1.请看瑞星扫描结果

2.进程中的可疑东东



刚查了点资料,,听说这玩意让图标都花了,,果然~

3.每次开机自动启动的瑞星监控不见了,,手动启动后一段时间会自行推出~

4.上日志



HijackThis_815汉化版扫描日志 V1.99.1
保存于      16:59:13, 日期 2006-10-30
操作系统：  Windows XP SP2 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：         
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\svchost.exe
D:\瑞星\Rising\Rav\CCenter.exe
C:\windows\System32\svchost.exe
d:\瑞星\rising\rfw\rfwsrv.exe
C:\windows\Explorer.EXE
C:\windows\system32\spoolsv.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\windows\system32\nvsvc32.exe
C:\windows\system32\svchost.exe
d:\瑞星\rising\rfw\RfwMain.exe
C:\windows\system32\ctfmon.exe
C:\windows\system32\conime.exe
D:\瑞星\Rising\Rav\Ravmond.exe
D:\瑞星\Rising\Rav\RavStub.exe
C:\windows\Logo1_.exe
D:\瑞星\Rising\Rav\RavMon.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\windows\system32\cmd.exe
D:\日志扫描\HijackThis1991zww.exe

F3 - REG:win.ini: load=C:\windows\rundl132.exe
O2 - BHO: 超级兔子上网精灵 - {7369D35A-5B70-4A5B-B789-B25FE09B4AF3} - C:\PROGRA~1\SUPERR~1\MAGICSET\haokanbar.dll
O3 - IE工具栏增项: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O3 - IE工具栏增项: 超级兔子上网精灵 - {43869BB3-22FD-4F15-9B46-238106BA2F4E} - C:\PROGRA~1\SUPERR~1\MAGICSET\haokanbar.dll
O4 - 启动项HKLM\\Run: [StormCodec_Helper] ; "C:\Program Files\Ringz Studio\Storm Codec\StormSet.exe" /S /opti
O4 - 启动项HKLM\\Run: [wl] C:\windows\Download\svhost32.exe
O4 - 启动项HKLM\\Run: [NvCplDaemon] RUNDLL32.EXE C:\windows\system32\NvCpl.dll,NvStartup
O4 - 启动项HKLM\\Run: [Tray] C:\windows\command\rundll32.exe
O4 - 启动项HKLM\\Run: [RavTask] "D:\瑞星\Rising\Rav\RavTask.exe" -system
O4 - HKCU\..\Run: [H/PC Connection Agent] ; "D:\dopod\WCESCOMM.EXE"
O4 - HKCU\..\Run: [ctfmon.exe] C:\windows\system32\ctfmon.exe
O4 - Startup: 宽带连接.lnk = ?
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - IE右键菜单中的新增项目: 上传到QQ网络硬盘 - D:\qq\AddToNetDisk.htm
O8 - IE右键菜单中的新增项目: 导出到 Microsoft Office Excel(&X) - res://D:\OFFICE~1\OFFICE11\EXCEL.EXE/3000
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - D:\qq\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - D:\qq\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - D:\qq\SendMMS.htm
O8 - IE右键菜单中的新增项目: 用比特精灵下载(&B) - D:\BT精灵\BitSpirit\bsurl.htm
O9 - 浏览器额外的按钮: 浩方对战平台 - {0A155D3C-68E2-4215-A47A-E800A446447A} - K:\浩方\浩方对战平台\GameClient.exe (file missing)
O9 - 浏览器额外的按钮: 创建移动收藏 - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - d:\dopod\INetRepl.dll
O9 - 浏览器额外的按钮: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - d:\dopod\INetRepl.dll
O9 - 浏览器额外的“工具”菜单项: 创建移动收藏... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - d:\dopod\INetRepl.dll
O9 - 浏览器额外的按钮: 番茄花园 - {6096E38F-5AC1-4391-8EC4-75DFA92FB32F} - http://www.tomatolei.com (file missing)
O9 - 浏览器额外的“工具”菜单项: 番茄花园 - {6096E38F-5AC1-4391-8EC4-75DFA92FB32F} - http://www.tomatolei.com (file missing)
O9 - 浏览器额外的按钮: 信息检索 - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\OFFICE~1\OFFICE11\REFIEBAR.DLL
O9 - 浏览器额外的按钮: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - D:\qq\QQ.EXE
O9 - 浏览器额外的“工具”菜单项: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - D:\qq\QQ.EXE
O14 - IERESET.INF: START_PAGE_URL=http://www.tomatolei.com
O16 - DPF: {18226BF8-DC0B-4D81-80E9-A41AE37BB73A} - http://download.pplive.com/market/weblive/smgbb/install.cab
O16 - DPF: {1E0DFFCF-27FF-4574-849B-55007349FEDA} (iTrusPTA Class) - https://img.alipay.com/download/1007/aliedit.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://pipi0701.spaces.live.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {62B938C4-4190-4F37-8CF0-A92B0A91CC77} (InfoSecNetSign Class) - https://mybank.icbc.com.cn/icbc/NetSign.dll
O16 - DPF: {73E4740C-08EB-4133-896B-8D0A7C9EE3CD} (AxInputControl Class) - https://mybank.icbc.com.cn/icbc/perbank/AXSafeControls.cab
O16 - DPF: {EDEDED2E-A0A6-4085-BC52-A95255A96DBD} (CyImgChinaCtl Class) - http://fs3.cyworld.com.cn/common/activex/CyImgChina.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{B49E8513-93D0-4332-90BE-32329444C440}: NameServer = 202.109.14.5 202.96.209.5
O18 - 列举现有的协议: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - 列举现有的协议: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O23 - NT 服务: HelpServer (HelpSe) - Windows (R) Server 2003 DDK provider - (no file)
O23 - NT 服务: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\windows\system32\nvsvc32.exe
O23 - NT 服务: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Co., Ltd. - d:\瑞星\rising\rfw\rfwsrv.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - D:\瑞星\Rising\Rav\CCenter.exe
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - D:\瑞星\Rising\Rav\Ravmond.exe

做好全格的准备吧

引用:

【仙剑VS景天的贴子】做好全格的准备吧 ………………

表吓偶啊~偶不要...

你中的是威金

[转帖]用工具清除威金病毒(Worm.Viking)变种及修复被感染的exe文件摘编自：江民社区 作者：cross988

以下所使用的工具请到论坛工具网盘下载： http://9ipc-net.ys168.com

威金Worm.Viking病毒发作特征层出不穷，如往共享打印机狂塞打印任务（打印当天日期），感染磁盘上所有exe 可执行文件，传播速度快，等等。防病毒厂商们也相对应的编译专杀工具，网上也有相关的清除方法，但对于没有安装杀毒软件及exe文件被病毒感染无法修复的用户，另外，大部分防病毒软件会在清除被威金病毒感染的exe文件的时候，是将这些exe文件删除，这样就会造成很多应用程序不能正常使用，如果希望在能完全清除此病毒，并修复被病毒感染的文件，此文应该是最理想的解决方案。（由于本人电脑上没这病毒，且懒的截图了，敬请谅解）
 

今天我主要教大家如何通过一些辅助工具清除及修复被病毒感染的文件，首先我向大家介绍威金病毒会生成的病毒文件及其路径：
$:\Program Files\svhost32.exe
$:\Program Files\micorsoft\svhost32.exe
$:\windows\explorer.exe
$:\windows\logo1_exe
$:\windows\rundll32.exe
$:\windows\rundl132.exe
$:\windows\intel\rundl132.exe
$:\windows\dll.dll
_desktop.ini

  以下我将通过两个辅助工具来解决威金病毒及他的部分变种，一个是大家熟悉的冰刃(Icesword)工具，一个是非官方版的威金专杀工具，此工具只扫描磁盘上的exe文件，它不但会帮你清除威金病毒的很多变种，还能在清除的同时帮你修复此文件。




断网，关闭防病毒软件（因为防病毒软件会删除被病毒感染的exe文件），启动冰刃工具，点击进程，结束rundll32.exe,svhost32.exe进程（注意病毒名及路径），运行此专杀工具，全盘查杀，它就会很快速的扫描全盘上的exe文件，如果文件没有被感染，在结果处就显示正常，如果是清除并修复，就会在后面显示bkwdwin 或 kwbywin


注意：此工具会在点击查杀全盘时多次提示需要插入A盘，你点击取消就可以了，另外在路径那里会显示什么电影上传目录等不用管它，可能是开发者留下的一些残留物而已，并不影响查杀病毒



Ok，做完这一切，好像差不多了，但仍然没有完全清除，因为上述动作并没有对\windows\dll.dll和_desktop.ini两个文件进行处理，只是当你删除dll.dll文件的时候，会提示拒绝访问，此文件是受保护或正在被调用。Ok，我们打开冰刃，在进程里找到explorer.exe进程（此文件会注入到桌面进程里），右键\模块信息\在里面找到dll.dll项，卸载或强行解除就行了，然后展开到\windows文件夹，找到并删除dll.dll就可以，至于_desktop.ini文件，可以通过搜索功能，将它从每个文件夹下找出来，然后一起删掉，为了安全起见，最好大家查找一下这些文件夹下还有没这些文件，最后，打开注册表\编辑\查找，将logo1_exe，rundl132.exe启动项清除（本人太懒，就不单一列出路径了）。做完这一步，病毒就彻底从你的电脑上了。



敬告，如果是企业用户，最好是同时断网每台清除，要不就会有杀不完的病毒，另外及时更新病毒库

【回复“红夜鬼1”的帖子】

没有rundll32.exe,svhost32.exe进程诶,,只有6个svhost.exe进程...

svhost.exe是正常的,
有些人中了,会少几文件,
那就算了


请下载SREng2（最新版） ，使用“智能扫描”，按下“扫描”按钮进行扫描，
扫描完成后按下“保存报告”按钮保存报告日志文件（SREng.LOG），把保存的报告
日志文件内容复制-粘贴上来,,日志一次粘不完，分次粘完，请不要修改。

下载地址
http://www.kztechs.com/sreng/sreng2.zip

2006-10-30,17:55:20

System Repair Engineer 2.0.21.505 (2.0 RC 2)
Smallfrogs (http://www.KZTechs.com)

Windows XP Professional Service Pack 2 (Build 2600)
- 管理权限用户 - 完整功能

以下内容被选中：
    所有的启动项目（包括注册表、启动文件夹、服务等）
    浏览器加载项
    正在运行的进程（包括进程模块信息）
    文件关联


启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <H/PC Connection Agent><; "D:\dopod\WCESCOMM.EXE">  []
    <ctfmon.exe><C:\windows\system32\ctfmon.exe>  [Microsoft Corporation]
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <load><C:\windows\rundl132.exe>  []
    <run><>  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <StormCodec_Helper><; "C:\Program Files\Ringz Studio\Storm Codec\StormSet.exe" /S /opti>  []
    <wl><C:\windows\Download\svhost32.exe>  []
    <NvCplDaemon><RUNDLL32.EXE C:\windows\system32\NvCpl.dll,NvStartup>  [NVIDIA Corporation]
    <Tray><C:\windows\command\rundll32.exe>  []
    <RavTask><"D:\瑞星\Rising\Rav\RavTask.exe" -system>  [Beijing Rising Technology Co., Ltd.]
    <xy><C:\windows\Download\svhost32.exe>  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe>  [Microsoft Corporation]
    <Userinit><C:\windows\system32\userinit.exe,>  [Microsoft Corporation]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><>  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <UIHost><logonui.exe>  [Microsoft Corporation]

==================================
启动文件夹
[Adobe Gamma Loader]
  <C:\Documents and Settings\All Users.WINDOWS\「开始」菜单\程序\启动\Adobe Gamma Loader.lnk><N>
[宽带连接]
  <C:\Documents and Settings\Administrator.97494D4EA9844DD\「开始」菜单\程序\启动\宽带连接.lnk><N>

==================================
服务
[HelpServer / HelpSe]
  <><N/A>
[intarnet / intarnet]
  <><N/A>
[NVIDIA Display Driver Service / NVSvc]
  <C:\windows\system32\nvsvc32.exe><NVIDIA Corporation>
[Rising Personal Firewall Service / RfwService]
  <d:\瑞星\rising\rfw\rfwsrv.exe><Beijing Rising Technology Co., Ltd.>
[Rising Process Communication Center / RsCCenter]
  <"D:\瑞星\Rising\Rav\CCenter.exe"><Beijing Rising Technology Co., Ltd.>
[RsRavMon Service / RsRavMon]
  <"D:\瑞星\Rising\Rav\Ravmond.exe"><Beijing Rising Technology Co., Ltd.>
[Wuauclt / Wuauclt]
  <><N/A>

==================================