瑞星卡卡安全论坛

前日中了一个名为：
Win32.QQpsw.QQRobber.a的木马

请问怎么删除啊
使用各种杀毒软件和木马软件均被强行关闭


[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR.3.0.04131.06)

你的瑞星是最新版的么？
貌似会有个%System%\RpcS.dll进驻内存，使用bat批处理删除原文件。

创建服务：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcS]
显示名：Remote Procedure Call System(RPCS)
描述：管理并控制RPC服务数据库。
可执行文件的路径：%System%\RpcS.exe
尝试访问webhop.3322.org下载其它恶意程序等。

清除步骤
运行SRENG
删除病毒创建的服务：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RpcS]
结束病毒进程%System%\RpcS.exe
利用ICESWORD解除%System%\RpcS.dll模块
删除病毒文件：
%System%\RpcS.exe
%System%\RpcS.dll


具体你的情况要看SRENG的日志，这个是以前的样本。。



sreng改名后运行

【回复“AQzzzQA”的帖子】
SRENG我下了

显示红色的就是病毒文件吗？

使用System Repair Engineer扫描日志，将日志作为附件上传上来。
下载页面：http://kztechs.com/sreng/download.html
操作方法：
1、下载后解压缩sreng2.zip；
2、运行SREngPS.EXE；
3、依次点击【智能扫描】-【扫描】；
4、耐心等待，扫描结束后点击【保存报告】；
5、选择保存路径，文件名保持默认，直接点击【保存】；
6、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；
7、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序。

怎么以附件形式上传？

这就是扫描结果:




附件: 10082382008124160705.txt

好多毒。。。。。。。。。处理起来比较麻烦，愿意的话重做系统吧。
处理方案：
————————————————————————————————————————
务必断开网络链接后再进行以下操作；
————————————————————————————————————————
使用Xdelbox删除以下文件：
Xdelbox下载地址：http://www.dodudou.com/down/  打开后选择【原创软件】，下载XDelBox1.6。
Xdelbox使用方法：http://forum.ikaka.com/topic.asp?board=28&artid=8381032
使用时一定拔掉所有移动存储设备，将下面分隔线中的的文件信息全部复制，然后打开Xdelbox直接使用右键菜单的“剪贴板导入不检查路径”导入，勾选“抑制再生”、“驱动安全删除模式”、“备份文件”，最后选择右键菜单的“立刻重启删除”
————————————————————————————————————————
c:\1.exe
c:\windows\taskmant.exe
c:\windows\system32\kernl32.exe
c:\documents and settings\servciesb.exe
c:\windows\system32\servciesb.exe
C:\autorun.inf
C:\snow.exe
D:\autorun.inf
D:\snow.exe
E:\autorun.inf
E:\snow.exe
F:\autorun.inf
F:\snow.exe
G:\autorun.inf
G:\snow.exe
H:\autorun.inf
H:\snow.exe
c:\docume~1\admini~1\locals~1\temp\e_4\com.run
c:\docume~1\admini~1\locals~1\temp\e_4\dp1.fne
c:\docume~1\admini~1\locals~1\temp\e_4\eapi.fne
c:\docume~1\admini~1\locals~1\temp\e_4\ethread.fne
c:\docume~1\admini~1\locals~1\temp\e_4\internet.fne
c:\docume~1\admini~1\locals~1\temp\e_4\krnln.fnr
c:\docume~1\admini~1\locals~1\temp\e_4\spec.fne
c:\windows\system32\snowfall.exe
c:\documents and settings\administrator\「开始」菜单\程序\启动\autorun.inf
c:\documents and settings\administrator\「开始」菜单\程序\启动\mbhkhbw.exe
c:\windows\system.exe
c:\windows\system32\drivers\bootdrv.sys
————————————————————————————————————————
重启计算机后会看到一个请选择要启动的操作系统的提示，倒计时5秒，
第一个选项是你自己的windows系统，
第二个选项是Xdelbox的Go XDelBox To Del Files，
默认自动选择第二项，会进入类似DOS的界面，这期间什么操作都不用做，等待它自动运行即可，
待病毒文件删除后会自动重启进入windows系统，
然后再按以下步骤操作：
————————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【注册表】，将以下项删除：
[IFEO[360rpt.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[360Safe.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[360tray.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[abc.EXE]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[adam.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[AgentSvr.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[appdllman.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[AppSvc32.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[auto.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[AutoRun.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[autoruns.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[avgrssvc.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[AvMonitor.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[avp.com]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[avp.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[CCenter.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[ccSvcHst.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[FileDsty.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[FTCleanerShell.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[guangd.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[HijackThis.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[IceSword.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[iparmo.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[Iparmor.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[isPwdSvc.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[kabaload.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KaScrScn.SCR]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KASMain.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KASTask.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KAV32.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KAVDX.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KAVPFW.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KAVSetup.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KAVStart.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[kernelwind32.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KISLnchr.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KMailMon.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KMFilter.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KPFW32.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KPFW32X.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KPFWSvc.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KRegEx.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KRepair.COM]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KsLoader.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KVCenter.kxp]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KvDetect.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KvDetect.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KvfwMcl.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KVMonXP.kxp]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KVMonXP_1.kxp]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[kvol.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[kvolself.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KvReport.kxp]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KVSrvXP.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KVStub.kxp]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[kvupload.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[kvupload.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[kvwsc.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KvXP.kxp]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KWatch.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KWatch9x.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[KWatchX.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[loaddll.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[logogo.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[MagicSet.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[mcconsol.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[mmqczj.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[mmsk.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[NAVSetup.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[nod32krn.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[nod32kui.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[PFW.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[PFWLiveUpdate.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[QHSET.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[Ras.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[Rav.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[RavMon.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[RavMonD.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[RavStub.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[RavTask.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[RegClean.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[regedit.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[regedit32.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[rfwcfg.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[RfwMain.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[rfwProxy.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[rfwsrv.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[RsAgent.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[Rsaupd.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[runiep.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[safelive.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[scan32.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[shcfg32.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[SmartUp.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[sos.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[SREng.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[symlcsvc.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[SysSafe.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[taskmgr.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[TrojanDetector.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[Trojanwall.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[TrojDie.kxp]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[UFO.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[UIHost.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[UmxAgent.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[UmxAttachment.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[UmxCfg.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[UmxFwHlp.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[UmxPol.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[UpLive.EXE]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[WoptiClean.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[XP.exe]]    <C:\WINDOWS\system32\snowfall.exe>
[IFEO[zxsweep.exe]]    <C:\WINDOWS\system32\snowfall.exe>
————————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【启动文件夹】，将以下项删除：
[autorun]    <C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\autorun.inf>
[mbhkhbw]    <C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\mbhkhbw.exe>
————————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【服务】-【Win32服务应用程序】，将以下项删除：
[服务名 / svcname]    <C:\WINDOWS\system32\servciesb.exe>
[system / system]    <C:\WINDOWS\system.exe>
[kernl32 / kernl32]    <C:\WINDOWS\system32\KERNL32.exe>
[TASKMAN / svchost]    <C:\WINDOWS\TASKMANT.exe>
————————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【服务】-【驱动程序】，将以下项删除：
[bootdrv / bootdrv]    <\SystemRoot\System32\Drivers\bootdrv.sys>
————————————————————————————————————————
上述操作全部完成后重启电脑，确保杀毒软件监控和防火墙均已经正常开启，如果不能开启可以先修复；
然后连网，升级杀毒软件到最新版本，再断网进行全盘杀毒；
再次重启电脑，查看问题是否已经解决；
如果系统能够通过正版验证，建议通过windows update给系统打全补丁，或者使用第三方工具给系统打补丁；
如果仍有问题，请使用SREng重新扫描日志，将日志上传，并详细描述新的问题现象。

【回复“lqqk7”的帖子】

请问一下
我的机子昨天已经重装了系统
现在机子上没有杀毒软件
而且我的XP不敢更新  不是正版
在上述操作结束后还能那样做吗？

建议装个杀毒软件

【回复“lqqk7”的帖子】
XDelBox1.6。已经下载了

可是打不开

【回复“lqqk7”的帖子
使用时一定拔掉所有移动存储设备，将下面分隔线中的的文件信息全部复制，然后打开Xdelbox直接使用右键菜单的“剪贴板导入不检查路径”导入，勾选“抑制再生”、“驱动安全删除模式”、“备份文件”，最后选择右键菜单的“立刻重启删除”
我按照你说的那样点了
可是机子并没有重起啊
这是为什么？  在使用你说的方法之前我先用AVG删除了显示的病毒

使用时一定拔掉所有移动存储设备，将下面分隔线中的的文件信息全部复制，然后打开Xdelbox直接使用右键菜单的“剪贴板导入不检查路径”导入，勾选“抑制再生”、“驱动安全删除模式”、“备份文件”，最后选择右键菜单的“立刻重启删除”
我按照你说的那样点了
可是机子并没有重起啊
这是为什么？  在使用你说的方法之前我先用AVG删除了显示的病毒