【回复“hacken8888”的帖子】你光给我一个.sys文件没用。关键是要找到它的同伙——一个可执行文件.exe。这个文件的查找以及rootkit木马的查杀思路可参考我的帖子——Rootkit为什么难缠。地址：http://forum.ikaka.com/topic.asp?board=28&artid=6735962

请问防火墙能阻止这种病毒访问网络吗！并能查杀他吗？

学习了。多谢BAOHE。

也中这个病毒了，这两天一开机就重启，而且这个病毒是早上开机时发作一次，到了下午三点左右又发作一次，受不了！
昨天杀的是hpr34k8.sys 今天怎么变成orans.sys，怎么杀都不掉，明明是删除了，它又来了，连续的删了大概３０几次，终于不来了，估计明天开机它又会来！怎么办啊？我用的是瑞星，怎么就杀不死它呢？

引用:

【simply0的贴子】也中这个病毒了，这两天一开机就重启，而且这个病毒是早上开机时发作一次，到了下午三点左右又发作一次，受不了！ 昨天杀的是hpr34k8.sys 今天怎么变成orans.sys，怎么杀都不掉，明明是删除了，它又来了，连续的删了大概３０几次，终于不来了，估计明天开机它又会来！怎么办啊？我用的是瑞星，怎么就杀不死它呢？　 ...........................

【原贴内容】四、查杀方法：

1、先在IceSword的“设置”中勾选“禁止进程创建”，按“确定后，才能结束sounddv.exe进程。

你中的毒，那个.exe不一定是sounddv.exe，但肯定应该有一个.exe文件要先处理掉。否则，你就别想删除那个orans.sys。怎么没找到那个.exe？请仔细阅读并参考：http://forum.ikaka.com/topic.asp?board=28&artid=6787830

先在IceSword的“设置”中勾选“禁止进程创建”，按“确定后，才能结束sounddv.exe进程。

我不知道IceSword是这个什么，在哪里啊？

引用:

【simply0的贴子】先在IceSword的“设置”中勾选“禁止进程创建”，按“确定后，才能结束sounddv.exe进程。 我不知道IceSword是这个什么，在哪里啊？ ...........................

http://forum.ikaka.com/topic.asp?board=28&artid=6979213

这个“超级主题”3楼的附件就是IceSword。可惜的是——这个帖子就是没人仔细看！！

HijackThis_zww汉化版扫描日志 V1.99.1
保存于      1:24:03, 日期 2005-8-18
操作系统：  Windows 2000 SP2 (WinNT 5.00.2195)
浏览器：    Internet Explorer v5.00 SP2 (5.00.2920.0000)

当前运行的进程：         
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
C:\PROGRAM FILES\RISING\RAV\RavStub.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
C:\WINNT\system32\MSTask.exe
C:\WINNT\sysrestore.exe
C:\WINNT\Explorer.EXE
C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
C:\PROGRA~1\RISING\RAV\RAVMON.EXE
C:\WINNT\System32\internat.exe
C:\Program Files\rising\Rav\ScanBD.exe
C:\WINNT\System32\taskmgr.exe
C:\WINNT\System32\conime.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Windows NT\Accessories\wordpad.exe
D:\应用程序\新建文件夹 (4)\HijackThis1991zww.exe

O3 - IE工具栏增项: @msdxmLC.dll,-1@2052,电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - 启动项HKLM\\Run: [Synchronization Manager] mobsync.exe /logon
O4 - 启动项HKLM\\Run: [RavTimer] C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
O4 - 启动项HKLM\\Run: [RavMon] C:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - HKCU\..\Run: [Internat.exe] internat.exe
O9 - 浏览器额外的按钮: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - 浏览器额外的“工具”菜单项: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1124298971117
O17 - HKLM\System\CCS\Services\Tcpip\..\{696028DB-61B4-4B7A-B5C5-A85D8368282C}: NameServer = 202.103.24.68
O17 - HKLM\System\CS1\Services\Tcpip\..\{696028DB-61B4-4B7A-B5C5-A85D8368282C}: NameServer = 202.103.24.68
O17 - HKLM\System\CS2\Services\Tcpip\..\{696028DB-61B4-4B7A-B5C5-A85D8368282C}: NameServer = 202.103.24.68
O23 - NT 服务: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - rising - C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
O23 - NT 服务: systemrestore - Unknown owner - C:\WINNT\sysrestore.exe

顶下

快点发明个专杀工具啊，太复杂了，不会弄啊．．．．．．．