瑞星卡卡安全论坛

瑞星听诊器的结果
IE浏览器。。。
这个是远程监控的服务端文件？
用瑞星杀不出东西
日志附上
怎么才能把这个东西给删掉？
谢谢

用户系统信息：Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.8.1.12) Gecko/20080201 Firefox/2.0.0.12

附件: 2222.txt

靠
可疑度都74了？
能不能吧文件打包上传？

恩
我一直用的是fox浏览器。。
任务管理器冒出来一个ie的。。

附件: IEXPLORE.rar

呵呵,仅仅是灰鸽子将DLL注入到了iexplore.exe中而已
iexplore.exe的硬盘镜像没有染毒.
请提供SRENG或者AUTORUNS的日志

灰鸽子都是几年前的老木马了.

貌似不是鸽子。。
再传日志

附件: 2222.txt

:kaka11:

IE - BHO
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects


    {38093456-9012-4568-9076-908765467183} = C:\WINDOWS\system32\tisqctyu.dll
    {5D098345-6785-1098-5413-678067AE03D5} = C:\WINDOWS\system32\tysqbkol.dll
    {7FD45A54-9875-698F-E56E-65102358FDF7} = C:\WINDOWS\system32\apsggjba.dll
    {80AF1289-F140-A140-D012-C1458759FC08} = C:\WINDOWS\system32\ypcqghlp.dll


系统服务项
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

    Game Server = C:\PROGRAM FILES\SERVER\GAME SERVER.EXE


去扫个SRE日志上来吧  看着蛮累的。。。

点击下载System Repair Engineer系统扫描工具软件
建议直接下载保存到系统文件夹内
扫描和上传日志的方法：
1、解压缩所下载的"cheryl.rar"压缩包；
2、打开已经解压缩的"cheryl"文件夹，双击运行其中的"cheryl.scr"；
3、依次按“智能扫描”、选中“检查进程模块的数字签名”、“扫描”、“保存报告”，将日志保存到桌面上；
4、把保存在桌面上的日志文件以附件形式传上来,请不要更改日志内容.
友情提示：
1、扫描日志前请先关闭所有打开的软件（如QQ、迅雷等程序和IE窗口,注意，是关闭而不是最小化窗口）
2、注意在没有进一步提示前，请勿用SRENG工具胡乱修复，否则系统可能变的情况更糟。

fox没关
忘了
sreng日志附上

附件: SREngLOG.log

修改注册表[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><arjrkler.dll,yzztmmsn.dll>  [N/A]
为[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><>  [N/A]
删除启动项
    <{F6BBDC08-750B-4624-97D4-E9866DAD3B56}><C:\WINDOWS\Fonts\k8door1.dll>  [File is missing]
    <{6B1AEF69-DDAE-FDAD-DCAB-698F026ABDB6}><C:\WINDOWS\system32\oohxebyt.dll>  [File is missing]
    <{B629FF4F-ACDB-5C90-A098-FACB3456A26B}><C:\WINDOWS\system32\hdf453d.dll>  [File is missing]
    <{7FD45A54-9875-698F-E56E-65102358FDF7}><C:\WINDOWS\system32\apsggjba.dll>  [File is missing]
    <{87FD640A-158F-48AC-FD14-1597F14A9778}><C:\WINDOWS\system32\mndshsrv.dll>  [File is missing]
    <{6A908760-8000-4000-A000-9000322145A6}><C:\WINDOWS\system32\akjsfkaq.dll>  [File is missing]
    <{5D098345-6785-1098-5413-678067AE03D5}><C:\WINDOWS\system32\tysqbkol.dll>  [File is missing]
    <{57AC9076-C898-B098-D098-A18319080975}><C:\WINDOWS\system32\nhmxejkl.dll>  [File is missing]
    <{80AF1289-F140-A140-D012-C1458759FC08}><C:\WINDOWS\system32\ypcqghlp.dll>  [File is missing]
    <{37A924AF-1A5F-CF21-AB1D-1D5CF82A8A73}><C:\WINDOWS\system32\zywlcime.dll>  [File is missing]
    <{38093456-9012-4568-9076-908765467183}><C:\WINDOWS\system32\tisqctyu.dll>  [File is missing]
  <sao><>  [N/A]
<N/A><C:\WINDOWS\system32\gksse\lsass.exe /t>  [File is missing]
删除浏览器加载项
[]
  {38093456-9012-4568-9076-908765467183} <C:\WINDOWS\system32\tisqctyu.dll, N/A>
[]
  {5D098345-6785-1098-5413-678067AE03D5} <C:\WINDOWS\system32\tysqbkol.dll, N/A>
[]
  {7FD45A54-9875-698F-E56E-65102358FDF7} <C:\WINDOWS\system32\apsggjba.dll, N/A>
[]
  {80AF1289-F140-A140-D012-C1458759FC08} <C:\WINDOWS\system32\ypcqghlp.dll, N/A>
[]
  {00000000-129F-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12A0-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12A1-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12A2-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12A3-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12A4-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12A5-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12A6-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12A7-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12A8-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12A9-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12AA-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12AB-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12AC-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12AD-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12AE-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12AF-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12B0-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12B1-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12B2-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12B3-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12B4-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12B5-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12B6-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12B7-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12B8-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12B9-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12BA-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12BB-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12BC-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12BD-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12BE-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12BF-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12C0-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12C1-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12C2-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12C3-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12C4-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12C5-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12C6-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12C7-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12C8-4305-82F9-43058F20E8D2} <, >
[]
  {00000000-12C9-4305-82F9-43058F20E8D2} <, >
[]
  {09BA8F6D-CB54-424B-839C-C2A6C8E6B436} <, >
[]
  {0A155D3C-68E2-4215-A47A-E800A446447A} <, >
[]
  {38093456-9012-4568-9076-908765467183} <C:\WINDOWS\system32\tisqctyu.dll, N/A>
[]
  {53BEAA3B-A509-49AD-ACC3-553AD20DA38B} <, >
[]
  {5D098345-6785-1098-5413-678067AE03D5} <C:\WINDOWS\system32\tysqbkol.dll, N/A>
[]
  {7FD45A54-9875-698F-E56E-65102358FDF7} <C:\WINDOWS\system32\apsggjba.dll, N/A>
[]
  {80AF1289-F140-A140-D012-C1458759FC08} <C:\WINDOWS\system32\ypcqghlp.dll, N/A>
[]
  {92780B25-18CC-41C8-B9BE-3C9C571A8263} <, >
[]
  {FB5F1910-F110-11D2-BB9E-00C04F795683} <, >

删除 具体方法见http://bbs.ikaka.com/showtopic-8442813.aspx（若提示找不到则忽略）
c:\windows\system32\oohxebyt.dll
c:\windows\system32\hdf453d.dll
c:\windows\system32\apsggjba.dll
c:\windows\system32\mndshsrv.dll
c:\windows\system32\akjsfkaq.dll
c:\windows\system32\tysqbkol.dll
c:\windows\system32\nhmxejkl.dll
c:\windows\system32\ypcqghlp.dll
c:\windows\system32\zywlcime.dll
c:\windows\system32\tisqctyu.dll
c:\windows\fonts\k8door1.dll
c:\windows\system32\gksse\lsass.exe

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[{6B1AEF69-DDAE-FDAD-DCAB-698F026ABDB6}]    <C:\WINDOWS\system32\oohxebyt.dll>
[{B629FF4F-ACDB-5C90-A098-FACB3456A26B}]    <C:\WINDOWS\system32\hdf453d.dll>
[{7FD45A54-9875-698F-E56E-65102358FDF7}]    <C:\WINDOWS\system32\apsggjba.dll>
[{87FD640A-158F-48AC-FD14-1597F14A9778}]    <C:\WINDOWS\system32\mndshsrv.dll>
[{6A908760-8000-4000-A000-9000322145A6}]    <C:\WINDOWS\system32\akjsfkaq.dll>
[{5D098345-6785-1098-5413-678067AE03D5}]    <C:\WINDOWS\system32\tysqbkol.dll>
[{57AC9076-C898-B098-D098-A18319080975}]    <C:\WINDOWS\system32\nhmxejkl.dll>
[{80AF1289-F140-A140-D012-C1458759FC08}]    <C:\WINDOWS\system32\ypcqghlp.dll>
[{37A924AF-1A5F-CF21-AB1D-1D5CF82A8A73}]    <C:\WINDOWS\system32\zywlcime.dll>
[{38093456-9012-4568-9076-908765467183}]    <C:\WINDOWS\system32\tisqctyu.dll>
[{F6BBDC08-750B-4624-97D4-E9866DAD3B56}]    <C:\WINDOWS\Fonts\k8door1.dll>
注意该项[AppInit_DLLs]修改：把<arjrkler.dll,yzztmmsn.dll>修改为<>即清空
[N/A]    <C:\WINDOWS\system32\gksse\lsass.exe /t>

    系统修复－－　浏览器加载项之如下项删除：
[]    <C:\WINDOWS\system32\ypcqghlp.dll>
[]    <C:\WINDOWS\system32\apsggjba.dll>
[]    <C:\WINDOWS\system32\tysqbkol.dll>
[]    <C:\WINDOWS\system32\tisqctyu.dll>

哎 好老的虫啊

不仅仅是鸽子，还有木马群