瑞星卡卡安全论坛

1。安全模式被破坏，无法进入。
2。卡卡安全助手无法自启动。
3。众多专杀无法启动，甚至是扫描软件，如SRENG。双击运行则.EXE文件自动删除。
4。字体库貌似被破坏，KUGOO启动显示乱码

一。
监控中心一直截获Trojan.PSW.Win32.GamesOnline.jc或类似的变种病毒。或者是Trojan.PSW.Win32.OnlineGAME.或者Trojan.PSW.Win32.GamesOL.这3种软件的大量变种。
二。
在c:\widows\system32\driver\下生成1~20.exe 1~20.txt
三。
同时有拼音倒写病毒，如uohsom.dll等等类似网络游戏盗号程序。c:\widows\system32\下有大量类似IGB_CQSJ_1022.exe以IGB开头的EXE程序。
求助了。

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Mozilla/4.0(Compatible Mozilla/4.0(Compatible-EmbeddedWB 14.59 http://bsalsa.com/ EmbeddedWB- 14.59  from: http://bsalsa.com/ ; Maxthon)

我也是中了机器狗，瑞星启动不了，哎~~你还是重装吧

把防火墙的模块功能打开，然后重启，重启后一路拒绝。再用杀软杀毒。

【回复“LMhust”的帖子】
恩。我是这么一路拒绝的
可是那么多病毒。RISING只杀了3个
Logfile of HijackThis v1.99.1
Scan saved at 12:32:12, on 2008-1-26
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
f:\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
F:\RISING\RAV\Ravmond.exe
f:\Rising\Rfw\rfwsrv.exe
f:\Rising\Rfw\rfwProxy.exe
F:\RISING\RAV\RavStub.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\conime.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\spoolsv.exe
F:\RISING\RAV\RavMon.exe
F:\USBCleaner6.0\usbmon.exe
f:\Rising\Rfw\RfwMain.exe
F:\Rising\Rav\RavTask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\attrib.exe
F:\Maxthon\Maxthon.exe
F:\Winamp\Winamp.exe
F:\Thunder\Program\Thunder5.exe
D:\TDDOWNLOAD\hijackthis.exe

F2 - REG:system.ini: UserInit=userinit.exe,
O2 - BHO: Thunder AtOnce - {01443AEC-0FD1-40fd-9C87-E93D1494C233} - F:\Thunder\ComDlls\TDAtOnce_Now.dll
O2 - BHO: ThunderBHO - {889D2FEB-5411-4565-8998-1DD2C5261283} - F:\Thunder\ComDlls\xunleiBHO_Now.dll
O2 - BHO: (no name) - {9963387B-212E-4643-B207-82DAEA0E713D} - C:\Program Files\Internet Explorer\PLUGINS\Wn_Sys8x.Sys
O3 - Toolbar: 卡卡上网安全助手 - {DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} - C:\WINDOWS\system32\kakatool.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [USBMon] F:\USBCleaner6.0\usbmon.exe
O4 - HKLM\..\Run: [RavTask] "f:\Rising\Rav\RavTask.exe" -system
O4 - HKLM\..\Run: [RfwMain] "f:\Rising\Rfw\rfwmain.exe" -Startup
O4 - HKLM\..\Run: [cmdbcs] C:\WINDOWS\cmdbcs.exe
O4 - HKLM\..\RunOnce: [KKDelay] F:\Rising\AntiSpyware\RunOnce.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: 使用iTudou下载节目 - F:\Tudou\iTudou\iTudou_Link.HTM
O8 - Extra context menu item: 使用迅雷下载 - F:\Thunder\Program\geturl.htm
O8 - Extra context menu item: 使用迅雷下载全部链接 - F:\Thunder\Program\getallurl.htm
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://F:\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: 添加到QQ表情 - f:\Tencent\QQ\AddEmotion.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{EFE46161-CACA-4BEE-A99B-9D7C62C15482}: NameServer = 218.85.157.99 202.101.107.54
O18 - Protocol: KuGoo - {6AC4FBC7-AA38-45EC-9634-D6D20B679EFC} - C:\WINDOWS\system32\KuGoo3DownXControl.ocx
O18 - Protocol: KuGoo3 - {6AC4FBC7-AA38-45EC-9634-D6D20B679EFC} - C:\WINDOWS\system32\KuGoo3DownXControl.ocx
O20 - AppInit_DLLs: gnefnaib.dll,rj.dll,aixauh.dll,nuygnef.dll,jmx.dll,oadgnohiac.dll,dgzg.dll,vlihzouhgnfe.dll,sfhx.dll,ijougiemnaw.dll,fmxh.dll,2ty.dll,wtwx.dll,gnaixnauhuoyizqq.dll,gnaixnauhqq.dll,2nauygniqaixnaij.dll,naijihzeuyouhz.dll,iemnaw.dll,eve.dll,ddtj.dll,naijoad.dll,jsfg.dll,zqhs.dll,niluw.dll,naixuhz.dll,jsqc.dll,qcsct.dll,QQ.dll,utgnehz.dll,nauhgnem.dll,nahzij.dll,fz.dll,hz.dll,iqnauhc.dll,3auhad.dll,xhtd.dll,uohsom.dll,uyom.dll,gnolnait.dll,oadnew.dll,ijiq.dll,gsqq.dll,uyomielnux.dll,hjxr.dll,auhad.dll,wtiemnaw.dll,dqncj.dll,lnaixnauhqq.dll,mnauygniqaixnaij.dll,fyom.dll,gnolnait.dll,hjiq.dll,bz.dll,bauhgnem.dll,cuhad.dll,vhqq.dll,gmx.dll,htwx.dll,idtj.dll,duygnef.dll,eohsom.dll,mhtd.dll,nadgnohiac.dll,oqnauhc.dll,pahzij.dll,qnefnaib.dll,rsqq.dll,zadnew.dll,agzg.dll,atgnehz.dll,rfhx.dll,sve.dll,tsqc.dll,utiemnaw.dll,wQ.dll,ej.dll,fmxh.dll,knaixnauhuoyizqq.dll,kiluw.dll,laixuhz.dll,uixauh.dll,jemnaw.dll,jz.dll,pyomielnux.dll,qlihzouhgnfe.dll,cty.dll,dsfg.dll,vauyiqvlnaix.dll,ijougiemnaw.dll,sauh
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: Rising Proxy  Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - f:\Rising\Rfw\rfwProxy.exe
O23 - Service: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Co., Ltd. - f:\Rising\Rfw\rfwsrv.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - f:\Rising\Rav\CCenter.exe
O23 - Service: Rising RealTime Monitor (RsRavMon) - Beijing Rising Technology Co., Ltd. - F:\RISING\RAV\Ravmond.exe

这是HIJACKTHIS的扫描。只有这个扫描软件能用

机器狗已经成为中毒者家常便饭了。


扫SRENG日志发来
http://download.kztechs.com/files/sreng2.zip
下载System Repair Engineer
1 解压缩sreng2.zip
2 运行SREng.exe
3 智能扫描=》扫描=》保存报告
4 把报告保存后，直接将日志内容彻底复制到一个空记事本里，然后再保存，就可以以附件的形式发来了。
一定以附件形式发来

【回复“天月来了”的帖子】我也想。。
但是在我这SRENG根本打不开

将SREng.exe改名为123.com运行试试。

【回复“天月来了”的帖子】
不行。。。

天啊。我可不想重做系统

AppInit_DLLs: gnefnaib.dll,rj.dll,aixauh.dll,nuygnef.dll,jmx.dll,oadgnohiac.dll,dgzg.dll,vlihzouhgnfe.dll,sfhx.dll,ijougiemnaw.dll,fmxh.dll,2ty.dll,wtwx.dll,gnaixnauhuoyizqq.dll,gnaixnauhqq.dll,2nauygniqaixnaij.dll,naijihzeuyouhz.dll,iemnaw.dll,eve.dll,ddtj.dll,naijoad.dll,jsfg.dll,zqhs.dll,niluw.dll,naixuhz.dll,jsqc.dll,qcsct.dll,QQ.dll,utgnehz.dll,nauhgnem.dll,nahzij.dll,fz.dll,hz.dll,iqnauhc.dll,3auhad.dll,xhtd.dll,uohsom.dll,uyom.dll,gnolnait.dll,oadnew.dll,ijiq.dll,gsqq.dll,uyomielnux.dll,hjxr.dll,auhad.dll,wtiemnaw.dll,dqncj.dll,lnaixnauhqq.dll,mnauygniqaixnaij.dll,fyom.dll,gnolnait.dll,hjiq.dll,bz.dll,bauhgnem.dll,cuhad.dll,vhqq.dll,gmx.dll,htwx.dll,idtj.dll,duygnef.dll,eohsom.dll,mhtd.dll,nadgnohiac.dll,oqnauhc.dll,pahzij.dll,qnefnaib.dll,rsqq.dll,zadnew.dll,agzg.dll,atgnehz.dll,rfhx.dll,sve.dll,tsqc.dll,utiemnaw.dll,wQ.dll,ej.dll,fmxh.dll,knaixnauhuoyizqq.dll,kiluw.dll,laixuhz.dll,uixauh.dll,jemnaw.dll,jz.dll,pyomielnux.dll,qlihzouhgnfe.dll,cty.dll,dsfg.dll,vauyiqvlnaix.dll,ijougiemnaw.dll,sauh

不知道病毒作者想干什么，汗……

不想重装的话，可以启动进入DOS手工删除楼上给出的在system32下的病毒文件，然后重启进入安全模式，应该可以用SREng了

用附件中这个工具扫个日志来。

直接放在桌面上运行。

楼主不好意思，插个楼

天月，我的机子天天都能在C:\Documents and Settings\Administrator\Local Settings\Temp扫出病毒，文件名都是tmp**.tmp,这个怎么弄，而且这些文件都是中病毒那天出来的，杀不净

来了天月~~

附件: 2503882008126134854.txt

找我发的工具，有IS反劫持！！！

看你运气了
做好所有准备后，一定要断网处理，不然不能成功。（机器狗好烦的）

你只有用Xdelbox这个工具去删除这些文件。
Xdelbox下载：http://www.dodudou.com/down/里面的原创软件文件夹下载那个1.6版本的。
下载后
解压所有文件到一个文件夹,（一定要解压出来运行，不要懒）运行xdelbox前请卸载所有可移动存储设备。
将下面的文件信息全部复制，然后打开Xdelbox,勾选“抑制文件再生”，直接使用右键菜单的“剪贴板导入不检查路径”导入，并全选文件选择右键菜单的“立刻重启删除”

c:\windows\system32\dnpmbfdev.exe
c:\windows\dnpmbfdev.exe
c:\windows\system32\drivers\msaclue.sys
E:\autorun.inf
E:\AutoRun.exe
C:\WINDOWS\system32\utgnehz.dll
C:\WINDOWS\system32\jjnmdmlcd.dll
C:\WINDOWS\system32\bbfeveduv.dll
C:\WINDOWS\system32\nnrqhqpgh.dll
C:\WINDOWS\system32\72552.dat
C:\Program Files\Internet Explorer\PLUGINS\Wn_Sys8x.Sys
C:\WINDOWS\mfrjcqbz.dll
C:\WINDOWS\uksjpfnr.dll

重启计算机以后 会有两个系统进入的选择的倒计时界面
第一个是你原来的windows系统
第二个是这个软件给你设定的dos系统
系统会自动选择进入第二个系统
此时不要进行任何操作
之后会自动重启进入正常模式
进入系统后，再做下面的：
————————————————————————————————————————————————
去C:\WINDOWS\system32\dllcache文件夹里找userinit.exe文件，复制到C:\WINDOWS\system32文件夹里替换。替换前先结束Userinit.exe进程。
————————————————————————————————————————————————
替换后再立即重启电脑，用SRENG工具扫日志。

这时就可以尝试连网了。

C:\WINDOWS\system32\dllcache文件夹你可能难以找到，因为是隐藏的系统的属性，可以用解压工具WinRAR依路径打开找

引用:

【天月来了的贴子】看你运气了 做好所有准备后，一定要断网处理，不然不能成功。（机器狗好烦的） 你只有用Xdelbox这个工具去删除这些文件。 Xdelbox下载：http://www.dodudou.com/down/里面的原创软件文件夹下载那个1.6版本的。 下载后 解压所有文件到一个文件夹,（一定要解压出来运行，不要懒）运行xdelbox前请卸载所有可移动存储设备。 将下面的文件信息全部复制，然后打开Xdelbox,勾选“抑制文件再生”，直接使用右键菜单的“剪贴板导入不检查路径”导入，并全选文件选择右键菜单的“立刻重启删除” c:\windows\system32\dnpmbfdev.exe c:\windows\dnpmbfdev.exe c:\windows\system32\drivers\msaclue.sys E:\autorun.inf E:\AutoRun.exe C:\WINDOWS\system32\utgnehz.dll C:\WINDOWS\system32\jjnmdmlcd.dll C:\WINDOWS\system32\bbfeveduv.dll C:\WINDOWS\system32\nnrqhqpgh.dll C:\WINDOWS\system32\72552.dat C:\Program Files\Internet Explorer\PLUGINS\Wn_Sys8x.Sys C:\WINDOWS\mfrjcqbz.dll C:\WINDOWS\uksjpfnr.dll 重启计算机以后 会有两个系统进入的选择的倒计时界面 第一个是你原来的windows系统 第二个是这个软件给你设定的dos系统 系统会自动选择进入第二个系统 此时不要进行任何操作 之后会自动重启进入正常模式 进入系统后，再做下面的： ———————————————————————————————————————————————— 去C:\WINDOWS\system32\dllcache文件夹里找userinit.exe文件，复制到C:\WINDOWS\system32文件夹里替换。替换前先结束Userinit.exe进程。 ———————————————————————————————————————————————— 替换后再立即重启电脑，用SRENG工具扫日志。 这时就可以尝试连网了。 ………………

除此之外，当前用户临时文件夹内可能还有N个.tmp，也是病毒文件，需要删除。

等扫SRENG日志呢。

那些东西我老忘了。呵呵！！！！


半天了，楼主怎么还不来？？？

难道删除的模块文件里有涉及Winsock的？？？

导致不能再连网了？？？

请参考
http://forum.ikaka.com/topic.asp?board=28&artid=8420253&page=1