瑞星卡卡安全论坛

全盘查杀，有它，显示删除成功；

再杀时，就没有它了。

重启电脑再杀时，又有它了。

每次都有，如何彻底解决呢，特向论坛的高手们求教。

也可以加我QQ 50069555 详谈，不胜感激。

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; CNCDialer; WPS)

在线等各位前辈赐教

不胜感激

扫SRENG日志发论坛来
http://www.kztechs.com/sreng/download.html
下载System Repair Engineer
1 解压缩sreng2.zip
2 运行SREng.exe（（最好改个名运行，可以改为123.com））
3 智能扫描=》扫描=》保存报告
4 把报告保存后,将日志内容不遗漏任何一个字母复制到另一个新建的空记事本里保存，再以附件形式发论坛来。
一定要以附件形式发论坛来


4楼、5楼、6楼，是我按照上面做的，把日志贴上来了，请高手帮帮忙啊。

附件: 10395962008418133331.jpg

病毒路径？文件名？

[CODE]

2008-04-18,00:10:35

System Repair Engineer 2.5.16.900
Smallfrogs (http://www.KZTechs.com)

Windows XP Professional Service Pack 2 (Build 2600) - 管理权限用户 - 完整功能

以下内容被选中：
    所有的启动项目（包括注册表、启动文件夹、服务等）
    浏览器加载项
    正在运行的进程（包括进程模块信息）
    文件关联
    Winsock 提供者
    Autorun.inf
    HOSTS 文件
    进程特权扫描


启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <ctfmon.exe><C:\WINDOWS\system32\ctfmon.exe>  [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <switch><c:\windows\system32\壁纸自动换.exe>  []
    <NvCplDaemon><RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup>  [(Verified)Microsoft Windows Hardware Compatibility Publisher]
    <nwiz><nwiz.exe /install>  []
    <NvMediaCenter><RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit>  [(Verified)Microsoft Windows Hardware Compatibility Publisher]
    <racer><>  [N/A]
    <RTHDCPL><RTHDCPL.EXE>  [(Verified)Microsoft Windows Hardware Compatibility Publisher]
    <SkyTel><SkyTel.EXE>  [(Verified)Microsoft Windows Hardware Compatibility Publisher]
    <Alcmtr><ALCMTR.EXE>  [(Verified)Microsoft Windows Hardware Compatibility Publisher]
    <RavTask><"d:\Program Files\Rising\Rav\RavTask.exe" -system>  [(Verified)Beijing Rising Science and Technology Corporation Limited]
    <runeip><"C:\Program Files\Rising\AntiSpyware\runiep.exe" /startup>  [Beijing Rising Technology Co., Ltd.]
    <RfwMain><"d:\Program Files\Rising\Rfw\rfwmain.exe" -Startup>  [(Verified)BEIJING RISING SCIENCE AND TECHNOLOGY CORPORATION LIMITED]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]
    <KKDelay><C:\Program Files\Rising\AntiSpyware\RunOnce.exe>  [Beijing Rising Technology Co., Ltd.]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]

<Wingin><C:\WINDOWS\system32\Wingin.exe>  [Microsoft Corporation]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe>  [(Verified)Microsoft Windows Publisher]
    <Userinit><c:\windows\system32\userinit.exe>  [(Verified)Microsoft Windows Publisher]
    <UIHost><logonui.exe>  [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{32CD708B-60A7-4C00-9377-D73EAA495F0F}><C:\WINDOWS\system32\RavExt.dll>  [(Verified)Beijing Rising Science and Technology Corporation Limited]
    <{AC2DC2EF-5165-40A3-8CDF-41DCA1B0901A}><C:\WINDOWS\system32\shlhook.dll>  [Beijing Rising Technology Co., Ltd.]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
    <WPDShServiceObj><C:\WINDOWS\system32\WPDShServiceObj.dll>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\>{26923b43-4d38-484f-9b9e-de460746276c}]
    <Internet Explorer><%systemroot%\system32\shmgrate.exe OCInstallUserConfigIE>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\>{881dd1c5-3dcf-431b-b061-f3f88e8be88a}]
    <Outlook Express><%systemroot%\system32\shmgrate.exe OCInstallUserConfigOE>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{2C7339CF-2B09-4501-B3F3-F3508C9228ED}]
    <Themes Setup><%SystemRoot%\system32\regsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32\themeui.dll>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{44BBA840-CC51-11CF-AAFA-00AA00B6015C}]
    <Microsoft Outlook Express 6><"%ProgramFiles%\Outlook Express\setup50.exe" /APP:OE /CALLER:WINNT /user /install>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{44BBA842-CC51-11CF-AAFA-00AA00B6015B}]
    <NetMeeting 3.01><rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msnetmtg.inf,NetMtg.Install.PerUser.NT>  [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{5945c046-1e7d-11d1-bc44-00c04fd912be}]
    <Windows Messenger 4.7><rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msmsgs.inf,BLC.QuietInstall.PerUser>  [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{6BF52A52-394A-11d3-B153-00C04F79FAA6}]
    <Microsoft Windows Media Player><rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\wmp11.inf,PerUserStub>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{7790769C-0471-11d2-AF11-00C04FA35D02}]
    <通讯簿 6><"%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install>  [N/A]

==================================
启动文件夹
[Adobe Gamma Loader]
  <C:\Documents and Settings\All Users\「开始」菜单\程序\启动\Adobe Gamma Loader.lnk --> C:\PROGRA~1\COMMON~1\Adobe\CALIBR~1\ADOBEG~1.EXE [Adobe Systems, Inc.]><N>

==================================
服务
[Adobe LM Service / Adobe LM Service][Stopped/Manual Start]
  <"C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe"><>
[Human Interface Device Access / HidServ][Stopped/Disabled]
  <C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\hidserv.dll><N/A>
[Kingsoft Personal Firewall Service / KPfwSvc][Stopped/Auto Start]
  <"d:\Program Files\Kingsoft\Kingsoft Internet Security 2008\KPfwSvc.EXE"><N/A>
[Kingsoft Antivirus KWatch Service / KWatchSvc][Stopped/Auto Start]
  <"d:\Program Files\Kingsoft\Kingsoft Internet Security 2008\KWatch.EXE"><N/A>
[NVIDIA Display Driver Service / NVSvc][Running/Auto Start]
  <C:\WINDOWS\system32\nvsvc32.exe><NVIDIA Corporation>
[Qvod Terminal / Qvod Terminal][Running/Auto Start]
  <d:\Program Files\QvodPlayer\QvodTerminal.exe><Shenzhen QVOD Technology Co.,Ltd>
[Rising Process Communication Center / RsCCenter][Running/Auto Start]
  <"d:\Program Files\Rising\Rav\CCenter.exe"><Beijing Rising Technolog

引用:

【完美的瞬的贴子】 ================================== 启动文件夹 [Adobe Gamma Loader]   <C:\Documents and Settings\All Users\「开始」菜单\程序\启动\Adobe Gamma Loader.lnk --> C:\PROGRA~1\COMMON~1\Adobe\CALIBR~1\ADOBEG~1.EXE [Adobe Systems, Inc.]><N> ================================== 服务 [Adobe LM Service / Adobe LM Service][Stopped/Manual Start]   <"C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe"><> [Human Interface Device Access / HidServ][Stopped/Disabled]   <C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\hidserv.dll><N/A> [Kingsoft Personal Firewall Service / KPfwSvc][Stopped/Auto Start]   <"d:\Program Files\Kingsoft\Kingsoft Internet Security 2008\KPfwSvc.EXE"><N/A> [Kingsoft Antivirus KWatch Service / KWatchSvc][Stopped/Auto Start]   <"d:\Program Files\Kingsoft\Kingsoft Internet Security 2008\KWatch.EXE"><N/A> [NVIDIA Display Driver Service / NVSvc][Running/Auto Start]   <C:\WINDOWS\system32\nvsvc32.exe><NVIDIA Corporation> [Qvod Terminal / Qvod Terminal][Running/Auto Start]   <d:\Program Files\QvodPlayer\QvodTerminal.exe><Shenzhen QVOD Technology Co.,Ltd> [Rising Process Communication Center / RsCCenter][Running/Auto Start]   <"d:\Program Files\Rising\Rav\CCenter.exe"><Beijing Rising Technolog ………………

附件: 1039596200841803051.txt

【回复“完美的瞬”的帖子】]


大侠帮帮忙啊，谢谢了

先下载工具：
windows清理助手下载：http://www.arswp.com/download.html
XDelBox下载：http://www.dodudou.com/down/    打开后选择【原创软件】，下载XDelBox1.6。
清理临时文件工具ATF-Cleaner-cn下载：http://www.qispace.com.cn/attachment.php?fid=34
———————————————————————————————————————
务必断开网络链接后再进行以下操作；
———————————————————————————————————————
使用XDelBox删除以下文件：
XDelBox使用方法：http://forum.ikaka.com/topic.asp?board=28&artid=8381032
使用时一定拔掉所有移动存储设备，将下面分隔线中的的文件路径全部复制，然后打开XDelBox直接使用右键菜单的“剪贴板导入不检查路径”导入，勾选“抑制再生”、“驱动安全删除模式”、“备份文件”，最后选择右键菜单的“立刻重启删除”。
———————————————————————————————————————
c:\docume~1\admini~1\locals~1\temp\usbcams3.sys
c:\windows\system32\drivers\msaclue.sys
c:\windows\system32\drivers\msyecp.sys
c:\docume~1\admini~1\locals~1\temp\tmp1d.tmp
c:\docume~1\admini~1\locals~1\temp\usbhcid.sys
c:\docume~1\admini~1\locals~1\temp\tmpb5.tmp
c:\windows\system32\drivers\pcihdd2.sys
c:\windows\system32\drivers\ati32srv.sys
c:\windows\system32\drivers\usbkeyinit.sys
———————————————————————————————————————
重启计算机后会看到一个请选择要启动的操作系统的提示，倒计时5秒，
第一个选项是你自己的Windows系统，
第二个选项是XDelBox的Go XDelBox To Del Files，
默认自动选择第二项，会进入类似DOS的界面，这期间什么操作都不用做，等待它自动运行即可，
待病毒文件删除后会自动重启进入Windows系统，
然后再按以下步骤操作：
———————————————————————————————————————
打开SREngPS.EXE，选择【启动项目】-【服务】-【驱动程序】，将以下项删除：
[Sc Manager / Sc Manager]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\usbcams3.sys>
[msskye / msskye]    <system32\drivers\msaclue.sys>
[msertk / msertk]    <system32\drivers\msyecp.sys>
[mhfp / mhfp]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp1D.tmp>
[iCafe Manager / iCafe Manager]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\usbhcid.sys>
[dohs / dohs]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpB5.tmp>
[DeepFree Update / DeepFree Update]    <\??\C:\WINDOWS\system32\drivers\pcihdd2.sys>
[ATI2HDDSRV / ATI2HDDSRV]    <\??\C:\WINDOWS\system32\drivers\ati32srv.sys>
———————————————————————————————————————
使用刚下载的“清理临时文件工具ATF-Cleaner-cn”，全选所有项目，点击【立即清理】；
———————————————————————————————————————
使用刚下载的“Windows清理助手”清理你的系统。
———————————————————————————————————————

附件: 新建 文本文档.txt

下载常用软件：
冰刃：http://www.skycn.com/soft/37828.html
System Repair Engineer：http://www.skycn.com/soft/23312.html
XDelBox：http://www.skycn.com/soft/24833.html

病毒为以下文件：
C:\WINDOWS\system32\Wingin.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpB5.tmp
C:\WINDOWS\system32\drivers\pcihdd2.sys
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp1D.tmp
C:\WINDOWS\system32\drivers\msyecp.sys
C:\WINDOWS\system32\drivers\msaclue.sys
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\usbcams3.sys

可疑文件：

启动方法：

修复方法：

1、使用XDelBox删除以下文件：
先将系统分区下的重要文件转移到其它分区，以免系统删除文件后系统崩溃增加文件备份的难度。使用时一定拔掉所有移动存储设备，将下面分隔线中的的文件路径全部复制，然后打开XDelBox直接使用右键菜单的“剪贴板导入不检查路径”导入，勾选“抑制再生”、“驱动安全删除模式”、“备份文件”，最后选择右键菜单的“立刻重启删除”。
C:\WINDOWS\system32\Wingin.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpB5.tmp
C:\WINDOWS\system32\drivers\pcihdd2.sys
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp1D.tmp
C:\WINDOWS\system32\drivers\msyecp.sys
C:\WINDOWS\system32\drivers\msaclue.sys
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\usbcams3.sys


重启计算机后会看到一个请选择要启动的操作系统的提示，倒计时5秒，第一个选项是你自己的Windows系统，第二个选项是XDelBox的Go XDelBox To Del Files，默认自动选择第二项，会进入类似DOS的界面，这期间什么操作都不用做，等待它自动运行即可，待病毒文件删除后会自动重启进入Windows系统。

2、使用System Repair Engineer
打开启动项目——注册表 删除：
  <racer><>  [N/A]
<Wingin><C:\WINDOWS\system32\Wingin.exe>  [Microsoft Corporation]

打开启动项目——服务——驱动
删除以下驱动：
[Sc Manager / Sc Manager][Stopped/Manual Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\usbcams3.sys><N/A>
[mhfp / mhfp][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp1D.tmp><N/A>
[msertk / msertk][Stopped/Auto Start]
  <system32\drivers\msyecp.sys><N/A>
[msskye / msskye][Stopped/Auto Start]
  <system32\drivers\msaclue.sys><N/A>
[DeepFree Update / DeepFree Update][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32\drivers\pcihdd2.sys><N/A>
[dohs / dohs][Stopped/Auto Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmpB5.tmp><N/A>