12   1  /  2  页   跳转页

[原创] 中招了,请帮忙!

收藏
本主题由 版主 天月来了 于 2009-1-21 14:31:37 执行 合并主题 操作
ygbit
头像
初生襁褓狮
  • 帖子:39
  • 注册: 2008-06-25
  • 来自:
发表于： 2009-01-21 00:02 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

中招了,请帮忙!

开机后瑞星提示有驱动程序之类的要安装,我选择阻止,可疑文件是C:\WINDOWS\SYSTEM32\SYSTEM-SYSTENSGIVB.EXE,还有个好象是什么CONIME.EXE什么的,这个不是系统文件吗?也好象是个后门啊?瑞星主防同时杀了好几个,我开机后又有了,下面是病毒信息:
                                                           
Trojan.DL.Win32.VB.zbj
Trojan.DL.Win32.VB.zft
AdWare.Win32.Undef.dln

日志我发上来了!

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.1.4322; MAXTHON 2.0)

附件附件:

下载次数:205
文件类型:text/plain
文件大小:
上传时间:2009-1-21 0:01:38
描述:txt
分享到：
gototop
 
夲號ヱ被ジ盜
头像
叱咤花甲狮
  • 帖子:7083
  • 注册: 2008-08-21
  • 来自:昆仑琼华派
论坛8周年活动礼物就爱不长大论坛9周年纪念冰激凌10温馨圣诞十周年国庆61周年十一周年勋章
发表于： 2009-01-21 07:25 | 短消息 资料
字号： 小 中 大 2楼

回复: 中招了,请帮忙!

删除以下服务/驱动：
[system-systensg--pv / system-systensg--pv][Stopped/Auto Start]
  <C:\WINDOWS\system32\system-systensgivb.exe><N/A>
说说报毒的文件，好给你文件替换
再用这个顽固清除工具查下
http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/

附件附件:

文件名:conime.rar
下载次数:183
文件类型:application/octet-stream
文件大小:
上传时间:2009-1-21 7:25:13
描述:rar

最后编辑夲號ヱ被ジ盜 最后编辑于 2009-01-21 07:26:44
gototop
 
aaccbbdd
头像
卡卡巡查
  • 帖子:45933
  • 注册: 2007-11-17
  • 来自:蜀山仙剑派
论坛8周年活动礼物卡卡名人堂祖国六十华诞09欢乐圣诞吃货勋章2012我眼中的你们幸福玫瑰
发表于： 2009-01-21 09:50 | 短消息 资料
字号： 小 中 大 3楼

回复：中招了,请帮忙!

1.建议使用XDelBox删除以下文件： Xdelbox1.8下载地址
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。


c:\windows\system32\system-systensgivb.exe

2.删除重启后使用SREng修复下面各项：
    启动项目 －－ 服务 －－ Win32服务应用程序之如下项删除：
  (勾选隐藏已认证的微软项目,选中有问题的驱动/服务后，点"删除服务"，点"设置"按钮即可。注意弹出的窗口中要点"否NO"才是确认删除服务）

[system-systensg--pv / system-systensg--pv]    <C:\WINDOWS\system32\system-systensgivb.exe>
gototop
 
ygbit
头像
初生襁褓狮
  • 帖子:39
  • 注册: 2008-06-25
  • 来自:
发表于： 2009-01-21 12:58 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

回复: 中招了,请帮忙!

谢谢楼上两位大虾的帮忙,我按你门的操作做了,重起后,瑞星监测到了C:\WINDOWS\SYSTEM32\SERVICES.EXE 这个可疑程序,我阻止了,是不是没搞干净啊? 日志我又扫了一份上来,给看下!

下面是昨天对病毒执行信息,我有必要替换被病毒感染的文件吗?
Trojan.DL.Win32.VB.zbj                                  删除染毒文件成功
2009-01-20 21:20:47                                    文件监控
C:\WINDOWS\SYSTEM32\CC.EXE                  C:\WINDOWS\SYSTEM32\INERTNE.EXE
                           
Trojan.DL.Win32.VB.zft                                  删除染毒文件成功
2009-01-20 21:20:45                                    文件监控
C:\WINDOWS\SYSTEM32\CC.EXE                C:\WINDOWS\SONDMAN.EXE

Trojan.DL.Win32.VB.zft                                  删除染毒文件成功
2009-01-20 21:20:44                                    文件监控
                                                                      C:\WINDOWS\SYSTEM32\CC.EXE>>nspack>>65

Trojan.DL.Win32.VB.zbj                                  删除染毒文件成功
2009-01-20 21:20:41                                    文件监控
                                                                      C:\WINDOWS\SYSTEM32\CC.EXE>>nspack>>66

AdWare.Win32.Undef.dln                              删除染毒文件成功
2009-01-20 18:26:53                                    文件监控
C:\DOCUME~1\NEW\LOCALS~1\TEMP\IS-IRF4R.TMP\CORE.EXE    C:\WINDOWS\SYSTEM32\MSXMLFILTA.DLL

附件附件:

下载次数:224
文件类型:text/plain
文件大小:
上传时间:2009-1-21 12:58:12
描述:txt

最后编辑ygbit 最后编辑于 2009-01-21 13:01:46
gototop
 
天月来了
头像
版主
  • 帖子:76904
  • 注册: 2007-02-06
  • 来自:
发表于： 2009-01-21 13:46 | 短消息 资料
字号： 小 中 大 5楼

回复：中招了,请帮忙!

C:\WINDOWS\SYSTEM32\CC.EXE文件删除
C:\DOCUME~1\NEW\LOCALS~1\TEMP\IS-IRF4R.TMP\CORE.EXE文件删除

不会删，就这里下载费尔木马强力清除助手,点选“抑制文件再生”删除文件。
http://bbs.ikaka.com/attachment.aspx?attachmentid=446804
百年以后，你的墓碑旁 刻着的名字不是我
gototop
 
ygbit
头像
初生襁褓狮
  • 帖子:39
  • 注册: 2008-06-25
  • 来自:
发表于： 2009-01-21 14:28 | 只看楼主 短消息 资料
字号： 小 中 大 6楼

疑惑???

我每次开机瑞星都监测到可疑程序安装驱动:
可疑程序:C:\WINDOWS\SYSTEM32\SERVICES.EXE
驱动服务名:\REGISTRY\MACHINE\SYSTEM\CURRENTCONTROLSET\SERVICES\RFWTDI
我就点阻止安装


上面的不是瑞星防火墙相关驱动吗?难道瑞星辨别不了自己的程序?或是误报?还是我机子有毒?
杀软版本21.22.11  防火墙21.22
我把扫描日志发上来了,各位给看下吧!

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.1.4322; MAXTHON 2.0)

附件附件:

下载次数:213
文件类型:text/plain
文件大小:
上传时间:2009-1-21 14:28:10
描述:txt

最后编辑ygbit 最后编辑于 2009-01-21 14:53:21
gototop
 
backway
头像
卡卡反病毒小组
  • 帖子:2473
  • 注册: 2008-11-20
  • 来自:
发表于： 2009-01-21 15:15 | 短消息 资料
字号： 小 中 大 7楼

回复：中招了,请帮忙!

日志显示正常
从日志来看那个防火墙驱动已经安装了
gototop
 
backway
头像
卡卡反病毒小组
  • 帖子:2473
  • 注册: 2008-11-20
  • 来自:
发表于： 2009-01-21 15:20 | 短消息 资料
字号： 小 中 大 8楼

回复 6F ygbit 的帖子

阻止加载驱动后防火墙工作是否正常呢？
gototop
 
万事达
头像
社区嘉宾
  • 帖子:23068
  • 注册: 2007-08-17
  • 来自:123
年度优秀版主奖论坛8周年活动礼物09欢乐圣诞
发表于： 2009-01-21 16:29 | 短消息 资料
字号： 小 中 大 9楼

回复：中招了,请帮忙!

在杀毒软件默认设置下，瑞星会自动放过自己的驱动。

如果提示瑞星的程序在加载驱动，请提供截图和提示的文件。
gototop
 
ygbit
头像
初生襁褓狮
  • 帖子:39
  • 注册: 2008-06-25
  • 来自:
发表于： 2009-01-21 18:11 | 只看楼主 短消息 资料
字号： 小 中 大 10楼

回复: 中招了,请帮忙!

无论阻止还是允许,防火墙好象没什么异常。开机后仍然出现我所说的瑞星监控提示。
截图在附件里，麻烦你门下一下看看。

附件附件:

文件名:截图.rar
下载次数:234
文件类型:application/octet-stream
文件大小:
上传时间:2009-1-21 18:10:44
描述:rar
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT