瑞星卡卡安全论坛

首页 » 技术交流区 » 反病毒/反流氓软件论坛 » 没法治了！！！！！求救高手！！！！
龙卷疯 - 2008-5-14 20:59:00
病毒名称:Paker.Win32.Mian007.a  扫描SRE日志咋这么长，只复制了一部分，搞不明白，这个病毒好像是游戏带的，病毒在D\Data\zhengtu.dat文件里，强制删除文件在上游戏还是有，请高手详细指点下
[CODE]
2008-05-14,20:45:49
System Repair Engineer 2.5.16.900
Smallfrogs (http://www.KZTechs.com)
Windows XP Professional Service Pack 2 (Build 2600) - 管理权限用户 - 完整功能
以下内容被选中：
    所有的启动项目（包括注册表、启动文件夹、服务等）
    浏览器加载项
    正在运行的进程（包括进程模块信息）
    文件关联
    Winsock 提供者
    Autorun.inf
    HOSTS 文件
    进程特权扫描

启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <internat><internat.exe>  [Microsoft Corporation]
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <load><>  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <amd_dc_opt><C:\Program Files\AMD\Dual-Core Optimizer\amd_dc_opt.exe>  [AMD]
    <RTHDCPL><RTHDCPL.EXE>  [(Verified)Microsoft Windows Hardware Compatibility Publisher]
    <SkyTel><SkyTel.EXE>  [(Verified)Microsoft Windows Hardware Compatibility Publisher]
    <Alcmtr><ALCMTR.EXE>  [(Verified)Microsoft Windows Hardware Compatibility Publisher]
    <NvCplDaemon><RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup>  [NVIDIA Corporation]
    <RavTask><"C:\Program Files\Rising\Rav\RavTask.exe" -system>  [Beijing Rising Technology Co., Ltd.]
    <ZSSnp211><C:\WINDOWS\ZSSnp211.exe>  [ZSMCSNAP]
    <Domino><C:\WINDOWS\Domino.exe>  []
    <Thunder><"C:\Program Files\Thunder Network\Thunder\Thunder.exe" /s>  [Thunder Networking Technologies,LTD]
    <RfwMain><"C:\Program Files\Rising\Rfw\rfwmain.exe" -Startup>  [(Verified)Microsoft Windows Publisher]
    <NMGameX_AutoRun><C:\WINDOWS\system32\Rundll32.exe NMGameX.dll,LiveProcess /aa>  [NMGameX]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe>  [(Verified)Microsoft Windows Component Publisher]
    <Userinit><C:\WINDOWS\system32\userinit.exe,>  [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><>  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <UIHost><logonui.exe>  [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{32CD708B-60A7-4C00-9377-D73EAA495F0F}><C:\WINDOWS\system32\RavExt.dll>  [Beijing Rising Technology Co., Ltd.]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\>{26923b43-4d38-484f-9b9e-de460746276c}]
    <Internet Explorer><%systemroot%\system32\shmgrate.exe OCInstallUserConfigIE>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\>{881dd1c5-3dcf-431b-b061-f3f88e8be88a}]
    <Outlook Express><%systemroot%\system32\shmgrate.exe OCInstallUserConfigOE>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{2C7339CF-2B09-4501-B3F3-F3508C9228ED}]
    <Themes Setup><%SystemRoot%\system32\regsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32\themeui.dll>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{44BBA840-CC51-11CF-AAFA-00AA00B6015C}]
    <Microsoft Outlook Express 6><"%ProgramFiles%\Outlook Express\setup50.exe" /APP:OE /CALLER:WINNT /user /install>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{44BBA842-CC51-11CF-AAFA-00AA00B6015B}]
    <NetMeeting 3.01><rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msnetmtg.inf,NetMtg.Install.PerUser.NT>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{5945c046-1e7d-11d1-bc44-00c04fd912be}]
    <Windows Messenger 4.7><rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msmsgs.inf,BLC.QuietInstall.PerUser>  [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{6BF52A52-394A-11d3-B153-00C04F79FAA6}]
    <Microsoft Windows Media Player><rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\wmp10.inf,PerUserStub>  [(Verified)Microsoft Windows Component Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{7790769C-0471-11d2-AF11-00C04FA35D02}]
    <通讯簿 6><"%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install>  [N/A]

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
豪斯登堡新郎 - 2008-5-14 21:06:00
删除文件后，在同一目录下创建一个文件夹  重命名为zhengtu.dat



另外提醒楼主，同一个问题不要重复发贴！
丝千千 - 2008-5-14 21:22:00
:kaka7: 我好像也有中这个病毒~~~
并且~~也是杀不掉的~~
龙卷疯 - 2008-5-14 21:42:00

附件: 11.rar (2008-5-14 21:41:56, 7.61 K)
该附件被下载次数 109

这次把日志压缩上来了，请高手过目一下，说明一下，把中毒文件删除重新建一个同名替换文件，游戏就进不去了，苦恼ING
超级游戏迷 - 2008-5-14 21:46:00
个人认为日志没有中毒迹象……
wawa1719 - 2008-5-14 21:49:00
日志看没有问题。
把F:\DATA\ZHENGTU.DAT和F:\DATA\WEAPON.DAT打包上来。
龙卷疯 - 2008-5-14 21:50:00
可是用瑞星杀毒就杀出来啊，那个中毒文件可以删除， 但是一上游戏文件就出来，病毒也跟着，难道没救了么？眼睁睁看着病毒在自己眼皮底下耍....................
豪斯登堡新郎 - 2008-5-14 21:53:00
救是有的救  别玩那个游戏就好了。。

另外  将文件上传检测下看看

http://www.virustotal.com/zh-cn/
wawa1719 - 2008-5-14 21:56:00
刚才去征途的官方论坛看了下，之前就有网友遇到这个问题。
个人觉得瑞星误报了。
龙卷疯 - 2008-5-14 21:58:00
那俩文件怎么打包上去啊？？附件说不支持。。。。。。。
龙卷疯 - 2008-5-14 22:07:00
有没有高手能给解决这个问题：输入法切换到最后总是显示Explorer遇到错误需要重启，开着什么程序就关闭什么程序，郁闷到不行了
龙卷疯 - 2008-5-14 22:22:00
文件 zhengtu.dat 接收于 2008.05.14 16:03:21 (CET)
当前状态: 正在读取 ... 队列中 等待中 扫描中 完成 未发现 停止

结果: 3/32 (9.38%)

正在读取服务器信息中...
您的文件所排队列位置: ___.
预计开始时间为 ___ 和 ___
之间.
扫描完成前请勿关闭窗口.
目前针对您的文件所进行的扫描进程已停止, 我们将会在稍后恢复.
如果您的等候时间超过 5 分钟, 请重新发送文件.
您的文件目前正在被 VirusTotal 扫描中,
结果将会稍后完成时生成.


格式化文本
打印结果



您的文件已过期或不存在.
目前服务已停止, 您的文件将会稍后的未知时间内进行扫描 (位置:
). 您可以继续等待回应 (自动读取) 或者在下面的表单内输入您的电子邮件地址, 并按下 "获取", 当扫描完成时, 系统会自动给您发送电子邮件通知. 
Email: 
  



反病毒引擎版本最后更新扫描结果
AhnLab-V32008.5.14.12008.05.14-
AntiVir7.8.0.172008.05.14PCK/ExeCryptor
Authentium5.1.0.42008.05.14-
Avast4.8.1195.02008.05.14-
AVG7.5.0.5162008.05.14-
BitDefender7.22008.05.14-
CAT-QuickHeal9.502008.05.14-
ClamAV0.92.12008.05.14-
DrWeb4.44.0.091702008.05.14-
eSafe7.0.15.02008.05.13-
eTrust-Vet31.4.57882008.05.14-
Ewido4.02008.05.14-
F-Prot4.4.2.542008.05.14-
F-Secure6.70.13260.02008.05.14-
Fortinet3.14.0.02008.05.14-
GData2.0.7306.10232008.05.14-
IkarusT3.1.1.26.02008.05.14-
Kaspersky7.0.0.1252008.05.14-
McAfee52942008.05.13-
Microsoft1.34082008.05.13-
NOD32v230992008.05.14-
Norman5.80.022008.05.13-
Panda9.0.0.42008.05.14-
Prevx1V22008.05.14-
Rising20.44.22.002008.05.14-
Sophos4.29.02008.05.14Sus/ComPack-J
Sunbelt3.0.1114.02008.05.12-
Symantec102008.05.14-
TheHacker6.2.92.3092008.05.13-
VBA323.12.6.62008.05.14-
VirusBuster4.3.26:92008.05.14-
Webwasher-Gateway6.6.22008.05.14Packer.ExeCryptor
附加信息
File size: 3805184 bytes
MD5...: edcb73d4e275c76f0961d514879dfffb
SHA1..: ce09afff2739687077aa1bbdeb7dd251ac4a548c
SHA256: 632d00d6902488ed316d0414d5ee8200ab90c3ac37cbc31e1e6048670e94d260
SHA512: fed371e623bcfd22a7a266c73db36df38b437a11bbf5558971cd2f080492bcb9
a6579d06273e344b77eb9d208e15664c655404a994f153fa254d21fd72a3f09e
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0xc72a05
timedatestamp.....: 0x4825ad13 (Sat May 10 14:11:31 2008)
machinetype.......: 0x14c (I386)

( 9 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x3c1000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
qsf2zawc 0x3c2000 0x70000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.data 0x432000 0x4a000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.tls 0x47c000 0x1000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.data1 0x47d000 0x1000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rsrc 0x47e000 0x13e000 0x13e000 6.82 143e14c0345c6d614636112d50a6ef09
1kh8trns 0x5bc000 0x55000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
vdmdjie5 0x611000 0x262000 0x261be1 7.52 2ef2ccd0c9583e3b0401efdf5a5e2025
95kjoxmy 0x873000 0x1000 0x1000 3.06 a5339f80dfdb1fb2299ddc57061b3191

( 0 imports )

( 0 exports )
packers (Kaspersky): Execryptor
packers (F-Prot): EXECryptor

注意: VirusTotal 是 Hispasec Sistemas 提供的免费服务. 我们不保证任何该服务的可用性和持续性. 尽管使用多种反病毒引擎所提供的检测率优于使用单一产品, 但这些结果并不保证文件无害. 目前来说, 没有任何一种解决方案可以提供 100% 的病毒和恶意软件检测率. 如果您购买了一款声称具有此能力的产品, 那么您可能已经成为受害者.
豪斯登堡新郎 - 2008-5-14 22:42:00
估计是误报。。
1
查看完整版本: 没法治了！！！！！求救高手！！！！
© 2000 - 2026 Rising Corp. Ltd.