瑞星卡卡安全论坛

前几天浏览网页中了病毒，然后用卡卡上网助手清除了，但是卡卡显示的有一个漏洞KB948881，修补完再扫描还存在，操作多次，都是这样。电脑的病毒应该是没有清除干净，偶尔会弹出一些网页，比如环球，多赛网什么的，用瑞星杀毒软件全面查杀了很多次，显示没有病毒，很无奈，明明就是中毒了。今天卡卡上网助手显示中了木马病毒，位置c:\winnt\system32\5881.dll,显示清除成功，重新扫描还是存在，问过信息中心的人，他们告诉我重装系统，我觉得电脑问题并没有那么严重，我估计他们是嫌麻烦，希望各位高手们能够帮帮忙，谢谢了
扫描日志见附件

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)


附件: 5431232008422110851.txt

用windows清理助手清理一下系统。
windows清理助手下载页面：http://www.arswp.com/download.html

然后使用System Repair Engineer扫描日志，将日志作为附件上传上来。
下载页面：http://www.kztechs.com/sreng/download.html
操作方法：
1、下载后解压缩，运行SREngPS.EXE；
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
4、选择保存路径，文件名保持默认，直接点击【保存】；
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；
6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序。

以下是用windows清理助手清理了两遍后仍可以扫描到的木马病毒：
adware.yasl.luckyie
C:\WINNT\59A91.TXT
HKEY_CLASSES_ROOT,IEHPR.INVOKE
HKEY_CLASSES_ROOT,IEHPR.INVOKE.1

trojan.t1d11
C:\DOCUMENTS AND SETTINGS\TINGTING.JIA\LOCAL SETTINGS\TEMP\CML7.TMP
C:\WINNT\A71.BMP
C:\WINNT\SYSTEM32\951.DLL

trojan.invoke.bho
C:\WINNT\7591.EXE
C:\WINNT\SYSTEM32\5881.DLL
HKEY_CLASSES_ROOT,CLSID\{FFB3D068-F8DA-4370-A71E-83B1C959CDD6}
HKEY_CLASSES_ROOT,TYPELIB\{134B9DCF-255B-44B5-BA77-93A185D8B159}
HKEY_LOCAL_MACHINE,SOFTWARE\CLASSES\CLSID\{FFB3D068-F8DA-4370-A71E-83B1C959CDD6}
HKEY_LOCAL_MACHINE,SOFTWARE\CLASSES\TYPELIB\{134B9DCF-255B-44B5-BA77-93A185D8B159}
HKEY_LOCAL_MACHINE,SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\BROWSER HELPER OBJECTS\{FFB3D068-F8DA-4370-A71E-83B1C959CDD6}

万能搜索变种
HKEY_LOCAL_MACHINE,SYSTEM\CONTROLSET001\SERVICES\EVENTLOG\APPLICATION\MS_2FAX
HKEY_LOCAL_MACHINE,SYSTEM\CONTROLSET001\SERVICES\MS_2FAX
HKEY_LOCAL_MACHINE,SYSTEM\CURRENTCONTROLSET\ENUM\ROOT\LEGACY_MS_2FAX
HKEY_LOCAL_MACHINE,SYSTEM\CURRENTCONTROLSET\SERVICES\EVENTLOG\APPLICATION\MS_2FAX
HKEY_LOCAL_MACHINE,SYSTEM\CURRENTCONTROLSET\SERVICES\MS_2FAX

adware.faxclient
HKEY_LOCAL_MACHINE,SYSTEM\CURRENTCONTROLSET\SERVICES\MS_2FAX,DISPLAYNAME
HKEY_LOCAL_MACHINE,SYSTEM\CURRENTCONTROLSET\SERVICES\MS_2FAX,ERRORCONTROL

trojan.raxx.xxpri
HKEY_LOCAL_MACHINE,SYSTEM\CONTROLSET001\ENUM\ROOT\LEGACY_MS_2FAX

reporter/roreg
C:\DOCUMENTS AND SETTINGS\TINGTING.JIA\LOCAL SETTINGS\TEMP\FVQ3.TMP

nwiuu/dfssvr木马
C:\WINNT\SYSTEM32\88F51.EXE

以下是使用System Repair Engineer扫描日志

附件: 5431232008422145312.txt

C:\WINNT\system32\r_server.exe
D:\GENERSOFT\MYGS_PSERIES_YY\erpsj.exe
这是什么玩意？？？？
————————————————————————————————————
文件；

D:\GENERSOFT\MYGS_PSERIES_YY\erpsj.exe
C:\WINNT\system32\951.dll
C:\WINNT\system32\9a9a.exe
C:\WINNT\Downlo~1\59ab.dll
c:\winnt\inf\dev01.inf
C:\WINNT\system32\r_server.exe
C:\WINNT\system32\88f51.exe
C:\WINNT\system32\5881.dll
C:\WINNT\system32\ADMDLL.dll


启动项目
注册表
    <erpupdate><D:\GENERSOFT\MYGS_PSERIES_YY\erpsj.exe>  []
    <951><rundll32 C:\WINNT\system32\951.dll,Always>  [  ]
    <9a9a><C:\WINNT\system32\9a9a.exe>  []
    <59ab><rundll32 "C:\WINNT\Downlo~1\59ab.dll",Run>  [N/A]

==================================
服务
[DCOM Service Process Manager / DCOMManager64][Others/Auto Start]
  <C:\WINNT\system32\svchost.exe -k netsvcs-->c:\winnt\inf\dev01.inf><N/A>

[Remote Administrator Service / r_server][Running/Auto Start]
  <"C:\WINNT\system32\r_server.exe" /service><N/A>

[ms_2fax / ms_2fax][Running/Auto Start]
  <C:\WINNT\system32\88f51.exe><Microsoft Corporation>

==================================
浏览器加载项
[Invoke Class]
  {FFB3D068-F8DA-4370-A71E-83B1C959CDD6} <C:\WINNT\system32\5881.dll, >

我也不懂，反正就是不管用什么清，都清不干净，还是会弹网页

您写的东西我也看不懂

————————————————————————————————————
这里官网下载费尔木马强力清除助手,勾选“抑制文件再生”删除。
http://dl.filseclab.com/down/powerrmv.zip

删除文件；
C:\WINNT\system32\951.dll
C:\WINNT\system32\9a9a.exe
C:\WINNT\Downlo~1\59ab.dll
c:\winnt\inf\dev01.inf
C:\WINNT\system32\r_server.exe
C:\WINNT\system32\88f51.exe
C:\WINNT\system32\5881.dll
C:\WINNT\system32\ADMDLL.dll

————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除：
启动项目
注册表
<951><rundll32 C:\WINNT\system32\951.dll,Always> [ ]
<9a9a><C:\WINNT\system32\9a9a.exe> []
<59ab><rundll32 "C:\WINNT\Downlo~1\59ab.dll",Run> [N/A]
——————————————————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》Win32服务应用程序》里面找下面项删除，或将启动类型改为“Disabled”
==================================
服务
[DCOM Service Process Manager / DCOMManager64][Others/Auto Start]
<C:\WINNT\system32\svchost.exe -k netsvcs-->c:\winnt\inf\dev01.inf><N/A>

[Remote Administrator Service / r_server][Running/Auto Start]
<"C:\WINNT\system32\r_server.exe" /service><N/A>

[ms_2fax / ms_2fax][Running/Auto Start]
<C:\WINNT\system32\88f51.exe><Microsoft Corporation>
—————————————————————————————
在扫日志的SRENG工具》系统修复》浏览器加载项》里面找下面删除
==================================
浏览器加载项
[Invoke Class]
{FFB3D068-F8DA-4370-A71E-83B1C959CDD6} <C:\WINNT\system32\5881.dll, >

————————————————————————————————————
再重启电脑，反复检查，操作删除，

————————————————————————————————————
再重启电脑，

用下载的“清理临时文件工具ATF-Cleaner-cn”，全选所有项目，点击“立即清理”
下载：http://www.qispace.com.cn/attachment.php?fid=34

用W i n d o w s 清理助手 ，清理你那系统。
W i n d o w s 清理助手 下载:http://www.arswp.com/

升级杀毒软件至最新版本全盘杀毒。
下载卡卡助手，清理你那系统。
记得打打系统漏洞补丁

D:\GENERSOFT文件夹里到底是什么东西？？？？？？？？

难道你自己都不知道？？？？？？

那是浪潮的ERP,非常谢谢您的帮助

那是浪潮的ERP,非常谢谢您的帮助