瑞星卡卡安全论坛

最近瑞星杀出Rootkit.Win32.Agent.bfp。不知是什么毒。每次杀每次有。怎么办呀。
　　　　　　　　　　　　　　　　　　　　




　　谢谢

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)

附件: 10.txt

:kaka11:

这整的啥日志啊。。

点击下载System Repair Engineer系统扫描工具软件
建议直接下载保存到系统文件夹内
扫描和上传日志的方法：
1、解压缩所下载的"cheryl.rar"压缩包；
2、打开已经解压缩的"cheryl"文件夹，双击运行其中的"cheryl.scr"；
3、依次按“智能扫描”、选中“检查进程模块的数字签名”、“扫描”、“保存报告”，将日志保存到桌面上；
4、把保存在桌面上的日志文件以附件形式传上来,请不要更改日志内容.
友情提示：
1、扫描日志前请先关闭所有打开的软件（如QQ、迅雷等程序和IE窗口,注意，是关闭而不是最小化窗口）
2、注意在没有进一步提示前，请勿用SRENG工具胡乱修复，否则系统可能变的情况更糟。

病毒名称的日志:kaka6:

请看我的报告.谢谢.其中有一项1907的文件瑞星杀不了。注册表也删不了。请问怎么搞呀？

附件: Report.txt

请用sreng扫描，你的日志简单，看不出来有问题

谢谢你们

附件: hijackthis.log

。。。。。。
是sreng日志啊

你再发一份瑞星的历史记录吧

我也是Rootkit.Win32.Agent.bfp这个病毒,路径C:\windows\system32\drivers\yei3m1ehar.sys

楼上的病毒被杀掉以后系统正常了吗？还是有其他症状 具体说一下
还有问题可以同时发一份日志上来 步骤如下！
1请楼主先使用windows清理助手清理一下系统。(未签名的那些不要选择删除)
在这里下载：http://www.arswp.com/download.html
2然后使用System Repair Engineer扫描日志，将日志作为附件上传上来。
在这里下载：http://www.kztechs.com/sreng/download.html

具体步骤：
1、下载后解压缩，运行SREngPS.EXE；
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；
3、依次点击 智能扫描 - 扫描 ，扫描结束后点击 保存报告 ；
4、选择保存路径，文件名保持默认，直接点击 保存 ；
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；
6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序。

关闭系统还原，在我的电脑属性中，再用windows清理助手查杀，清理临时文件。。。

关闭系统还原，在我的电脑属性中，再用windows清理助手查杀，清理临时文件。
还有就是：rootkit清除工具http://www.gougou.com/search?search=rootkit&id=3

日志文件 Trend Micro HijackThis v 2.0.2
日志保存时间: 13:54:20,2008-8-3
操作系统: Windows XP SP2 (WinNT 5.01.2600)
IE版本: Internet Explorer v6.00 SP2 (6.00.2900.2180)
启动模式: 正常
正在运行的进程:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\tcpsvcs.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Rising\Rav\Ravmon.exe
c:\program files\rising\rfw\rfwsrv.exe
C:\Program Files\Rising\Rfw\rfwmain.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe
C:\DOCUME~1\LXH\LOCALS~1\Temp\Rar$EX12.453\HijackThis.exe
O2 - BHO: Thunder AtOnce - {01443AEC-0FD1-40fd-9C87-E93D1494C233} - D:\Program Files\Thunder\ComDlls\TDAtOnce_Now.dll
O2 - BHO: (未命名) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (没有文件)
O2 - BHO: ThunderBHO - {889D2FEB-5411-4565-8998-1DD2C5261283} - D:\Program Files\Thunder\ComDlls\xunleiBHO_Now.dll
O2 - BHO: (未命名) - {B69F34DD-F0F9-42DC-9EDD-957187DA688D} - (没有文件)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [RfwMain] "C:\Program Files\Rising\Rfw\rfwmain.exe" -Startup
O4 - HKLM\..\Run: [RavTask] "C:\Program Files\Rising\Rav\RavTask.exe" -system
O4 - HKLM\..\Run: [IMSCMig] C:\PROGRA~1\COMMON~1\MICROS~1\IME\IMSC40A\IMSCMIG.EXE /Preload
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\CTFMON.EXE
O4 - HKUS\S-1-5-19\..\Run: [ctfmon.exe] C:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [ctfmon.exe] C:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [ctfmon.exe] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [ctfmon.exe] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - 扩展右键菜单项: 使用迅雷下载 - D:\Program Files\Thunder\Program\GetUrl.htm
O8 - 扩展右键菜单项: 使用迅雷下载全部链接 - D:\Program Files\Thunder\Program\GetAllUrl.htm
O8 - 扩展右键菜单项: 导出到 Microsoft Office Excel(&X) - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - 扩展右键菜单项: 添加到QQ表情 - D:\Program Files\Tencent\AddEmotion.htm
O9 - 额外的按钮: 启动迅雷5 - {09BA8F6D-CB54-424B-839C-C2A6C8E6B436} - D:\Program Files\Thunder\Thunder.exe
O9 - 额外的“工具”菜单项目: 启动迅雷5 - {09BA8F6D-CB54-424B-839C-C2A6C8E6B436} - D:\Program Files\Thunder\Thunder.exe
O9 - 额外的按钮: 信息检索 - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {1DABF8D5-8430-4985-9B7F-A30E53D709B3} (InstallHelper Class) - http://cache.tv.qq.com/qqlive_ocx/QQLiveInstaller.cab
O16 - DPF: {33EAE546-128F-41C3-BAD4-7624EB5E3730} (KT ICS Download Component) - http://www.pt2.co.kr/Data/setup/AddOn.cab
O16 - DPF: {5AE58FCF-6F6A-49B2-B064-02492C66E3F4} (MUCatalogWebControl Class) - http://catalog.update.microsoft.com/v7/site/ClientControl/en/x86/MuCatalogWebControl.cab?1205299401515
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1198952606484
O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} - http://js.dada.net/lib/uploader/ImageUploader4.cab?ts=20070921_2
O16 - DPF: {C09B522F-8AED-4E21-A65C-DC1AB652BAEE} (Tencent Safety Online Base Module) - http://safe.qq.com/cgi-bin/tso/TSOBase.ocx
O16 - DPF: {C4DC211B-EDED-4EE1-9821-48E807DAF121} (QQChatInstallerHelper Class) - http://web.chat.qq.com/ocx/QQChatInstaller.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{26A7DEFE-779B-4FC4-89F8-A67AA5A16BCA}: NameServer = 202.99.192.68 202.99.192.66
O17 - HKLM\System\CCS\Services\Tcpip\..\{9D124441-67B3-4626-ABAC-5C4959678CCC}: NameServer = 202.96.134.133
O17 - HKLM\System\CS2\Services\Tcpip\..\{26A7DEFE-779B-4FC4-89F8-A67AA5A16BCA}: NameServer = 202.99.192.68 202.99.192.66
O23 - NT 服务:  Rising Proxy  Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - c:\program files\rising\rfw\RfwProxy.exe
O23 - NT 服务:  Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Co., Ltd. - c:\program files\rising\rfw\rfwsrv.exe
O23 - NT 服务:  Rising Process Communication Center (RsCCenter) - Beijing Rising Information Technology Co., Ltd. - C:\Program Files\Rising\Rav\CCenter.exe
O23 - NT 服务:  Rising RealTime Monitor (RsRavMon) - Beijing Rising Information Technology Co., Ltd. - C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
--
文件结束 - 4767 字节

附件: hijackthis.log

听不懂？SRENG日志！
10是方法

日志防附件里！！

日志都发上来了.你们不啃气了?

斑竹去那里了.快呀,谢谢

这个日志无法提供更详尽的信息
请下载一个SRENG工具(点击下载)
使用它扫描日志，将日志作为附件上传上来。
操作方法：
1、下载后解压缩保存到系统文件夹内，运行SREngLdr.exe；
2、如果无法打开尝试把SREngLdr.exe改名为123.BAT运行；
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
4、选择保存路径，文件名保持默认，直接点击【保存】，存为TXT格式；
5、将保存的报告附件上传而不是粘贴到帖子