病毒名称为trojan.dl.win32.mnless.bff，还有一个进程c:\window\ini\ini.exe不停的访问网络。。 我用hijackthis扫描了系统 日志如下
日志文件 Trend Micro HijackThis v 2.0.2
日志保存时间: 15:05:09,2009-2-11
操作系统: Windows XP SP1 (WinNT 5.01.2600)
IE版本: Internet Explorer v6.00 SP1 (6.00.2800.1106)
启动模式: 正常
正在运行的进程:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Rising\Rav\CCENTER.EXE
C:\Program Files\Rising\Rfw\CCENTER.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Rising\Rfw\rfwsrv.exe
C:\Program Files\Rising\Rav\RavMonD.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Rising\Rav\rsnetsvr.exe
C:\WINDOWS\ini\ini.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Program Files\Analog Devices\SoundMAX\PmProxy.exe
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\LTSMMSG.exe
C:\WINDOWS\System32\TPWRTRAY.EXE
C:\WINDOWS\System32\TFNF5.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
C:\WINDOWS\System32\ezSP_Px.exe
C:\Program Files\Drag'n Drop CD+DVD\BinFiles\DragDrop.exe
C:\Program Files\Rising\AntiSpyware\rstray.exe
C:\Program Files\StormII\stormliv.exe
C:\WINDOWS\System32\DVDRAMSV.exe
C:\Program Files\Rising\Rav\RsTray.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Rising\Rfw\RsTray.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Rising\Rav\RavTask.exe
C:\Program Files\Rising\Rfw\RavTask.exe
C:\Program Files\Rising\Rav\ScanFrm.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\conime.exe
C:\Documents and Settings\tx\桌面\hijackthis_v2.02h\HijackThis.exe
O1 - Hosts: 203.208.37.99 www.duba.net
O1 - Hosts: 203.208.37.99 shadu.duba.net
O1 - Hosts: 203.208.37.99 union.kingsoft.com
O1 - Hosts: 127.0.0.0 360.qihoo.com
O2 - BHO: Thunder AtOnce - {01443AEC-0FD1-40fd-9C87-E93D1494C233} - C:\Program Files\Thunder Network\Thunder\ComDlls\TDAtOnce_Now.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: ThunderBHO - {889D2FEB-5411-4565-8998-1DD2C5261283} - C:\Program Files\Thunder Network\Thunder\ComDlls\xunleiBHO_Now.dll
O2 - BHO: 卡卡上网安全助手 - {98B7C13A-E9CD-4959-8B46-FBEAB41E42A8} - C:\WINDOWS\System32\urlFilter.dll
O3 - IE 工具栏: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [PmProxy] C:\Program Files\Analog Devices\SoundMAX\PmProxy.exe
O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe
O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe
O4 - HKLM\..\Run: [LTSMMSG] LTSMMSG.exe
O4 - HKLM\..\Run: [Tpwrtray] TPWRTRAY.EXE
O4 - HKLM\..\Run: [TFNF5] TFNF5.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe
O4 - HKLM\..\Run: [Drag'n Drop CD+DVD] C:\Program Files\Drag'n Drop CD+DVD\BinFiles\DragDrop.exe /StartUp
O4 - HKLM\..\Run: [IMEKRMIG6.1] C:\WINDOWS\ime\imkr6_1\IMEKRMIG.EXE
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\System32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [runeip] "C:\Program Files\Rising\AntiSpyware\rstray.exe" /startup
O4 - HKLM\..\Run: [IMSCMig] C:\PROGRA~1\COMMON~1\MICROS~1\IME\IMSC40A\IMSCMIG.EXE /Preload
O4 - HKLM\..\Run: [RavTray] "C:\Program Files\Rising\Rav\RsTray.exe" -system
O4 - HKLM\..\Run: [RFWTray] "C:\Program Files\Rising\Rfw\RsTray.exe" -system
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [ctfmon.exe] C:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [ctfmon.exe] C:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [ctfmon.exe] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [ctfmon.exe] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - 扩展右键菜单项: 使用迅雷下载 - C:\Program Files\Thunder Network\Thunder\Program\GetUrl.htm
O8 - 扩展右键菜单项: 使用迅雷下载全部链接 - C:\Program Files\Thunder Network\Thunder\Program\GetAllUrl.htm
O8 - 扩展右键菜单项: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - 额外的按钮: 启动迅雷5 - {09BA8F6D-CB54-424B-839C-C2A6C8E6B436} - C:\Program Files\Thunder Network\Thunder\Thunder.exe
O9 - 额外的“工具”菜单项目: 启动迅雷5 - {09BA8F6D-CB54-424B-839C-C2A6C8E6B436} - C:\Program Files\Thunder Network\Thunder\Thunder.exe
O9 - 额外的按钮: 信息检索 - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - 额外的按钮: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - 额外的“工具”菜单项目: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {3AA9CF07-DF20-48FF-98BE-DED276E40146} (GDGetTokenInfo Class) - https://mybank.icbc.com.cn/icbc/GDReadPub.cab
O16 - DPF: {5CB840B5-A94E-4AD9-B785-4866E3B04476} (InfoSecNetSign Class) - https://mybank.icbc.com.cn/icbc/ICBCNetSignG.dll
O16 - DPF: {8D9E0B29-563C-4226-86C1-5FF2AE77E1D2} (AxSubmitControl Class) - https://mybank.icbc.com.cn/icbc/newperbank/AxSafeControls.cab
O20 - AppInit_DLLs: kmon.dll,ekinhgib.dll,fbnlkmgn.dll,gdinokgm.dll,dfcohogc.dll
O21 - SSODL: C87C27D9 - {C87C27D9-E062-492E-87A3-94E5D3E5CC62} - C:\WINDOWS\System32\concindp.dll(文件不存在)
O21 - SSODL: EB99BBAF - {EB99BBAF-8B55-4DBF-8E84-72C73F34BB0A} - C:\WINDOWS\System32\ebppbbaf.dll(文件不存在)
O21 - SSODL: E3BD0E2A - {E3BD0E2A-AE1F-4AC3-BF14-0413C1D449B2} - C:\WINDOWS\System32\ejbdgeia.dll(文件不存在)
O21 - SSODL: 289F47AF - {289F47AF-5DC8-4689-AE7F-3D7931DBA185} - C:\WINDOWS\System32\iopfknaf.dll(文件不存在)
O21 - SSODL: 2EF8822F - {2EF8822F-2C70-4D56-84CA-F6FE19D84993} - C:\WINDOWS\System32\iefooiif.dll(文件不存在)
O21 - SSODL: C:\WINDOWS\Fonts\vceilhox.dll - {3CA7A137-35F8-46CD-B83B-534CD13D5A67} - C:\WINDOWS\Fonts\cexkiawi.dll
O21 - SSODL: C:\WINDOWS\Fonts\cemhrgri.dll - {DF12F8AB-9A00-469C-B9D4-425C1BE3E1E6} - C:\WINDOWS\Fonts\zqjsnvev.dll
O21 - SSODL: C:\WINDOWS\Fonts\cexkiawi.dll - {3CA7A137-35F8-46CD-B83B-534CD13D5A67} - C:\WINDOWS\Fonts\cexkiawi.dll
O21 - SSODL: C:\WINDOWS\Fonts\zqjsnvev.dll - {DF12F8AB-9A00-469C-B9D4-425C1BE3E1E6} - C:\WINDOWS\Fonts\zqjsnvev.dll
O21 - SSODL: 1AD3A1D7 - {1AD3A1D7-9FA2-45D8-88C6-97CA990CA37B} - C:\WINDOWS\System32\hadjahdn.dll(文件不存在)
O23 - NT 服务:  Contrl Center of Storm Media (ccosm) - 北京暴风网际科技有限公司 - C:\Program Files\StormII\stormliv.exe
O23 - NT 服务:  DVD-RAM_Service - Matsuxxxa Electric Industrial Co., Ltd. - C:\WINDOWS\System32\DVDRAMSV.exe
O23 - NT 服务:  Rav Process Communication Center (RavCCenter) - Beijing Rising Information Technology Co., Ltd. - C:\Program Files\Rising\Rav\CCENTER.EXE
O23 - NT 服务:  Rising RavTask Manager (RavTask) - Beijing Rising Information Technology Co., Ltd. - C:\Program Files\Rising\Rav\RavTask.exe
O23 - NT 服务:  Rfw Process Communication Center (RfwCCenter) - Beijing Rising Information Technology Co., Ltd. - C:\Program Files\Rising\Rfw\CCENTER.EXE
O23 - NT 服务:  Rising Personal Firewall Service (RfwService) - Beijing Rising Information Technology Co., Ltd. - C:\Program Files\Rising\Rfw\rfwsrv.exe
O23 - NT 服务:  Rising RfwTask Manager (RfwTask) - Beijing Rising Information Technology Co., Ltd. - C:\Program Files\Rising\Rfw\RavTask.exe
O23 - NT 服务:  Rising RealTime Monitor (RsRavMon) - Beijing Rising Information Technology Co., Ltd. - C:\Program Files\Rising\Rav\RavMonD.exe
O23 - NT 服务:  Rising Scan Service (RsScanSrv) - Beijing Rising Information Technology Co., Ltd. - C:\Program Files\Rising\Rav\ScanFrm.exe
O23 - NT 服务:  SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
--
文件结束 - 8196 字节         
求高手帮帮忙 告诉我怎么解决 谢谢了

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

C:\WINDOWS\ini\ini.exe  中华吸血鬼变种 

楼主把这个样本传上来

对了  顺便看我下面签名扫份详细的Sreng日志上来

你说的那个样本是什么啊？

C:\WINDOWS\ini\ini.exe  中华吸血鬼变种  把这个路径的文件打包发上来  顺便在可疑交流区发一份  日志正在分析中

建议使用XDelBox(下载地址：http://bbs.ikaka.com/attachment.aspx?attachmentid=446806）
删除以下文件：（使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择粘贴.在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储设备

c:\windows\ini\xxx.vbs
c:\windows\fonts\zqjsnvev.dll
c:\windows\fonts\cexkiawi.dll
c:\windows\system32\iopkndde.dll
c:\windows\system32\gdinokgm.dll
c:\windows\system32\lpicabpn.dll
c:\windows\system32\mpokakcm.dll
c:\windows\system32\lanomlic.dll
c:\windows\system32\dfcohogc.dll
c:\windows\system32\tbmstdd.dll
c:\windows\system32\b70d5eca.dat
c:\windows\system32\drivers\vua.sys
c:\window\ini\ini.exe

删除重启后使用SREng修复下面各项：

启动项目 －－ 注册表之如下项删除：

[windir]    <%windir%\ini\xxx.vbs>
[C:\WINDOWS\Fonts\zqjsnvev.dll]    <C:\WINDOWS\Fonts\zqjsnvev.dll>
[C:\WINDOWS\Fonts\cexkiawi.dll]    <C:\WINDOWS\Fonts\cexkiawi.dll>
[C:\WINDOWS\Fonts\cemhrgri.dll]    <C:\WINDOWS\Fonts\zqjsnvev.dll>
[C:\WINDOWS\Fonts\vceilhox.dll]    <C:\WINDOWS\Fonts\cexkiawi.dll>
[{3CA7A137-35F8-46CD-B83B-534CD13D5A67}]    <C:\WINDOWS\Fonts\cexkiawi.dll>
[{DF12F8AB-9A00-469C-B9D4-425C1BE3E1E6}]    <C:\WINDOWS\Fonts\zqjsnvev.dll>
[{2EF8822F-2C70-4D56-84CA-F6FE19D84993}]    <>
[{289F47AF-5DC8-4689-AE7F-3D7931DBA185}]    <>
[{C87C27D9-E062-492E-87A3-94E5D3E5CC62}]    <>
[{EB99BBAF-8B55-4DBF-8E84-72C73F34BB0A}]    <>
[{E3BD0E2A-AE1F-4AC3-BF14-0413C1D449B2}]    <>
[{AC2DC2EF-5165-40A3-8CDF-41DCA1B0901A}]    <>
[{28947DDE-5266-4CA1-B469-E763EAF65746}]    <C:\WINDOWS\System32\iopkndde.dll>
[{0D278406-1C6E-400D-AF89-DE5E31AA3855}]    <C:\WINDOWS\System32\gdinokgm.dll>
[{592CAB97-7A93-401E-BB09-B85BAD45F0F4}]    <C:\WINDOWS\System32\lpicabpn.dll>
[{6984A4C6-E027-473F-9E83-3DEB4375F698}]    <C:\WINDOWS\System32\mpokakcm.dll>
[{5A78652C-0E6F-4F17-B533-9BCBCE98DA68}]    <C:\WINDOWS\System32\lanomlic.dll>
[{DFC8180C-9638-4A10-BBC5-58E6AC6890ED}]    <C:\WINDOWS\System32\dfcohogc.dll>
[IFEO[rfwstub.exe]]    <svchost.exe>
注意该项[AppInit_DLLs]修改：把<kmon.dll,ekinhgib.dll,fbnlkmgn.dll,gdinokgm.dll,dfcohogc.dll>修改为<>即清空

启动项目 －－ 服务 －－ Win32服务应用程序之如下项启动类型改为disabled,点中修改启动类型，点设置
：
MS Media Control Center / MediaCenter

启动项目 －－ 服务－－ 驱动程序之如下项删除:
SREng-在"启动项目->服务－>驱动程序中"选中"隐藏已认证的微软项目"然后删除下面名称的驱动程序(选中有问题的驱动后，点"删除服务"，点“设置”按钮即可。注意弹出的窗口中要点 "否NO"才是确认删除服务）(不能删除的就禁用:启动类型改为disabled,点中修改启动类型，点设置):

[SafeMon360 / SafeMon1]   
[chlcm / chlcm] 

用下载的“清理临时文件工具ATF-Cleaner-cn”，全选所有项目，点击“立即清理”
下载：http://bbs.ikaka.com/attachment.aspx?attachmentid=447126
用W i n d o w s 清理助手 ，清理系统。
W i n d o w s 清理助手 下载：http://www.arswp.com/

在c:\windows\ini下看不到ini.exe.....

谢谢了 我试试看。。。

第一个c:\windows\ini\xxx.vbs改成：

C:\windows\tasks下也有，删除了。

下载XDelBox删除以下文件(下载地址:http://dly2007.ys168.com)

使用说明:删除时复制所有要删除文件的路径 在待删除文件列表里点击右键选择从剪贴板导入 导入后在要删除文件上点击右键

选择立刻重启删除 电脑会重启进入DOS界面进行删除操作 运行xdelbox前最好卸载所有可移动存储介质(包括U盘、MP3、手机存储卡等)

-----------------------------------------------------
以下的删除操作最好在安全模式下进行
-----------------------------------------------------
C:\WINDOWS\Fonts\zqjsnvev.dll
C:\WINDOWS\Fonts\cexkiawi.dll
C:\WINDOWS\ini\xxx.vbs
C:\WINDOWS\System32\TbmstdD.dll
C:\WINDOWS\System32\mspmsnsv.dll
C:\WINDOWS\\System32\drivers\vua.sys
C:\WINDOWS\System32\B70D5ECA.dat

使用SREng--启动项目 －－注册表之如下项删除：
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <00THotkey><C:\WINDOWS\System32\00THotkey.exe>  [东芝公司]
    <000StTHK><000StTHK.exe>  []
    <LTSMMSG><LTSMMSG.exe>  [LT]
    <Tpwrtray><TPWRTRAY.EXE>  [东芝公司]
    <TFNF5><TFNF5.exe>  [Toshiba Corp.]


[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows](不要删除此项,编辑此项键值为kmon.dll即可)
    <AppInit_DLLs><kmon.dll,ekinhgib.dll,fbnlkmgn.dll,gdinokgm.dll,dfcohogc.dll>  [(Verified)Beijing Rising Information Technology Corporation Limited]


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{AC2DC2EF-5165-40A3-8CDF-41DCA1B0901A}><>  [N/A]
    <{E3BD0E2A-AE1F-4AC3-BF14-0413C1D449B2}><>  [N/A]
    <{EB99BBAF-8B55-4DBF-8E84-72C73F34BB0A}><>  [N/A]
    <{C87C27D9-E062-492E-87A3-94E5D3E5CC62}><>  [N/A]
    <{289F47AF-5DC8-4689-AE7F-3D7931DBA185}><>  [N/A]
    <{2EF8822F-2C70-4D56-84CA-F6FE19D84993}><>  [N/A]
    <{DF12F8AB-9A00-469C-B9D4-425C1BE3E1E6}><C:\WINDOWS\Fonts\zqjsnvev.dll>  []
    <{3CA7A137-35F8-46CD-B83B-534CD13D5A67}><C:\WINDOWS\Fonts\cexkiawi.dll>  []
    <{28947DDE-5266-4CA1-B469-E763EAF65746}><C:\WINDOWS\System32\iopkndde.dll>  [File is missing]
    <{0D278406-1C6E-400D-AF89-DE5E31AA3855}><C:\WINDOWS\System32\gdinokgm.dll>  [File is missing]
    <{592CAB97-7A93-401E-BB09-B85BAD45F0F4}><C:\WINDOWS\System32\lpicabpn.dll>  [File is missing]
    <{6984A4C6-E027-473F-9E83-3DEB4375F698}><C:\WINDOWS\System32\mpokakcm.dll>  [File is missing]
    <{5A78652C-0E6F-4F17-B533-9BCBCE98DA68}><C:\WINDOWS\System32\lanomlic.dll>  [File is missing]
    <{DFC8180C-9638-4A10-BBC5-58E6AC6890ED}><C:\WINDOWS\System32\dfcohogc.dll>  [File is missing]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
    <C:\WINDOWS\Fonts\vceilhox.dll><C:\WINDOWS\Fonts\cexkiawi.dll>  []
    <C:\WINDOWS\Fonts\cemhrgri.dll><C:\WINDOWS\Fonts\zqjsnvev.dll>  []
    <C:\WINDOWS\Fonts\cexkiawi.dll><C:\WINDOWS\Fonts\cexkiawi.dll>  []
    <C:\WINDOWS\Fonts\zqjsnvev.dll><C:\WINDOWS\Fonts\zqjsnvev.dll>  []

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{H8I22RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}]
    <windir><%windir%\ini\xxx.vbs>  []


使用SREng--启动项目 －－ 服务－－ Win32服务应用程序之如下项删除：
[MS Media Control Center / MediaCenter][Running/Auto Start]
  <C:\WINDOWS\System32\svchost.exe -k krnlsrvc-->C:\WINDOWS\System32\TbmstdD.dll><@ Microsoft Corporation. All rights reserved.>

使用SREng--启动项目 －－ 服务－－ 驱动程序之如下项删除：
[chlcm / chlcm][Running/Boot Start]
  <\SystemRoot\System32\drivers\vua.sys><N/A>
[SafeMon360 / SafeMon1][Running/System Start]
  <\??\C:\WINDOWS\System32\B70D5ECA.dat><N/A>

然后下载Windows清理助手进行清理http://www.arswp.com