键菜单的“立刻重启删除”

C:\WINDOWS\SHAProc.exe
C:\WINDOWS\Kvsc3.exE
C:\WINDOWS\Fonts\gjcsdyc.dll
C:\WINDOWS\Fonts\swrcgzc.dll
C:\WINDOWS\Fonts\jsqxcyc.dll
C:\WINDOWS\Fonts\rsjzbpm.dll
C:\WINDOWS\Fonts\avzxomn.dll
C:\WINDOWS\Fonts\avwlkmn.dll
C:\WINDOWS\Fonts\kvdxmma.dll
C:\WINDOWS\Fonts\kashnzy.dll
C:\WINDOWS\System32\drivers\ogoili.sys
C:\WINDOWS\system32\labsii.dll
C:\WINDOWS\system32\Kvsc3.dll
C:\WINDOWS\system32\qrtbby.dll
C:\WINDOWS\system32\contmenu.dll

重启计算机以后 会有两个系统进入的选择的倒计时界面
第一个是你原来的windows系统
第二个是这个软件给你设定的dos系统
系统会自动选择进入第二个系统
类似dos的界面滚动完毕以后 病毒就被删除了
之后会自动重启进入正常模式
进入系统后，再做下面的：
————————————————————————————————————————
从下面项，可看出系统文件userinit.exe已被病毒替换，可以去C:\WINDOWS\system32\dllcache文件夹里找userinit.exe文件，复制到C:\WINDOWS\system32文件夹里替换。或者在附件里下载，那是我这XP系统里的userinit.exe文件。
启动项目
注册表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <Userinit><C:\WINDOWS\system32\Userinit.exe>  []
————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除：
启动项目
注册表
    <SHAProc><C:\WINDOWS\SHAProc.exe>  []
    <Kvsc3><C:\WINDOWS\Kvsc3.exE>  []
    <{4FA10261-B890-F432-A453-69F1023513F4}><C:\WINDOWS\Fonts\gjcsdyc.dll>  []
    <{878A7521-FA87-34AB-34C2-4893F3AD34C8}><C:\WINDOWS\Fonts\swrcgzc.dll>  []
    <{3D098345-9012-8750-8910-9128098134D3}><C:\WINDOWS\Fonts\jsqxcyc.dll>  []
    <{22FAACDE-34DA-CCD4-AB4D-DA34485A3422}><C:\WINDOWS\Fonts\rsjzbpm.dll>  []
    <{F859245F-345D-BC13-AC4F-145D47DA34FF}><C:\WINDOWS\Fonts\avzxomn.dll>  []
    <{B960356A-458E-DE24-BD50-268F589A56AB}><C:\WINDOWS\Fonts\avwlkmn.dll>  []
    <{DC87A354-ABC3-DEDE-FF33-3213FD7447CD}><C:\WINDOWS\Fonts\kvdxmma.dll>  []
    <{E9FA4178-7749-A8D9-F5C8-88645525769E}><C:\WINDOWS\Fonts\kashnzy.dll>  []
————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》驱动程序》里面找下面项删除
==================================
驱动程序
[ogoili / ogoili][Running/Boot Start]
  <\SystemRoot\\SystemRoot\System32\drivers\ogoili.sys><N/A>
————————————————————————————————————
再重启电脑，查看以上操作项的效果或是否成功。没成功的，继续操作一遍，然后再重启电脑。

升级杀毒软件至最新版本全盘杀毒。

附件: 8390772008116105226.rar

【回复“天月来了”的帖子】

太牛了， 拜谢大侠指导，下班回家马上照办！！