smss.exe木马出现变种,详细情况我写下来了,希望高手帮我一下

checkrun运行结果
==========================================================================
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
==========================================================================
C-Media Mixer----------Mixer.exe /startup

NvCplDaemon----------RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

nwiz----------nwiz.exe /install

TkBellExe----------"C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot

KAVPersonal50----------"d:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize

PHIME2002ASync----------C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

PHIME2002A----------C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

IMJPMIG8.1----------"C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

MSPY2002----------C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC

NvMediaCenter----------RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

TProgram----------C:\WINDOWS\smss.exe


==========================================================================
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce
==========================================================================

==========================================================================
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
==========================================================================

==========================================================================
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
==========================================================================
ctfmon.exe----------C:\WINDOWS\system32\ctfmon.exe


==========================================================================
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce
==========================================================================

==========================================================================
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
==========================================================================

==========================================================================
3ꨮ?21?a????
==========================================================================
EXE???t1?a----------?y3
COM???t1?a----------?y3
BAT???t1?a----------?y3
PIF???t1?a----------?y3
SCR???t1?a----------?y3
REG???t1?a----------?y3
TXT???t1?a----------?y3

==========================================================================
Æô¶¯×é
==========================================================================
[C:\Documents and Settings\Administrator\¡¸¿ªÊ¼¡¹²Ëµ¥\³ÌÐò\Æô¶¯]

[C:\Documents and Settings\All Users\¡¸¿ªÊ¼¡¹²Ëµ¥\³ÌÐò\Æô¶¯]

==========================================================================
WIN.INI
==========================================================================
load =
run =

==========================================================================
SYSTEM.INI
==========================================================================
shell = explorer.exe 1

很明显,
TProgram----------C:\WINDOWS\smss.exe
shell = explorer.exe 1
是主要原因
我搜索了很多smss.exe木马的文章
下面这个是海色の月发表的解决办法,应该说海色の月说的现象和我这个木马非常相象
尤其是shell = explorer.exe 1(注意比正常情况多了个1),但是又和他说的现象有点不同
下面我把海色の月发表的贴出来:


作者：海色の月
这是一个WOW木马，最近好像中招的人多起来了，这个小木马除了和一般的小木马一样会建立自启动项、关联文件外，它还会修改很多其它关联信息，增加了病毒被激活的机率，也给清除带来了一点点麻烦。

在病毒文件没有删除之前所做的一些操作可能会调用激活病毒程序，所以在以下1和2步之间请尽量不要做多余的其它操作。顺利地删除病毒文件需要一点点技巧，在处理过程中慢慢体会吧……

1. 结束病毒的进程%Windows%\smss.exe

2. 删除相关文件：
C:\MSCONFIG.SYS
%Windows%\1.com
%Windows%\ExERoute.exe
%Windows%\explorer.com
%Windows%\finder.com
%Windows%\smss.exe
%Windows%\Debug\DebugProgram.exe
%System%\command.pif
%System%\dxdiag.com
%System%\finder.com
%System%\MSCONFIG.COM
%System%\regedit.com
%System%\rundll32.com
%ProgramFiles%\Internet Explorer\iexplore.com
%ProgramFiles%\Common Files\iexplore.pif

3. 恢复EXE文件关联
  删除[HKEY_CLASSES_ROOT\winfiles]项

4. 删除病毒启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Torjan Program"="%Windows%\smss.exe"
  修改[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]下
"shell"="Explorer.exe 1"
为
"shell"="Explorer.exe"

5. 恢复病毒修改的注册表信息：
(1)分别查找“command.pif”、“finder.com”、“rundll32.com”的信息，将“command.pif”、“finder.com”、“rundll32.com”修改为“rundll32.exe”

(2)查找“explorer.com”的信息，将“explorer.com”修改为“explorer.exe”

(3)查找“iexplore.com”的信息，将“iexplore.com”修改为“iexplore.exe”

(4)查找“iexplore.pif”的信息，将找到的“%ProgramFiles%\Common Files\iexplore.pif”修改为“%ProgramFiles%\Internet Explorer\iexplore.exe”



先说说现在该变种的相似和不同之处:
方法中第二步提到的删除
%Windows%\1.com
Windows%\ExERoute.exe
%Windows%\finder.com
%Windows%\smss.exe
....等等都能找到,而且文件创建时间确实是同一天
但是有些已经改了
比如Windows%\explorer.com,改为了exp1orer.com(E文的L改为了数字一)等等
另外还有部分文件我没找到,比如C:\MSCONFIG.SYS,%System%\command.pif等
第五步修改注册表中也无法找到“command.pif”、“finder.com”、“rundll32.com”等等

但是因为第四步情况完全一样,所以我觉得这很可能是该木马的变种

现在我最主要的问题就是该变种无法删除smss.exe
我尝试了很多方法,安全模式也同样会加载该进程,哪怕是cmd.exe /k  taskilst然后在删除该进程id也一样会自动加载,使用了具有windows延迟删除技术的软件也同样是杀掉以后立刻加载
所以忙活了一晚上仍然毫无进展

又搜索了海色の月的其他文章,其中一篇提到主要是五个键值要修改:

海色の月 2005-2-6 03:45 PM

一般有5个地方需要修改.

可能是你漏了一个,而且很可能就是这地方:
在注册表编辑器中定位到“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon”，编辑右边“Shell”的内容，修改为“Explorer.exe”。

但是现在没有这么多了,一般只有2`3个地方
开始的时候注册表文件里还有个叫TProgram的文件夹,里面含有非法的smss.exe
不过现在这个文件夹没再创建了

目前想到的主要特征就这些了,还希望高手帮小弟这个忙啊~我该如何全面封杀掉这个马呢?谢谢了~

再补充一个hijackthis
Logfile of HijackThis v1.99.1
Scan saved at 3:38:22, on 2006-2-23
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\alg.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\Mixer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\smss.exe
D:\Program Files\Maxthon\Maxthon.exe
G:\软件\hijackthis\HijackThis.exe

F2 - REG:system.ini: Shell=explorer.exe 1
O2 - BHO: QQBrowserHelperObject Class - {54EBD53A-9BC1-480B-966A-843A333CA162} - d:\Tencent\QQ\QQIEHelper.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - D:\PROGRA~1\FLASHGET\jccatch.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - D:\PROGRA~1\FLASHGET\fgiebar.dll
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [KAVPersonal50] "d:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TProgram] C:\WINDOWS\smss.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: 宽带连接.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: 使用网际快车下载 - D:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: 使用网际快车下载全部链接 - D:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: 导出到 Microsoft Excel(&x) - res://D:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: 添加到QQ自定义面板 - D:\Tencent\QQ\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - D:\Tencent\QQ\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - D:\Tencent\QQ\SendMMS.htm
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - d:\Tencent\QQ\QQ.EXE
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - d:\Tencent\QQ\QQ.EXE
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\PROGRA~1\FLASHGET\flashget.exe
O9 - Extra button: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - d:\Tencent\QQ\QQIEHelper.dll
O9 - Extra 'Tools' menuitem: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - d:\Tencent\QQ\QQIEHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {3D8F74EE-8692-4F8F-B8D2-7522E732519E} (WebActivater Control) - http://game.qq.com/QQGame2.cab
O16 - DPF: {D0A29C6C-AA71-4423-8C4A-5998B774C448} (IEDown Class) - http://download.ourgame.com/IEDown4.cab
O16 - DPF: {E4E2F180-CB8B-4DE9-ACBB-DA745D3BA153} (Rising Web Scan Object) - http://download.rising.com.cn/re ... r2006new/OL2006.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{904E40C9-B98B-4EE9-8D63-BE326B9FC45D}: NameServer = 192.168.24.68,192.168.0.117
O17 - HKLM\System\CCS\Services\Tcpip\..\{D34CC2D3-8D73-4833-9E51-0565CD9547AF}: NameServer = 202.103.24.68 202.103.0.117
O23 - Service: kavsvc - Kaspersky Lab - d:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: User Profile Hive Cleanup (UPHClean) - Unknown owner - C:\Program Files\UPHClean\uphclean.exe

用HIJACKTHIS日志是不能解决根本问题的

这是“龙字传奇”木马

参考：
http://forum.ikaka.com/topic.asp?board=28&artid=7678628
http://forum.ikaka.com/topic.asp?board=28&artid=7671061

如果处理不了可以加我Q群。