瑞星卡卡安全论坛

问题如题目，提供日志，拜托

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.1.4322)


附件: 10102112008130180403.txt

1.用XDelBox以抑制再生方式删除以下文件：(XDelBox1.6下载)
使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\system32\hddguard.dll
c:\docume~1\admini~1\locals~1\temp\tmp15.tmp
c:\windows\system32\fat32.sys
c:\windows\system32\drivers\msacpe.sys
c:\windows\system32\drivers\pcihdd2.sys
c:\windows\system32\drivers\cmbprotector.dat
c:\program files\internet explorer\plugins\nvsys_55.sys

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
注意该项[Userinit]修改：把<C:\WINDOWS\system32\userinit.exe,>修改为<C:\WINDOWS\system32\userinit.exe,>逗号不可省略

    启动项目 －－ 服务－－ 驱动程序之如下项禁用：
[WL / WL]   
[PciHardDisk / PciHardDisk]   
[mseqsy / mseqsy] 
[DeepFree Update / DeepFree Update]   
 
    系统修复－－　浏览器加载项之如下项删除：
[]
  {471B15AD-7A9C-491D-9C19-4E15B12DCE00}
[]
  {471B15AD-7A9C-491D-9C19-4E15B12DCE00}

补充楼上：怀疑C:\WINDOWS\system32\userinit.exe已经被病毒替换，建议楼主参阅“超级游戏迷”的帖子处理：http://forum.ikaka.com/topic.asp?board=3&artid=8422652

按照二楼的前辈指点有如下问题；1.列表中有3个文件总是删不掉。2.USERINIT.EXE在SRENG里面找不到。附上现在新的日志，请给诊断一下。多谢

附件: 10102112008130195935.txt

引用:

【天上一只碗的贴子】按照二楼的前辈指点有如下问题；1.列表中有3个文件总是删不掉。2.USERINIT.EXE在SRENG里面找不到。附上现在新的日志，请给诊断一下。多谢 ………………

lz指的是CAPT.joe的回帖吗？
清除此病毒的关键是将已经被病毒替换的文件C:\WINDOWS\system32\userinit.exe，重新换成正常的系统文件。
再次建议lz参考“超级游戏迷”的帖子处理：http://forum.ikaka.com/topic.asp?board=3&artid=8422652
反毒版置顶帖
http://forum.ikaka.com/topic.asp?board=28&artid=8417665
一楼附件有干净的系统文件供下载。

误会，我是按照豪斯登堡新郎的做法，如何才能杀干净呢

二楼说的对    这段话忘了复制过来了


从c:\windows\system32\dllcache\下复制userinit.exe文件替换c:\windows\system32\下原文件（提示：c:\windows\system32\dllcache\该文件需要在文件夹选项-查看中反选隐藏系统保护文件项和选中显示所有文件项方可显示，替换前调用任务管理器结束其进程）

我的EXLORER.EXE文件删除不掉，进程中已经结束了但是删除后4-5秒会自动出现一个新的EXPLORER.EXE文件。现在问题还是没有解决。IE的临时文件都删除了，但是用XDELBOX还是删除不干净，显示有文件存在。

引用:

【天上一只碗的贴子】我的EXLORER.EXE文件删除不掉，进程中已经结束了但是删除后4-5秒会自动出现一个新的EXPLORER.EXE文件。现在问题还是没有解决。IE的临时文件都删除了，但是用XDELBOX还是删除不干净，显示有文件存在。 ………………

从日志来看，lz的EXPLORER.EXE文件是正常的系统文件，不必替换！
至于“但是用XDELBOX还是删除不干净，显示有文件存在”，建议楼主辨认是否是XDELBOX建立的免疫文件夹（即“抑制再生”功能的结果）。如果确实是文件而不是文件夹，则有可能还有病毒同伙存在。若是如此，建议冲扫日志上传。

果然还是需要重新把日志传上来，请各位大侠过目。使用XDELBOX的时候是应该选择抑制再生的选项吧？

附件: 1010211200813192158.txt

目前电脑中的userinit.exe文件仍是病毒文件，元凶仍在作乱。建议lz到反毒版置顶帖http://forum.ikaka.com/topic.asp?board=28&artid=8417665
下载一楼附件中干净的系统文件userinit.exe。然后按Ctrl+Alt+Del三键，调出任务管理器，进程--找到userinit.exe进程并结束该进程。将下载的干净的userinit.exe文件复制，粘贴到C:\WINDOWS\system32\目录下（如果系统出现提示框的话，选择“是”强行替换），再粘贴到c:\windows\system32\dllcache\目录下（因为此处的备份文件也是被病毒文件感染了）

然后
打开SREng-在"启动项目->注册表->删除以下启动项目
[ppshell]    <; >
在"启动项目->服务->驱动程序"选中"隐藏已认证的微软服务" 然后将下面名称的服务删除（选中有问题的服务后，点“删除服务”，点“设置”按钮即可。 注意弹出的窗口中要点 “NO 否”才是确认删除服务）(不能删除的就禁用:启动类型改为disabled,点中修改启动类型，点设置):
[WL / WL]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp15.tmp>
[PciHardDisk / PciHardDisk]    <\??\C:\WINDOWS\system32\fat32.sys>
[mseqsy / mseqsy]    <\??\C:\WINDOWS\system32\DRIVERS\msacpe.sys>
[DeepFree Update / DeepFree Update]    <\??\C:\WINDOWS\system32\drivers\pcihdd2.sys>