瑞星卡卡安全论坛

本人电脑水平很次，中了AV终结者（看上去象）开机之后关闭所有杀毒软件，包括查毒的，但是我可以进安全模式。我下了金山AV专杀，确实查出一个就8749.b的文件。要求重起。在重起之前我发现杀毒软件依然无法启动。在安全模式下情况一样。上网正常。金山瑞星的网站不会被关闭。请问各位高手我应该怎么办？装有还原精灵但同样无法使用。

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; TencentTraveler )

扫SRENG日志发来
http://download.kztechs.com/files/sreng2.zip
下载System Repair Engineer
1 解压缩sreng2.zip
2 运行SREng.exe  ((将SREng.exe改名为123.com运行))
3 智能扫描=》扫描=》保存报告
4 把报告保存后，直接将日志内容彻底复制到一个空记事本里，然后再保存，就可以以附件的形式发来了。
一定以附件形式发来

已经按楼上的做了。报告见附件

附件: 10106402008131205057.txt

作好准备后，一定要断网处理，不然不能成功。

你只有用Xdelbox这个工具去删除这些文件了。
下载XDELBOX，地址和使用方法：
http://forum.ikaka.com/topic.asp?board=28&artid=8381032
Xdelbox下载：http://www.dodudou.com/down/里面的原创软件文件夹下载那个1.6版本的，使用时一定拔掉所有移动存储设备。
将下面的文件信息全部复制，然后打开Xdelbox直接使用右键菜单的“剪贴板导入不检查路径”导入，并全选文件选择右键菜单的“立刻重启删除”

C:\WINDOWS\WSockDrv32.exe
C:\WINDOWS\DbgHlp32.exe
C:\WINDOWS\NVDispDRV.EXE
C:\WINDOWS\cmdbcs.exe
C:\WINDOWS\upxdnd.exe
C:\WINDOWS\MsIMMs32.exE
C:\WINDOWS\LotusHlp.exe
C:\WINDOWS\AVPSrv.exE
C:\WINDOWS\PTSShell.exe
C:\WINDOWS\system32\LYLoader.exe
C:\WINDOWS\system32\LYLoadbr.exe
C:\WINDOWS\system32\LYLeador.exe
C:\WINDOWS\system32\LYLoador.exe
C:\WINDOWS\system32\LYLoadar.exe
C:\WINDOWS\system32\LYLoadmr.exe
C:\WINDOWS\system32\LYLoadhr.exe
C:\WINDOWS\system32\LYLoadqr.exe
C:\WINDOWS\system32\Wisin.exe
C:\WINDOWS\Fonts\rsjzbpm.dll
C:\WINDOWS\system32\QAA_XPTYJ_1007.dll
C:\WINDOWS\system32\OAA_OAA_1009.dll
C:\WINDOWS\Fonts\rarjfpi.dll
C:\WINDOWS\system32\IGB_CQSJ_1018.dll
C:\WINDOWS\system32\IGB_TMZ_1025.dll
C:\WINDOWS\system32\drivers\ati32srv.sys
C:\WINDOWS\system32\drivers\pcihdd2.sys
C:\WINDOWS\system32\DRIVERS\msaclue.sys
C:\WINDOWS\system32\TesSafe.sys
C:\WINDOWS\system32\LYMANGR.DLL
C:\WINDOWS\system32\cmdbcs.dll
C:\WINDOWS\system32\mqpfmh.dll
C:\WINDOWS\system32\hidmln.dll
C:\WINDOWS\system32\biamje.dll
C:\WINDOWS\system32\cnjdumkwow.dll
C:\WINDOWS\system32\flkpjgazx.dll
C:\WINDOWS\system32\arfehs.dll
C:\WINDOWS\system32\dyozyp.dll
C:\WINDOWS\system32\axtgah.dll
C:\WINDOWS\system32\auraao.dll
C:\WINDOWS\system32\nntqcikwm.dll
C:\WINDOWS\system32\kyqeig.dll
C:\WINDOWS\system32\ovbkkinwm.dll
C:\WINDOWS\system32\olyaitwqj.dll
C:\WINDOWS\system32\ntnidgkdj.dll
C:\WINDOWS\system32\mrblyiazyzj.dll
C:\WINDOWS\Fonts\rsjzbpm.dll
C:\WINDOWS\Fonts\rarjfpi.dll
C:\WINDOWS\system32\IGB_TMZ_1025.dll
C:\WINDOWS\system32\IGB_CQSJ_1018.dll
C:\WINDOWS\system32\gnaixnauhqq.dll
C:\WINDOWS\system32\niluw.dll
C:\WINDOWS\system32\xhtd.dll
C:\WINDOWS\system32\vlihzouhgnfe.dll
C:\WINDOWS\system32\nuygnef.dll

重启计算机以后 会有两个系统进入的选择的倒计时界面
第一个是你原来的windows系统
第二个是这个软件给你设定的dos系统
系统会自动选择进入第二个系统
类似dos的界面滚动完毕以后 病毒就被删除了
之后会自动重启进入正常模式
进入系统后，再做下面的：
————————————————————————————————————————
从下面项，可看出系统文件userinit.exe已被病毒替换，可以去C:\WINDOWS\system32\dllcache文件夹里找userinit.exe文件，复制到C:\WINDOWS\system32文件夹里替换。或者在附件里下载，那是我这XP系统里的userinit.exe文件。替换前先结束Userinit.exe进程。没进程就直接替换。
启动项目
注册表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <Userinit><C:\WINDOWS\system32\Userinit.exe>  []
————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除：
启动项目
注册表
    <WSockDrv32><C:\WINDOWS\WSockDrv32.exe>  []
    <DbgHlp32><C:\WINDOWS\DbgHlp32.exe>  []
    <NVDispDrv><C:\WINDOWS\NVDispDRV.EXE>  []
    <cmdbcs><C:\WINDOWS\cmdbcs.exe>  []
    <upxdnd><C:\WINDOWS\upxdnd.exe>  []
    <MsIMMs32><C:\WINDOWS\MsIMMs32.exE>  []
    <LotusHlp><C:\WINDOWS\LotusHlp.exe>  []
    <AVPSrv><C:\WINDOWS\AVPSrv.exE>  []
    <PTSShell><C:\WINDOWS\PTSShell.exe>  []
    <MSDEG32><LYLoader.exe>  []
    <MSDWG32><LYLoadbr.exe>  [N/A]
    <MSDCG32><LYLeador.exe>  [N/A]
    <MSDOG32><LYLoador.exe>  [N/A]
    <MSDSG32><LYLoadar.exe>  [N/A]
    <MSDMG32><LYLoadmr.exe>  [N/A]
    <MSDHG32><LYLoadhr.exe>  [N/A]
    <MSDQG32><LYLoadqr.exe>  [N/A]
    <Wisin><C:\WINDOWS\system32\Wisin.exe>  [Microsoft Corporation]
    <{22FAACDE-34DA-CCD4-AB4D-DA34485A3422}><C:\WINDOWS\Fonts\rsjzbpm.dll>  []
    <{8b6b7f5a-9327-4539-b5f0-3344726690de}><C:\WINDOWS\system32\QAA_XPTYJ_1007.dll>  [N/A]
    <{fb7b7d12-095f-41a2-89a0-fb652a14689d}><C:\WINDOWS\system32\OAA_OAA_1009.dll>  [N/A]
    <{6598FF45-DA60-F48A-BC43-10AC47853D56}><C:\WINDOWS\Fonts\rarjfpi.dll>  []
    <{882b9d3d-0b9e-4398-89b8-8b65ea04e904}><C:\WINDOWS\system32\IGB_CQSJ_1018.dll>  []
    <{57034a0c-a6c1-4209-a47f-14c3b826dd1e}><C:\WINDOWS\system32\IGB_TMZ_1025.dll>  []
————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》驱动程序》里面找下面项删除
==================================
驱动程序
[ATI2HDDSRV / ATI2HDDSRV][Running/Manual Start]
  <\??\C:\WINDOWS\system32\drivers\ati32srv.sys><N/A>

[DeepFree Update / DeepFree Update][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32\drivers\pcihdd2.sys><N/A>

[msskye / msskye][Running/Auto Start]
  <system32\DRIVERS\msaclue.sys><N/A>

[TesSafe / TesSafe][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32\TesSafe.sys><TENCENT>
————————————————————————————————————
再重启电脑，升级杀毒软件至最新版本，全盘杀毒。

这里官网下载Windows清理助手，清理你那系统。
http://www.arswp.com/



附件: 8390772008131214305.rar

机器狗……壮观的木马群

楼主咨询一下瑞星在线专家门诊，瑞星在线专家门诊很方便：http://help.rising.com.cn/help/RSZX.html 

已经按3楼的做了。确实将AV杀掉了。金山已经可以正常使用了。不过出了点情况，就是：要求删除的4个驱动程序，第一个没找到。后面三个有是有。不过点删除的时候SREngPS提示操作被取消。请问这该如何解决？另外XdelBOX的保护应如何进行呢？

什么XdelBOX的保护？？？？？？？？

不知道你说什么。

至于SREngPS提示操作被取消，那是你选择删除后，没注意看提示，习惯性点了是。

实际提示那里可能有点绕人，看仔细了。耐心慢慢看。

有关XdelBOX的使用帖子中提到XdelBOX 也是EXE。所以遇上感染EXE的病毒就比较麻烦。所以要我们注意平时的保护。我不是很明白这保护应该如何进行？

刚才去看了SREngPS。刚启动就提示我的什么USERINIT非正常值，可是昨晚我确实将dllcache中的USERINIT的文件把SYSTEM32中的那个替换掉了。为什么还会有这样的情况出现呢？

开始运行regedit打开注册表编辑器，依次找到HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon，在右边找到Userinit 项，右键修改其值为括号里的：（C:\WINDOWS\system32\Userinit.exe，）  注意，逗号不能少

引用:

【绯村剑路2的贴子】有关XdelBOX的使用帖子中提到XdelBOX 也是EXE。所以遇上感染EXE的病毒就比较麻烦。所以要我们注意平时的保护。我不是很明白这保护应该如何进行？ ………………

平时可以将这些工具放在系统Windows文件夹里，一般病毒不感染这个文件夹里的可执行文件。

还有你根本不需要保留这个工具，要用时再去下载好了。

或者上传到你的网络邮箱里。

我现在再上传一次新的报告

附件: 1010640200822202920.txt

日志没有问题  楼主动手能里不错!~~

可以修复下HOSTS文件

看不出什么了

你还有什么问题？？？？？？？？

引用:

【豪斯登堡新郎的贴子】日志没有问题  楼主动手能里不错!~~ 可以修复下HOSTS文件 ………………

请问这个应该如何操作？
我的问题是没有了。不过开机的时候总是有一个文件夹弹出来。另外我系统有3个补丁打不上。
名称分别是：MS04-028 MS-OFFICE-2003-SP3（这两个好像下载下来之后安装都是同一个。然后安装的时候说找不到源文件。要让我自己键入路径。）KB907417（这个嘛。安装结束后重起，再检查发现漏洞依然存在。）不知道该如何解决~
请大家帮帮忙。小弟这里先谢过了~

引用:

【绯村剑路2的贴子】 请问这个应该如何操作？ 我的问题是没有了。不过开机的时候总是有一个文件夹弹出来。另外我系统有3个补丁打不上。 名称分别是：MS04-028 MS-OFFICE-2003-SP3（这两个好像下载下来之后安装都是同一个。然后安装的时候说找不到源文件。要让我自己键入路径。）KB907417（这个嘛。安装结束后重起，再检查发现漏洞依然存在。）不知道该如何解决~ 请大家帮帮忙。小弟这里先谢过了~ ………………

弹出来的文件夹是哪个？？？？抓个图来噢。

至于补丁，最好在管理员权限下打补丁。

是文件夹的样子。不过名称是Wisin.exe。里面是空的。

再扫个新日志来

在你的启动项目里，可能有这个Wisin.exe的启动项，删除就行了。

新日志见附件。

附件: 1010640200824212832.txt

————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除：
启动项目
注册表
    <Wisin><C:\WINDOWS\system32\Wisin.exe>  []
————————————————————————————————————
重启电脑再看怎样

好了，没有问题了。谢谢你了。

看了帖子后，感觉天月是美女
尽管听说是个帅哥

【回复“天月来了”的帖子】版主好啊。我的电脑也好像中了av，用金山的av专杀n次后，杀掉许多病毒，可是也是有8794.b，要求重启。重启也不行。所有的杀毒软件安装不了，所有的杀毒网站打不开。用金山的av专杀扫出现：
C:\WINDOWS\system32\aySAC1025.dll\UPack
Found Virus:Win32.Troj.OnlineGameT.69632...Delete fail!
C:\WINDOWS\system32\ayNNBNNB1040.dll\UPack
Found Virus:Win32.Troj.OnlineGameT.69632...Delete fail!
我本来要扫sreng日志上来，可是一运行steng就出现一个窗口：
应用程序发生异常 未知的软件异常（0*c0000409），位置为0*7c936310
请天月版主看看怎么回事，不胜感激~~~~