瑞星卡卡安全论坛

GHOST没有用,现在的病毒真厉害都穿透还原了.

哪位大大看看 小弟谢了

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)


附件: 10077472008122210742.jpg

还有

附件: 10077472008122210941.jpg

一个图都没看到

呃,,,,,现在看到袄图了，,,不过似乎也没什么用。...


需要删除的东西太多....


建议扫个日志出来一起灭掉，,,,,这样才不至于死灰复燃。

扫SRENG日志发来
http://download.kztechs.com/files/sreng2.zip
下载System Repair Engineer
1 解压缩sreng2.zip
2 运行SREng.exe
3 智能扫描=》扫描=》保存报告
4 把报告保存后，直接将日志内容彻底复制到一个空记事本里，然后再保存，就可以以附件的形式发来了。
一定以附件形式发来

是这个吗 大大

附件: 10077472008122214811.txt

初步的处理意见如下，操作有风险，仅供参考。
你碰到的这是一个木马群，处理其他比较麻烦，从你的日志上分析来看，有如下疑点：
1.注册表项：[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]下出现：
C:\WINDOWS\system32\syssave.exe
C:\WINDOWS\WSockDrv32.exe
C:\Program Files\Internet Explorer\PLUGINS\Wn_Sys8x.Sys（这个东东是臭名昭著了）

2.服务：
[Help and Support / helpsvc][Stopped/Auto Start]
  <C:\WINDOWS\system32\ineters.exe><1>
[rachadr / ztqocvr][Stopped/Auto Start]
  <C:\WINDOWS\system32\jxhtsbl.exe><N/A>

3.驱动程序
[mseqsy / mseqsy][Running/Auto Start]
  <system32\DRIVERS\msacpe.sys><N/A>
[msskye / msskye][Running/Auto Start]
  <system32\DRIVERS\msaclue.sys><N/A>
[phy / phy][Running/Manual Start]
  <\??\C:\WINDOWS\system32\DRIVERS\phy.sys><N/A>

4.进程中出现的如下DLL文件：
[C:\WINDOWS\system32\yld32.dll]  [N/A, ]
    [C:\WINDOWS\system32\ydtlsfl.dll]  [N/A, ]
    [C:\WINDOWS\system32\zfjewl.dll]  [N/A, ]
[C:\WINDOWS\system32\oqnauhc.dll]  [N/A, ]
    [C:\WINDOWS\Fonts\rsjzbpm.dll]  [N/A, ]
[C:\WINDOWS\system32\uohsom.dll]  [N/A, ]
[C:\WINDOWS\system32\xjxr.dll]  [N/A, ]
[C:\WINDOWS\system32\auhad.dll]  [N/A, ]
[C:\WINDOWS\system32\mhtd.dll]  [N/A, ]
[C:\WINDOWS\system32\iqnauhc.dll]  [N/A, ]
[C:\WINDOWS\system32\oqnauhc.dll]  [N/A, ]
    [C:\WINDOWS\system32\ijougiemnaw.dll]  [N/A, ]
    [C:\WINDOWS\system32\laixuhz.dll]  [N/A, ]
[C:\WINDOWS\system32\vhqq.dll]  [N/A, ]
[C:\WINDOWS\system32\lnaixnauhqq.dll]  [N/A, ]
    [C:\WINDOWS\system32\fyom.dll]  [N/A, ]
    [C:\WINDOWS\system32\cuhad.dll]  [N/A, ]
    [C:\WINDOWS\system32\ijiq.dll]  [N/A, ]
C:\WINDOWS\system32\auhad.dll]  [N/A, ]
    [C:\WINDOWS\system32\iqnauhc.dll]  [N/A, ]
    [C:\WINDOWS\system32\oadnew.dll]  [N/A, ]
    [C:\WINDOWS\system32\utgnehz.dll]  [N/A, ]
[C:\WINDOWS\system32\gnaixnauhuoyizqq.dll]  [N/A, ]
    [C:\WINDOWS\system32\niluw.dll]  [N/A, ]
    [C:\WINDOWS\system32\iemnaw.dll]  [N/A, ]
    [C:\WINDOWS\system32\naijihzeuyouhz.dll]  [N/A, ]

基于以上，建议你在安全模式下，备份后删除上述文件。DLL文件的删除可先使用“regsvr32 /u”命令进行反注册。
强烈建议你使用Xdelbox来删除，并使用它的“抑制再生”、“驱动安全删除模式”、“备份文件”。

注意了，一定要断网处理，因为系统文件被替换了。所以一定要断网。

你只有用Xdelbox这个工具去删除这些文件。
Xdelbox下载：http://www.dodudou.com/down/里面的原创软件文件夹下载那个1.6版本的。
下载后
解压所有文件到一个文件夹,（一定要解压出来运行，不要懒）运行xdelbox前请卸载所有可移动存储设备。
将下面的文件信息全部复制，然后打开Xdelbox,勾选“抑制文件再生”，直接使用右键菜单的“剪贴板导入不检查路径”导入，并全选文件选择右键菜单的“立刻重启删除”

C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\syssave.exe
C:\WINDOWS\WSockDrv32.exe
C:\WINDOWS\system32\SoundMan.exe
C:\WINDOWS\Fonts\rsjzbpm.dll
C:\Program Files\Internet Explorer\PLUGINS\Wn_Sys8x.Sys
C:\WINDOWS\system32\ineters.exe
C:\WINDOWS\system32\jxhtsbl.exe
C:\WINDOWS\system32\DRIVERS\msacpe.sys
C:\WINDOWS\system32\DRIVERS\msaclue.sys
C:\WINDOWS\system32\DRIVERS\phy.sys
C:\WINDOWS\system32\yld32.dll
C:\WINDOWS\system32\ydtlsfl.dll
C:\WINDOWS\system32\zfjewl.dll
C:\WINDOWS\system32\oqnauhc.dll
C:\WINDOWS\Fonts\rsjzbpm.dll
C:\WINDOWS\system32\uohsom.dll
C:\WINDOWS\system32\xjxr.dll
C:\WINDOWS\system32\auhad.dll
C:\WINDOWS\system32\uohsom.dll
C:\WINDOWS\system32\iqnauhc.dll
C:\WINDOWS\system32\ydtlsfl.dll
C:\WINDOWS\system32\mhtd.dll
C:\WINDOWS\system32\oqnauhc.dll
C:\WINDOWS\system32\ijougiemnaw.dll
C:\WINDOWS\system32\laixuhz.dll
C:\WINDOWS\system32\xjxr.dll
C:\WINDOWS\system32\vhqq.dll
C:\WINDOWS\system32\lnaixnauhqq.dll
C:\WINDOWS\system32\fyom.dll
C:\WINDOWS\system32\cuhad.dll
C:\WINDOWS\system32\ijiq.dll
C:\WINDOWS\system32\auhad.dll
C:\WINDOWS\system32\uohsom.dll
C:\WINDOWS\system32\iqnauhc.dll
C:\WINDOWS\system32\oadnew.dll
C:\WINDOWS\system32\utgnehz.dll
C:\WINDOWS\system32\gnaixnauhuoyizqq.dll
C:\WINDOWS\system32\niluw.dll
C:\WINDOWS\system32\iemnaw.dll
C:\WINDOWS\system32\naijihzeuyouhz.dll

重启计算机以后 会有两个系统进入的选择的倒计时界面
第一个是你原来的windows系统
第二个是这个软件给你设定的dos系统
系统会自动选择进入第二个系统
类似dos的界面滚动完毕以后 病毒就被删除了
之后会自动重启进入正常模式
进入系统后，再做下面的：
————————————————————————————————————————
从下面项，可看出系统文件ctfmon.exe已被病毒替换，可以去C:\WINDOWS\system32\dllcache文件夹里找ctfmon.exe文件，复制到C:\WINDOWS\system32文件夹里替换。
启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <ctfmon.exe><C:\WINDOWS\system32\ctfmon.exe>  []

记住！！！上面我已要你删了病毒文件ctfmon.exe，重启后可能没输入法了。如果C:\WINDOWS\system32\dllcache文件夹里没有ctfmon.exe文件，可以去这贴里下载附件，我以前发的：http://forum.ikaka.com/topic.asp?board=3&artid=8419041
————————————————————————————————————
另外这次处理和别的不太一样，从Winsock 提供者来看，删除C:\WINDOWS\system32\yld32.dll文件后，会导致无法上网。一定在删除病毒重启电脑后，在扫日志的SRENG工具》系统修复》高级修复》重置Winsock  （这步不认真做，可别说我瞎出主意导致你没法上网。）
==================================
Winsock 提供者
MSAPI Tcpip [TCP/IP]
    C:\WINDOWS\system32\yld32.dll(, N/A)
MSAPI Tcpip [UDP/IP]
    C:\WINDOWS\system32\yld32.dll(, N/A)
————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除：
启动项目
注册表
    <remotecontro><C:\WINDOWS\system32\syssave.exe>  []
    <WSockDrv32><C:\WINDOWS\WSockDrv32.exe>  []
    <SoundMan><SoundMan.exe>  [1]
    <{22FAACDE-34DA-CCD4-AB4D-DA34485A3422}><C:\WINDOWS\Fonts\rsjzbpm.dll>  []
    <{9963387B-212E-4643-B207-82DAEA0E713D}><C:\Program Files\Internet Explorer\PLUGINS\Wn_Sys8x.Sys>  []
    <IFEO[360Loader.exe]><svchost.exe>  [(Verified)Microsoft Windows Publisher]
    <IFEO[360Safe.exe]><svchost.exe>  [(Verified)Microsoft Windows Publisher]
    <IFEO[360tray.exe]><svchost.exe>  [(Verified)Microsoft Windows Publisher]
    <IFEO[ctfmon.exe]><SoundMan.exe>  [1]
    <IFEO[IceSword]><svchost.exe>  [(Verified)Microsoft Windows Publisher]
    <IFEO[Iparmor.exe]><svchost.exe>  [(Verified)Microsoft Windows Publisher]
    <IFEO[kmailmon.exe]><svchost.exe>  [(Verified)Microsoft Windows Publisher]
    <IFEO[ras]><svchost.exe>  [(Verified)Microsoft Windows Publisher]
    <IFEO[runiep]><svchost.exe>  [(Verified)Microsoft Windows Publisher]
    <IFEO[taskmgr.exe]><svchost.exe>  [(Verified)Microsoft Windows Publisher]
——————————————————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》Win32服务应用程序》里面找下面项删除
==================================
服务
[Help and Support / helpsvc][Stopped/Auto Start]
  <C:\WINDOWS\system32\ineters.exe><1>
[rachadr / ztqocvr][Stopped/Auto Start]
  <C:\WINDOWS\system32\jxhtsbl.exe><N/A>
————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》驱动程序》里面找下面项删除
==================================
驱动程序
[mseqsy / mseqsy][Running/Auto Start]
  <system32\DRIVERS\msacpe.sys><N/A>
[msskye / msskye][Running/Auto Start]
  <system32\DRIVERS\msaclue.sys><N/A>
[phy / phy][Running/Manual Start]
  <\??\C:\WINDOWS\system32\DRIVERS\phy.sys><N/A>
—————————————————————————————
在扫日志的SRENG工具》系统修复》浏览器加载项》里面找下面删除
==================================
浏览器加载项
[]
  {9963387B-212E-4643-B207-82DAEA0E713D} <C:\Program Files\Internet Explorer\PLUGINS\Wn_Sys8x.Sys, N/A>
[]
  {9963387B-212E-4643-B207-82DAEA0E713D} <C:\Program Files\Internet Explorer\PLUGINS\Wn_Sys8x.Sys, N/A>

————————————————————————————————————
再重启电脑，升级杀毒软件至最新版本全盘杀毒。

哦

对了在扫日志的SRENG工具》系统修复》高级修复》重置Winsock 后，也得重启电脑。

机器狗真是已普及了哦。

每个求助贴几乎都这样。

引用:

从下面项，可看出系统文件ctfmon.exe已被病毒替换，可以去C:\WINDOWS\system32\dllcache文件夹里找ctfmon.exe文件，复制到C:\WINDOWS\system32文件夹里替换。 启动项目 注册表 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] <ctfmon.exe><C:\WINDOWS\system32\ctfmon.exe> []

为什么说ctfmon.exe被病毒替换掉了呢？
那么就是因为它在启动项里，还是什么别的原因？
天月来了，能说说么？

引用:

【雨中喷泉的贴子】为什么说ctfmon.exe被病毒替换掉了呢？ 那么就是因为它在启动项里，还是什么别的原因？ 天月来了，能说说么？ ………………

从下面项，可看出系统文件ctfmon.exe已被病毒替换，
启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<ctfmon.exe><C:\WINDOWS\system32\ctfmon.exe> []

因为从这个看：
<ctfmon.exe><C:\WINDOWS\system32\ctfmon.exe> []

那红的部分看，已没微软的标志了，是个未知的。

同时观察到：
驱动程序
[phy / phy][Running/Manual Start]
<\??\C:\WINDOWS\system32\DRIVERS\phy.sys><N/A>

呵呵！！机器狗的驱动哦。所以更确定了啦。