瑞星卡卡安全论坛

删除不了的病毒trojan.psw.avx啊，，， 在C:\WINDOWS\SYSTEM32\WBEM\5501\SVCHOST.EXE
log在附件，哪位大侠能帮帮我啊，谢谢！！！！

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon; .NET CLR 1.1.4322)


附件: 946133200834151041.txt

这几个文件搞搞去
c:\windows\system32\com\ttvvabfmh.dll
c:\windows\system32\usmt\rkwrvnbnl.dll
C:\WINDOWS\SYSTEM32\WBEM\5501\SVCHOST.EXE
C:\WINDOWS\system32\lwiccwlsys16_080226.dll
C:\WINDOWS\system32\inf\svchosts.exe

————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除：
Boot Items
Registry
    <ccwl><C:\WINDOWS\system32\inf\svchosts.exe C:\WINDOWS\system32\lwiccwlsys16_080226.dll start>  [N/A]
——————————————————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》Win32服务应用程序》里面找下面项删除
==================================
Services
[Secondary Logon / seclogon][Running/Auto Start]
  <C:\WINDOWS\System32\svchost.exe -k netsvcs-->c:\windows\system32\com\ttvvabfmh.dll><N/A>
————————————————————————————————————
再重启电脑，

可疑的文件：
C:\WINDOWS\system32\inf\svchosts.exe
C:\WINDOWS\system32\lwiccwlsys16_080226.dll
C:\Program Files\WinPcap\rpcapd.exe
C:\Program Files\WinPcap\rpcapd.ini
C:\WINDOWS\System32\svchost.exe
c:\windows\system32\com\ttvvabfmh.dll

呀。。。。。版主比我快呀

谢谢大侠这么快回复 我照你说的做了  我用arswp查了一下还有那个病毒，而且还有另外一个
HKEY_LOCAL_MACHINE,SYSTEM\CURRENTCONTROLSET\SERVICES\W32TIME\PARAMETERS,SERVICEDLL,REG_EXPAND_SZ01%SYSTEMROOT%\SYSTEM32\W32TIME.DLL

psw.avx 跑到这里了：C:\WINDOWS\SYSTEM32\INF
怎么办大侠？

引用:

【eemartin的贴子】谢谢大侠这么快回复 我照你说的做了  我用arswp查了一下还有那个病毒，而且还有另外一个 HKEY_LOCAL_MACHINE,SYSTEM\CURRENTCONTROLSET\SERVICES\W32TIME\PARAMETERS,SERVICEDLL,REG_EXPAND_SZ01%SYSTEMROOT%\SYSTEM32\W32TIME.DLL psw.avx 跑到这里了：C:\WINDOWS\SYSTEM32\INF 怎么办大侠？ ………………

新的log。。谢谢大侠


附件: 946133200834163428.txt

——————————————————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》Win32服务应用程序》里面找下面项删除,或将启动类型改为“Disabled”
==================================
服务
[Windows Time / W32Time][Stopped/Auto Start]
  <C:\WINDOWS\system32\svchost.exe -k netsvcs-->c:\windows\system32\usmt\rkwrvnbnl.dll><N/A>
————————————————————————————————————
再重启电脑，没异常就行了

再有异常，去找arswp提示的东西删除。

大侠，搞定了，你们太厉害了！！呵呵 谢谢！！！