瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 中木马了，清除不了，请求高手帮助（已扫描日志上传）

12   1  /  2  页   跳转页

中木马了，清除不了，请求高手帮助（已扫描日志上传）

收藏
幽幽1985
头像
初生襁褓狮
  • 帖子:21
  • 注册: 2005-07-18
  • 来自:
发表于： 2008-04-22 11:21 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

中木马了，清除不了，请求高手帮助（已扫描日志上传）

前几天浏览网页中了病毒，然后用卡卡上网助手清除了，但是卡卡显示的有一个漏洞KB948881，修补完再扫描还存在，操作多次，都是这样。电脑的病毒应该是没有清除干净，偶尔会弹出一些网页，比如环球，多赛网什么的，用瑞星杀毒软件全面查杀了很多次，显示没有病毒，很无奈，明明就是中毒了。今天卡卡上网助手显示中了木马病毒，位置c:\winnt\system32\5881.dll,显示清除成功，重新扫描还是存在，问过信息中心的人，他们告诉我重装系统，我觉得电脑问题并没有那么严重，我估计他们是嫌麻烦，希望各位高手们能够帮帮忙，谢谢了
扫描日志见附件

[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0)

附件附件:

下载次数:136
文件类型:application/octet-stream
文件大小:
上传时间:2008-4-22 11:21:10
描述:

最后编辑2008-04-23 14:37:18.200000000
分享到：
gototop
 
千寻旅
头像
社区嘉宾
  • 帖子:2910
  • 注册: 2007-08-17
  • 来自:
发表于： 2008-04-22 11:35 | 短消息 资料
字号： 小 中 大 2楼

用windows清理助手清理一下系统。
windows清理助手下载页面：http://www.arswp.com/download.html

然后使用System Repair Engineer扫描日志，将日志作为附件上传上来。
下载页面：http://www.kztechs.com/sreng/download.html
操作方法：
1、下载后解压缩，运行SREngPS.EXE；
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
4、选择保存路径，文件名保持默认，直接点击【保存】；
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；
6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序。
gototop
 
幽幽1985
头像
初生襁褓狮
  • 帖子:21
  • 注册: 2005-07-18
  • 来自:
发表于： 2008-04-22 15:01 | 只看楼主 短消息 资料
字号： 小 中 大 3楼

以下是用windows清理助手清理了两遍后仍可以扫描到的木马病毒：
adware.yasl.luckyie
C:\WINNT\59A91.TXT
HKEY_CLASSES_ROOT,IEHPR.INVOKE
HKEY_CLASSES_ROOT,IEHPR.INVOKE.1

trojan.t1d11
C:\DOCUMENTS AND SETTINGS\TINGTING.JIA\LOCAL SETTINGS\TEMP\CML7.TMP
C:\WINNT\A71.BMP
C:\WINNT\SYSTEM32\951.DLL

trojan.invoke.bho
C:\WINNT\7591.EXE
C:\WINNT\SYSTEM32\5881.DLL
HKEY_CLASSES_ROOT,CLSID\{FFB3D068-F8DA-4370-A71E-83B1C959CDD6}
HKEY_CLASSES_ROOT,TYPELIB\{134B9DCF-255B-44B5-BA77-93A185D8B159}
HKEY_LOCAL_MACHINE,SOFTWARE\CLASSES\CLSID\{FFB3D068-F8DA-4370-A71E-83B1C959CDD6}
HKEY_LOCAL_MACHINE,SOFTWARE\CLASSES\TYPELIB\{134B9DCF-255B-44B5-BA77-93A185D8B159}
HKEY_LOCAL_MACHINE,SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\BROWSER HELPER OBJECTS\{FFB3D068-F8DA-4370-A71E-83B1C959CDD6}

万能搜索变种
HKEY_LOCAL_MACHINE,SYSTEM\CONTROLSET001\SERVICES\EVENTLOG\APPLICATION\MS_2FAX
HKEY_LOCAL_MACHINE,SYSTEM\CONTROLSET001\SERVICES\MS_2FAX
HKEY_LOCAL_MACHINE,SYSTEM\CURRENTCONTROLSET\ENUM\ROOT\LEGACY_MS_2FAX
HKEY_LOCAL_MACHINE,SYSTEM\CURRENTCONTROLSET\SERVICES\EVENTLOG\APPLICATION\MS_2FAX
HKEY_LOCAL_MACHINE,SYSTEM\CURRENTCONTROLSET\SERVICES\MS_2FAX

adware.faxclient
HKEY_LOCAL_MACHINE,SYSTEM\CURRENTCONTROLSET\SERVICES\MS_2FAX,DISPLAYNAME
HKEY_LOCAL_MACHINE,SYSTEM\CURRENTCONTROLSET\SERVICES\MS_2FAX,ERRORCONTROL

trojan.raxx.xxpri
HKEY_LOCAL_MACHINE,SYSTEM\CONTROLSET001\ENUM\ROOT\LEGACY_MS_2FAX

reporter/roreg
C:\DOCUMENTS AND SETTINGS\TINGTING.JIA\LOCAL SETTINGS\TEMP\FVQ3.TMP

nwiuu/dfssvr木马
C:\WINNT\SYSTEM32\88F51.EXE
gototop
 
幽幽1985
头像
初生襁褓狮
  • 帖子:21
  • 注册: 2005-07-18
  • 来自:
发表于： 2008-04-22 15:05 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

以下是使用System Repair Engineer扫描日志

附件附件:

下载次数:113
文件类型:application/octet-stream
文件大小:
上传时间:2008-4-22 15:05:30
描述:
gototop
 
天月来了
头像
版主
  • 帖子:76904
  • 注册: 2007-02-06
  • 来自:
发表于： 2008-04-22 15:26 | 短消息 资料
字号： 小 中 大 5楼

C:\WINNT\system32\r_server.exe
D:\GENERSOFT\MYGS_PSERIES_YY\erpsj.exe
这是什么玩意？？？？
————————————————————————————————————
文件；

D:\GENERSOFT\MYGS_PSERIES_YY\erpsj.exe
C:\WINNT\system32\951.dll
C:\WINNT\system32\9a9a.exe
C:\WINNT\Downlo~1\59ab.dll
c:\winnt\inf\dev01.inf
C:\WINNT\system32\r_server.exe
C:\WINNT\system32\88f51.exe
C:\WINNT\system32\5881.dll
C:\WINNT\system32\ADMDLL.dll


启动项目
注册表
    <erpupdate><D:\GENERSOFT\MYGS_PSERIES_YY\erpsj.exe>  []
    <951><rundll32 C:\WINNT\system32\951.dll,Always>  [  ]
    <9a9a><C:\WINNT\system32\9a9a.exe>  []
    <59ab><rundll32 "C:\WINNT\Downlo~1\59ab.dll",Run>  [N/A]

==================================
服务
[DCOM Service Process Manager / DCOMManager64][Others/Auto Start]
  <C:\WINNT\system32\svchost.exe -k netsvcs-->c:\winnt\inf\dev01.inf><N/A>

[Remote Administrator Service / r_server][Running/Auto Start]
  <"C:\WINNT\system32\r_server.exe" /service><N/A>

[ms_2fax / ms_2fax][Running/Auto Start]
  <C:\WINNT\system32\88f51.exe><Microsoft Corporation>

==================================
浏览器加载项
[Invoke Class]
  {FFB3D068-F8DA-4370-A71E-83B1C959CDD6} <C:\WINNT\system32\5881.dll, >
gototop
 
幽幽1985
头像
初生襁褓狮
  • 帖子:21
  • 注册: 2005-07-18
  • 来自:
发表于： 2008-04-22 16:02 | 只看楼主 短消息 资料
字号： 小 中 大 6楼

我也不懂，反正就是不管用什么清，都清不干净，还是会弹网页
gototop
 
幽幽1985
头像
初生襁褓狮
  • 帖子:21
  • 注册: 2005-07-18
  • 来自:
发表于： 2008-04-22 16:03 | 只看楼主 短消息 资料
字号： 小 中 大 7楼

您写的东西我也看不懂
gototop
 
天月来了
头像
版主
  • 帖子:76904
  • 注册: 2007-02-06
  • 来自:
发表于： 2008-04-22 16:24 | 短消息 资料
字号： 小 中 大 8楼


————————————————————————————————————
这里官网下载费尔木马强力清除助手,勾选“抑制文件再生”删除。
http://dl.filseclab.com/down/powerrmv.zip

删除文件；
C:\WINNT\system32\951.dll
C:\WINNT\system32\9a9a.exe
C:\WINNT\Downlo~1\59ab.dll
c:\winnt\inf\dev01.inf
C:\WINNT\system32\r_server.exe
C:\WINNT\system32\88f51.exe
C:\WINNT\system32\5881.dll
C:\WINNT\system32\ADMDLL.dll

————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除：
启动项目
注册表
<951><rundll32 C:\WINNT\system32\951.dll,Always> [ ]
<9a9a><C:\WINNT\system32\9a9a.exe> []
<59ab><rundll32 "C:\WINNT\Downlo~1\59ab.dll",Run> [N/A]
——————————————————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》Win32服务应用程序》里面找下面项删除，或将启动类型改为“Disabled”
==================================
服务
[DCOM Service Process Manager / DCOMManager64][Others/Auto Start]
<C:\WINNT\system32\svchost.exe -k netsvcs-->c:\winnt\inf\dev01.inf><N/A>

[Remote Administrator Service / r_server][Running/Auto Start]
<"C:\WINNT\system32\r_server.exe" /service><N/A>

[ms_2fax / ms_2fax][Running/Auto Start]
<C:\WINNT\system32\88f51.exe><Microsoft Corporation>
—————————————————————————————
在扫日志的SRENG工具》系统修复》浏览器加载项》里面找下面删除
==================================
浏览器加载项
[Invoke Class]
{FFB3D068-F8DA-4370-A71E-83B1C959CDD6} <C:\WINNT\system32\5881.dll, >

————————————————————————————————————
再重启电脑，反复检查，操作删除，

————————————————————————————————————
再重启电脑，

用下载的“清理临时文件工具ATF-Cleaner-cn”，全选所有项目，点击“立即清理”
下载：http://www.qispace.com.cn/attachment.php?fid=34

用W i n d o w s 清理助手 ，清理你那系统。
W i n d o w s 清理助手 下载:http://www.arswp.com/

升级杀毒软件至最新版本全盘杀毒。
下载卡卡助手，清理你那系统。
记得打打系统漏洞补丁
gototop
 
天月来了
头像
版主
  • 帖子:76904
  • 注册: 2007-02-06
  • 来自:
发表于： 2008-04-22 16:27 | 短消息 资料
字号： 小 中 大 9楼

D:\GENERSOFT文件夹里到底是什么东西？？？？？？？？

难道你自己都不知道？？？？？？
gototop
 
幽幽1985
头像
初生襁褓狮
  • 帖子:21
  • 注册: 2005-07-18
  • 来自:
发表于： 2008-04-23 14:36 | 只看楼主 短消息 资料
字号： 小 中 大 10楼

那是浪潮的ERP,非常谢谢您的帮助
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT