瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 寻求Trojan.PSW.LMir.jwb病毒的解决办法。

12   1  /  2  页   跳转页

寻求Trojan.PSW.LMir.jwb病毒的解决办法。

收藏
enchina
头像
初生襁褓狮
  • 帖子:12
  • 注册: 2006-04-28
  • 来自:
发表于： 2006-04-28 17:25 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

寻求Trojan.PSW.LMir.jwb病毒的解决办法。

2006.4.25我打开www.cnnb.com.cn这个网站，然后跳出一个对话框，我就打开它了，要修改注册表，我也同意了。
以后每次一开机就会跳出“Windows无法访问指定设备,路径或文件.您可能没有合适的权限访问这个项目”这个对话框，是000.exe文件。同时瑞星也会杀毒。再用瑞星查毒就不会显示有病毒！但每次重启还是同样的情况出现！
最后编辑2006-04-29 10:48:18
分享到：
gototop
 
轩辕小聪
头像
卡卡技术团队
  • 帖子:8368
  • 注册: 2006-01-09
  • 来自:
卡卡名人堂论坛9周年纪念
发表于： 2006-04-28 18:29 | 短消息 资料
字号： 小 中 大 2楼

在瑞星历史记录的注册表操作日志里找到那次注册表修改的记录把有关内容粘贴上来。找到杀毒的记录，也一并贴上来。
gototop
 
enchina
头像
初生襁褓狮
  • 帖子:12
  • 注册: 2006-04-28
  • 来自:
发表于： 2006-04-28 18:48 | 只看楼主 短消息 资料
字号： 小 中 大 3楼

【回复“轩辕小聪”的帖子】
以下是我刚用hijackthis分析的日志：

HijackThis@Qoo的扫描日志  V1.97.7
Scan saved at 18:42:42, on 2006-4-28
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
D:\Program Files\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
D:\Program Files\Rising\Rav\Ravmond.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
D:\Program Files\Rising\Rav\RavStub.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
D:\Program Files\Rising\Rav\RavTask.exe
D:\Program Files\Rising\Rav\Ravmon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
D:\Program Files\Tencent\QQ\QQ.exe
D:\Program Files\Tencent\QQ\TIMPlatform.exe
D:\Program Files\Rising\Rav\RsAgent.exe
C:\WINDOWS\msagent\AgentSvr.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\notepad.exe
D:\下载\HijackThis.exe

R3 - URLSearchHook: (no name) - {982CB676-38F0-4D9A-BB72-D9371ABE876E} - (no file)
R3 - URLSearchHook: (no name) - {BAB1AC41-6FF7-4F2E-A04E-5C592CCFEA7D} - (no file)
O1 - Hosts: 218.85.132.38 www.bastong.com
O1 - Hosts: 218.85.132.38 cool889987.bigwww.com
O2 - BHO: (no name) - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:\WINDOWS\system32\xunleibho_v8.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SohuDAIEHelper - {0CA51D02-7739-43EA-8D9A-1E8AD4327B03} - C:\Program Files\P4P\sodaie.dll (file missing)
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162} - D:\Program Files\Tencent\QQ\QQIEHelper.dll
O2 - BHO: YDragSearch - {62EED7C6-9F02-42f9-B634-98E2899E147B} - C:\PROGRA~1\Yahoo!\ASSIST~1\Assist\YDRAGS~1.DLL (file missing)
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [RavTask] "D:\Program Files\Rising\Rav\RavTask.exe" -system
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\update.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [meetim] C:\Livim\livim.exe -noflash -noshow
O4 - HKLM\..\RunOnce: [RavStub] "D:\Program Files\Rising\Rav\ravstub.exe" /RUNONCE
O4 - Startup: NTUSER.DAT
O4 - Startup: ntuser.dat.LOG
O4 - Startup: ntuser.ini
O4 - Startup: keyfile
O4 - Global Startup: ntuser.dat
O4 - Global Startup: ntuser.dat.LOG
O8 - Extra context menu item: &使用迅雷下载 - d:\Program Files\Thunder Network\Thunder\geturl.htm
O8 - Extra context menu item: &使用迅雷下载全部链接 - d:\Program Files\Thunder Network\Thunder\getallurl.htm
O8 - Extra context menu item: 上传到QQ网络硬盘 - D:\Program Files\Tencent\QQ\AddToNetDisk.htm
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: 添加到QQ自定义面板 - D:\Program Files\Tencent\QQ\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - D:\Program Files\Tencent\QQ\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - D:\Program Files\Tencent\QQ\SendMMS.htm
O9 - Extra button: QQ (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://www.microsoft.com/
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{58AD7AFA-D808-45EB-B1B7-45C73B26940E}: NameServer = 202.96.104.26
O17 - HKLM\System\CCS\Services\Tcpip\..\{F877C885-66A2-483C-B415-BBACAFCF472E}: NameServer = 202.96.104.26
gototop
 
enchina
头像
初生襁褓狮
  • 帖子:12
  • 注册: 2006-04-28
  • 来自:
发表于： 2006-04-28 18:53 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

病毒名称处理结果发现日期扫描方式路径文件
Trojan.PSW.LMir.jwb删除成功2006-04-27 08:11文件监控C:\WINDOWS\system32\drivers\etc000.exe
Trojan.PSW.LMir.jwb删除成功2006-04-28 15:40文件监控C:\WINDOWS\system32\drivers\etc000.exe
Trojan.PSW.LMir.jwb删除成功2006-04-28 15:47文件监控C:\WINDOWS\system32\drivers\etc000.exe
Trojan.PSW.LMir.jwb删除成功2006-04-28 16:05文件监控C:\WINDOWS\system32\drivers\etc000.exe
Trojan.PSW.LMir.jwb删除成功2006-04-28 16:20文件监控C:\WINDOWS\system32\drivers\etc000.exe
Trojan.PSW.LMir.jwb删除成功2006-04-28 16:23文件监控C:\WINDOWS\system32\drivers\etc000.exe
Trojan.PSW.LMir.jwb删除成功2006-04-28 16:44文件监控C:\WINDOWS\system32\drivers\etc000.exe
Trojan.PSW.LMir.jwb删除成功2006-04-28 18:16文件监控C:\WINDOWS\system32\drivers\etc000.exe
gototop
 
enchina
头像
初生襁褓狮
  • 帖子:12
  • 注册: 2006-04-28
  • 来自:
发表于： 2006-04-28 18:54 | 只看楼主 短消息 资料
字号： 小 中 大 5楼

进程名称路径数值名称数值数据操作日期操作方式操作结果
D:\下载\yassist4.exeHKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNYLive.exeC:\PROGRA~1\Yahoo!\ASSIST~1\YLive.exe2006-04-28 16:12修改同意修改
C:\PROGRA~1\Yahoo!\Assistant\yassistse.exeHKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNyassistse"C:\PROGRA~1\Yahoo!\Assistant\yassistse.exe"2006-04-28 16:12修改同意修改
C:\PROGRA~1\Yahoo!\Assistant\yassistse.exeHKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHCustomizeSearchhttp://seek.yisou.com/srchcust.htm2006-04-28 16:22修改同意修改
C:\PROGRA~1\Yahoo!\Assistant\yassistse.exeHKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSearchAssistanthttp://seek.yisou.com/srchasst.htm2006-04-28 16:22修改同意修改
C:\PROGRA~1\Yahoo!\Assistant\yassistse.exeHKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNyassistse2006-04-28 16:47删除同意修改
C:\WINDOWS\system32\regsvr32.exeHKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNYLive.exe2006-04-28 16:47删除同意修改
gototop
 
enchina
头像
初生襁褓狮
  • 帖子:12
  • 注册: 2006-04-28
  • 来自:
发表于： 2006-04-28 19:01 | 只看楼主 短消息 资料
字号： 小 中 大 6楼

还有我笔记本电脑上的多媒体主播台的声音大小也不能调节了，只能用鼠标点windows窗口右下角的喇叭调节。
gototop
 
轩辕小聪
头像
卡卡技术团队
  • 帖子:8368
  • 注册: 2006-01-09
  • 来自:
卡卡名人堂论坛9周年纪念
发表于： 2006-04-28 19:08 | 短消息 资料
字号： 小 中 大 7楼

HijackThis版本太老，日志不全。
http://forum.ikaka.com/topic.asp?board=28&artid=6979213第1楼重新下载HijackThis再扫一次。
只有这些注册表记录吗？是安装雅虎助手，呵呵，典型的流氓软件的安装方式。这个问题不大。
至于那个病毒，看看日志再说，估计还有个驱动程序。
gototop
 
黑灯黑火
头像
飘泊而立狮
  • 帖子:734
  • 注册: 2006-03-24
  • 来自:
发表于： 2006-04-28 19:13 | 短消息 资料
字号： 小 中 大 8楼

R3 - URLSearchHook: (no name) - {982CB676-38F0-4D9A-BB72-D9371ABE876E} - (no file)
R3 - URLSearchHook: (no name) - {BAB1AC41-6FF7-4F2E-A04E-5C592CCFEA7D} - (no file)
O1 - Hosts: 218.85.132.38 www.bastong.com
O1 - Hosts: 218.85.132.38 cool889987.bigwww.com


O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\update.exe
修复上面的项~~
并删除C:\WINDOWS\update.exe

另，下面这些运行项有点可疑~~
O4 - Startup: NTUSER.DAT
O4 - Startup: ntuser.dat.LOG
O4 - Startup: ntuser.ini
O4 - Startup: keyfile
O4 - Global Startup: ntuser.dat
O4 - Global Startup: ntuser.dat.LOG

还有，工具版本太低~~用下面这个重新扫描下~~
HijackThis V1.99.1汉化版下载及英文原版下载地址（二楼）
http://forum.ikaka.com/topic.asp?board=67&artid=5188931
gototop
 
enchina
头像
初生襁褓狮
  • 帖子:12
  • 注册: 2006-04-28
  • 来自:
发表于： 2006-04-28 19:26 | 只看楼主 短消息 资料
字号： 小 中 大 9楼

【回复“黑灯黑火”的帖子】
HijackThis_815汉化版扫描日志 V1.99.1
保存于      19:25:05, 日期 2006-4-28
操作系统：  Windows XP SP2 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
D:\Program Files\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
D:\Program Files\Rising\Rav\Ravmond.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
D:\Program Files\Rising\Rav\RavStub.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
D:\Program Files\Rising\Rav\RavTask.exe
D:\Program Files\Rising\Rav\Ravmon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
D:\Program Files\Tencent\QQ\QQ.exe
D:\Program Files\Tencent\QQ\TIMPlatform.exe
D:\Program Files\Rising\Rav\Rav.exe
D:\Program Files\Rising\Rav\RsAgent.exe
C:\WINDOWS\msagent\AgentSvr.exe
D:\下载\HijackThis1991zww.exe

R3 - URLSearchHook: (no name) - {982CB676-38F0-4D9A-BB72-D9371ABE876E} - (no file)
R3 - URLSearchHook: (no name) - {BAB1AC41-6FF7-4F2E-A04E-5C592CCFEA7D} - (no file)
O1 - Hosts: 218.85.132.38 www.bastong.com
O1 - Hosts: 218.85.132.38 cool889987.bigwww.com
O2 - BHO: ThunderIEHelper Class - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:\WINDOWS\system32\xunleibho_v8.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SohuDAIEHelper - {0CA51D02-7739-43EA-8D9A-1E8AD4327B03} - C:\Program Files\P4P\sodaie.dll (file missing)
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162} - D:\Program Files\Tencent\QQ\QQIEHelper.dll
O2 - BHO: YDragSearch - {62EED7C6-9F02-42f9-B634-98E2899E147B} - C:\PROGRA~1\Yahoo!\ASSIST~1\Assist\YDRAGS~1.DLL (file missing)
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - 启动项HKLM\\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - 启动项HKLM\\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - 启动项HKLM\\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - 启动项HKLM\\Run: [RavTask] "D:\Program Files\Rising\Rav\RavTask.exe" -system
O4 - 启动项HKLM\\Run: [ScanRegistry] C:\WINDOWS\update.exe
O4 - 启动项HKLM\\RunOnce: [RavStub] "D:\Program Files\Rising\Rav\ravstub.exe" /RUNONCE
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [meetim] C:\Livim\livim.exe -noflash -noshow
O8 - IE右键菜单中的新增项目: &使用迅雷下载 - d:\Program Files\Thunder Network\Thunder\geturl.htm
O8 - IE右键菜单中的新增项目: &使用迅雷下载全部链接 - d:\Program Files\Thunder Network\Thunder\getallurl.htm
O8 - IE右键菜单中的新增项目: 上传到QQ网络硬盘 - D:\Program Files\Tencent\QQ\AddToNetDisk.htm
O8 - IE右键菜单中的新增项目: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - D:\Program Files\Tencent\QQ\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - D:\Program Files\Tencent\QQ\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - D:\Program Files\Tencent\QQ\SendMMS.htm
O9 - 浏览器额外的按钮: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - D:\Program Files\Tencent\QQ\QQ.EXE
O9 - 浏览器额外的“工具”菜单项: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - D:\Program Files\Tencent\QQ\QQ.EXE
O9 - 浏览器额外的按钮: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - D:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - 浏览器额外的“工具”菜单项: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - D:\Program Files\Tencent\QQ\QQIEHelper.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.microsoft.com/
O17 - HKLM\System\CCS\Services\Tcpip\..\{58AD7AFA-D808-45EB-B1B7-45C73B26940E}: NameServer = 202.96.104.26
O17 - HKLM\System\CCS\Services\Tcpip\..\{F877C885-66A2-483C-B415-BBACAFCF472E}: NameServer = 202.96.104.26
O18 - 列举现有的协议: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - NT 服务: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - D:\Program Files\Rising\Rav\CCenter.exe
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - D:\Program Files\Rising\Rav\Ravmond.exe
gototop
 
enchina
头像
初生襁褓狮
  • 帖子:12
  • 注册: 2006-04-28
  • 来自:
发表于： 2006-04-28 19:28 | 只看楼主 短消息 资料
字号： 小 中 大 10楼

【回复“轩辕小聪”的帖子】
是只留下这些注册表日志了！
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT