瑞星卡卡安全论坛

为什么老是有这样的病毒？
基本上都是realplay被强制启动，然后就中招了
也不知道是什么回事，还是老样子。瑞星监控都被非法的DLL文件注入，被非法关闭！！这个木马已经横行一阵子了，帮主有没搞出个什么专杀不
msosmhfp00.dll怀疑为木马1734！
msosmhfp00.dll:已经清除！
C:\WINDOWS\system32\issms32.dll文件被系统注入: E:\Program Files\Y'z Dock\YzDock.exe 程序
新建文件: C:\WINDOWS\SYSTEM32\issms32.dll 2008-5-10 下午 06:23:09
新建文件: C:\WINDOWS\SYSTEM32\msosdohs00.dll 2008-5-10 下午 06:23:10
新建文件: C:\WINDOWS\SYSTEM32\msosmhfp.dat 2008-5-10 下午 06:23:10
新建文件: C:\WINDOWS\issms32.exe  2008-5-10 下午 06:23:11
扫描了 29个进程，
木马克星扫描结束.



msosmhfp00.dll,msosdohs00.dll怀疑为木马1734！
msosmhfp00.dll,msosdohs00.dll:已经清除！
内存文件: C:\WINDOWS\system32\msosdohs00.dll 在: 2008-5-8 下午 03:24:09日后被修改为:13733字节
C:\WINDOWS\system32\anistio.dll文件被系统注入: C:\WINDOWS\Explorer.EXE 程序
新建文件: C:\WINDOWS\SYSTEM32\anistio.dll 2008-5-10 下午 06:23:17
新建文件: C:\WINDOWS\SYSTEM32\dionpis.dll 2008-5-10 下午 06:23:17
新建文件: C:\WINDOWS\SYSTEM32\msosdohs.dat 2008-5-10 下午 06:23:18
新建文件: C:\WINDOWS\anistio.exE  2008-5-10 下午 06:23:19
新建文件: C:\WINDOWS\dionpis.exe  2008-5-10 下午 06:23:19
扫描了 29个进程，
木马克星扫描结束.



msosdohs00.dll,msosmhfp00.dll怀疑为木马1734！
msosdohs00.dll,msosmhfp00.dll:已经清除！
C:\WINDOWS\system32\dionpis.dll文件被系统注入: C:\WINDOWS\Explorer.EXE 程序
C:\WINDOWS\system32\msosmhfp00.dll文件被系统注入: C:\Program Files\Rising\Rav\RavTask.exe 程序
C:\WINDOWS\system32\nicozftp00.dll文件被系统注入: E:\Program Files\Y'z Dock\YzDock.exe 程序
新建文件: C:\WINDOWS\SYSTEM32\nicozftp.dat 2008-5-10 下午 06:23:28
新建文件: C:\WINDOWS\SYSTEM32\nicozftp00.dll 2008-5-10 下午 06:23:28
扫描了 28个进程，
木马克星扫描结束.



msosdohs00.dll,msosmhfp00.dll,nicozftp00.dll怀疑为木马1734！
msosdohs00.dll,msosmhfp00.dll,nicozftp00.dll:已经清除！
发现木马h6： C:\WINDOWS\ISSMS32.EXE
木马已经清除.
发现木马h6： C:\WINDOWS\ANISTIO.EXE
木马已经清除.
发现木马h6： C:\WINDOWS\DIONPIS.EXE
木马已经清除.

说是清除，当时根本清除不掉！！重申，realplay被无端打开，还有他的服务！

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Maxthon; WPS; InfoPath.2)

附件: SREngLOG.txt

附件: SREngLOG.txt

我系统还原了一下
现在还没有发作，不知道什么时候再发作的呢

C:\WINDOWS\system32\msosmhfp00.dll文件被系统注入: C:\Program Files\Rising\Rav\RavTask.exe 程序
看见没？连我的瑞星都被msosmhfp00.dll这玩意注入了

版主来瞧瞧呀

先下载工具：
XDelBox下载：http://www.dodudou.com/down/  打开后选择【原创软件】，下载XDelBox1.7支持奥运版。
windows清理助手下载：http://www.arswp.com/download.html
清理临时文件工具ATF-Cleaner-cn下载：http://www.atribune.org/public-beta/ATF-Cleaner.exe
———————————————————————————————————————
务必断开网络链接后再进行以下操作；
———————————————————————————————————————
使用XDelBox删除以下文件：
使用前一定拔掉所有移动存储设备，将下面红色文件列表内容完整复制，然后打开XDelBox，在“待删除文件列表”下方空白框处右键，选择“剪贴板导入不检查路径”，勾选上方的“抑制再生”、“驱动安全删除模式”、“备份文件”，最后选择右键菜单的“立刻重启删除”。
C:\WINDOWS\system32\msosdohs00.dll
C:\WINDOWS\system32\msosmhfp00.dll
C:\WINDOWS\system32\nicozftp00.dll
C:\DOCUME~1\小志的~1\LOCALS~1\Temp\dat10B.tmp
C:\WINDOWS\system32\issms32.dll
C:\WINDOWS\system32\anistio.dll
C:\WINDOWS\system32\dionpis.dll
C:\WINDOWS\system32\drivers\msosmsp2p32.sys
C:\WINDOWS\system32\drivers\msosmsfpfis64.sys
C:\WINDOWS\TEMP\tmp111.tmp
C:\Program Files\WinPcap\rpcapd.exe
C:\Program Files\WinPcap\rpcapd.ini
———————————————————————————————————————
重启计算机后会看到一个请选择要启动的操作系统的提示，倒计时5秒，
第一个选项是你自己的Windows系统，
第二个选项是XDelBox的Go XDelBox To Del Files，
默认自动选择第二项，会进入类似DOS的界面，这期间什么操作都不用做，等待它自动运行即可，
待病毒文件删除后会自动重启进入Windows系统，
然后再按以下步骤操作：
———————————————————————————————————————
进入注册表编辑器，将[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]<appinit_dlls>这个值项的数据编辑为空
———————————————————————————————————————
进入注册表编辑器，删除以下注册表子项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360safe.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360safebox.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360tray.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\CCenter.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KPPMain.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KWatch.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQDoctor.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQKav.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMon.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMonD.exe]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safeboxTray.exe]
———————————————————————————————————————
打开SREngldr.EXE，选择【启动项目】-【服务】-【WIN32服务应用程序】，将以下项删除：
[Remote Packet Capture Protocol v.0 (experimental) / rpcapd]
———————————————————————————————————————
打开SREngldr.EXE，选择【启动项目】-【服务】-【驱动程序】，将以下项删除：
[msp2p32 / msp2p32]
[msfpfis64 / msfpfis64]
[zftp / zftp]
———————————————————————————————————————
打开SREngldr.EXE，选择【启动项目】-【WIN.INI】，将以下内容删除：
[msp2p32 / msp2p32]
[msfpfis64 / msfpfis64]
[zftp / zftp]
重启电脑，运行“清理临时文件工具ATF-Cleaner-cn”，全选所有项目，点击【立即清理】；
———————————————————————————————————————
杀毒软件升级最新版，断网后全盘查杀病毒。
———————————————————————————————————————
最后运行WINDOWS清理助手，执行“快速扫描”，对发现的“可清理对象”及“可卸载软件”，根据实际情况进行清理；不能确定的，把图发上来。

你的realplayer要 升级到最新版本 realplayer11