HijackThis_815汉化版扫描日志 V1.99.1
保存于      14:54:38, 日期 2006-10-19
操作系统：  Windows XP SP2 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\SYSTEM32\RUNDLL.EXE
C:\Program Files\Rising\Rav\RavTask.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\Intel\rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\FlashGet\flashget.exe
C:\WINDOWS\system32\conime.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Downloads\HijackThis1991zww.exe

F3 - REG:win.ini: load=C:\WINDOWS\rundl132.exe
O2 - BHO: IeCatch5 Class - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\PROGRA~1\FLASHGET\jccatch.dll
O3 - IE工具栏增项: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\fgiebar.dll
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "%SystemRoot%\IME\imjp8_1\IMJPMIG" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - 启动项HKLM\\Run: [nwiz] nwiz.exe /install
O4 - 启动项HKLM\\Run: [SoundMan] SOUNDMAN.EXE
O4 - 启动项HKLM\\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - 启动项HKLM\\Run: [Tray] C:\WINDOWS\command\rundll32.exe
O4 - 启动项HKLM\\Run: [rzt] C:\WINDOWS\Intel\rundll32.exe
O4 - 启动项HKLM\\Run: [wl] C:\WINDOWS\Download\svhost32.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - C:\Program Files\FlashGet\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - C:\Program Files\FlashGet\jc_all.htm
O14 - IERESET.INF: START_PAGE_URL=http://www.lenovo.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{E8B76B50-28A1-49CD-96C1-ACF45E790250}: NameServer = 202.101.224.69 202.101.226.68
O20 - AppInit_DLLs: 919331M.BMP
O23 - NT 服务: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - NT 服务: Safe network plug-in of pb (plug-in) - Unknown owner - c:\windows\rundll32.exe (file missing)
O23 - NT 服务: Volume Shadddddow Copyerq (Service332245) - Unknown owner - c:\windows\system\taskmrg.exe (file missing)
O23 - NT 服务: Uninterruptible Power Supply (UPS) - Unknown owner - c:\windows\ups.exe

连瑞星的专杀工具都拿他没办法
郁闷

瑞星的启动项和服务都没有了~~~(可能要重装,另 你是不是没有装墙?)
下载SREng(新版)
http://www.kztechs.com/

进入安全模式,
运行SREng,查找以下几个启动项(在启动项目中找),并删除这些启动项~


F3 - REG:win.ini: load=C:\WINDOWS\rundl132.exe
O4 - 启动项HKLM\\Run: [Tray] C:\WINDOWS\command\rundll32.exe
O4 - 启动项HKLM\\Run: [rzt] C:\WINDOWS\Intel\rundll32.exe
O4 - 启动项HKLM\\Run: [wl] C:\WINDOWS\Download\svhost32.exe

查找下面这些服务,并禁用(结尾有file missing的两项可直接删除,第三个可以先禁用,重启后再删除服务,及文件)
O23 - NT 服务: Safe network plug-in of pb (plug-in) - Unknown owner - c:\windows\rundll32.exe (file missing)
O23 - NT 服务: Volume Shadddddow Copyerq (Service332245) - Unknown owner - c:\windows\system\taskmrg.exe (file missing)
O23 - NT 服务: Uninterruptible Power Supply (UPS) - Unknown owner - c:\windows\ups.exe

另,在HijackThis这个工具中修复O20 - AppInit_DLLs: 919331M.BMP(如果在上面这个工具中可以看到这个,亦可处理~)

(注:以上操作建议在安全模式下进行~)


上面操作结束后,扫个日志帖上来(用SREng扫)

瑞星都已经安装好几边了

我先去试试吧

如果可知行文件被注入病毒，请参照此贴的工具进行修复
http://forum.ikaka.com/topic.asp?board=28&artid=8193749

围巾---不是logo1 、rundl132吗？

好像威金最明显的特征是rundl132.exe？

让它开始感染的是一个DLL文件(原来是dll.dll 现在可能名字有变化了~)
这个有时在sreng(新版)的日志中可以看出~

威金变种很多啊，尽管我认为我中的已经够全的了，但是还是有一些进程没有在我的机器上出现过
C:\Program Files\Internet Explorer\1SY.exe
C:\Program Files\Internet Explorer\2sy.exe
C:\Program Files\Internet Explorer\3sy.exe
C:\Program Files\Internet Explorer\4sy.exe
C:\Program Files\Internet Explorer\5sy.exe
C:\WINNT\viDLL.exe
C:\WINNT\cmd.exe
C:\WINNT\svhost32.exe
C:\WINNT\rundl132.exe(注意最后一个是1不是字母)
C:\WINNT\bootconf.exe
C:\winnt\system32\ShellExt\svchs0t.exe(注意那个数字0)
%SystemRoot% 代表系统目录，病毒会在winnt目录和 winnt/system32目录，新建如下文件名

%SystemRoot%\winnnt/intel/rundll32.exe

%SystemRoot%\h4x0r.com
%SystemRoot%\Logo1_.exe
%SystemRoot%\rundl132.exe
%SystemRoot%\0Sy.exe
%SystemRoot%\vDll.dll
%SystemRoot%\1Sy.exe
%SystemRoot%\2Sy.exe
%SystemRoot%\rundll23.exe
%SystemRoot%\3Sy.exe
%SystemRoot%\4Sy.exe
%SystemRoot%\5Sy.exe
%SystemRoot%\1.com
%SystemRoot%\a.exe
%SystemRoot%\bootconf.exe
%SystemRoot%\g0ld.com
%SystemRoot%\vidll.com
%SystemRoot%\exerouter.exe
%SystemRoot%\EXP10RER.com
%SystemRoot%\finders.com
%SystemRoot%\Shell.sys
%SystemRoot%\smss.exe
%SystemRoot%\kill.exe
%SystemRoot%\sws.dll
%SystemRoot%\sws32.dll

%SystemRoot%\system32\dllz.dll
%SystemRoot%\system32\msdll.dll
%SystemRoot%\system32\rundl123.com
%SystemRoot%\system32\rundll32.com
%SystemRoot%\system32\ServeHost.exe
%SystemRoot%\system32\shellext
%SystemRoot%\system32\ztdll.dll

按照4楼提供的连接

问题已经基本解决了
但是现在又有新的问题
瑞星安装后无法打开