12   1  /  2  页   跳转页

如何铲除此顽固木马? 急急

收藏
canrrytan
头像
初生襁褓狮
  • 帖子:6
  • 注册: 2008-05-17
  • 来自:
发表于： 2008-05-17 10:25 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

如何铲除此顽固木马? 急急

我的电脑中了木马, 用360杀后,在重启出现:
c:\windows\soundman.exe NTVDM CPU 遇到无效指令....
要求我不关闭,关闭两次后,系统可以正常运行.

以下是我用HIJACKthis scan 的log

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:23:47, on 2008-5-17
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\VTTimer.exe
C:\WINDOWS\system32\VTtrayp.exe
C:\Program Files\VIAudioi\SBADeck\ADeck.exe
C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\conime.exe
C:\Program Files\360Safebox\safeboxTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
C:\Program Files\StormII\stormliv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: flashget2 urlcatch - {1F364306-AA45-47B5-9F9D-39A8B94E7EF1} - C:\Program Files\FlashGet Network\Flashget\ComDlls\bhoCATCH.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: SafeMon Class - {B69F34DD-F0F9-42DC-9EDD-957187DA688D} - C:\Program Files\360safe\safemon\safemon.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [AudioDeck] C:\Program Files\VIAudioi\SBADeck\ADeck.exe 1
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [SoundMan] SoundMan.exe
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [360Safebox] "C:\Program Files\360Safebox\safeboxTray.exe" /r
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [ctfmon.exe] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [ctfmon.exe] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe (User 'Default user')
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?SystemRoot%\Installer\{AC76BA86-1033-0000-7760-000000000002}\SC_Acrobat.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &使用快车(FlashGet)下载 - C:\Program Files\FlashGet Network\Flashget\ComDlls\Bholink.htm
O8 - Extra context menu item: &使用快车(FlashGet)下载全部链接 - C:\Program Files\FlashGet Network\Flashget\ComDlls\Bhoall.htm
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert to existing PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: 卓越 - {8DE0FCD4-5EB5-11D3-AD25-00002100131B} - C:\WINDOWS\system32\IEPlugin.dll
O9 - Extra button: ZDNet - {C8CE29C5-7589-11D3-B81B-0080C8DC5DC8} - C:\WINDOWS\system32\IEPlugin.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {7FC1B346-83E6-4774-8D20-1A6B09B0E737} (Windows Live Photo Upload Control) - http://canrrytan.spaces.live.com/PhotoUpload/MsnPUpld.cab
O20 - AppInit_DLLs: eopugs.dll,rcccgt.dll,nvqelg.dll,fmsiocps.dll,spiulv.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: Contrl Center of Storm Media (ccosm) - 北京暴风网际科技有限公司 - C:\Program Files\StormII\stormliv.exe
O23 - Service: Help and Support (helpsvc) - 1 - C:\WINDOWS\system32\interne.exe

--
End of file - 6676 bytes
请大虾伸出援手.


用户系统信息：Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.8.1.14) Gecko/20080404 Firefox/2.0.0.14
分享到：
gototop
 
天月来了
头像
版主
  • 帖子:76904
  • 注册: 2007-02-06
  • 来自:
发表于： 2008-05-17 11:02 | 短消息 资料
字号： 小 中 大 2楼

回复：如何铲除此顽固木马? 急急

下载清理系统临时文件和IE临时文件夹工具,全选所有项目，点击“立即清理”清理系统
http://www.atribune.org/public-beta/ATF-Cleaner.exe

这 里 下 载 W i n d o w s 清 理 助 手 ，清理你那系统。
http://www.arswp.com/

———————————————————————————————————————————————
扫SRENG日志发这论坛来
http://www.kztechs.com/sreng/download.html
下载System Repair Engineer
1 下载的是压缩包，必须解压缩（建议解压到系统Windows文件夹里）
2 运行SREng***.EXE  ((将SREng***.EXE改名为123.com运行))
3 选择主界面左边的：智能扫描=》扫描=》保存报告
4 把报告保存后，直接将日志文件以附件的形式发这论坛来。

一定以附件形式发这论坛来。
点击你自己的主题贴右下角的“引用”或最右下角的那个较大的“回复”然后就应该知道怎么发了。
百年以后，你的墓碑旁 刻着的名字不是我
gototop
 
canrrytan
头像
初生襁褓狮
  • 帖子:6
  • 注册: 2008-05-17
  • 来自:
发表于： 2008-05-17 17:45 | 只看楼主 短消息 资料
字号： 小 中 大 3楼

回复: 如何铲除此顽固木马? 急急



引用:
原帖由 canrrytan 于 2008-5-17 10:25:00 发表
我的电脑中了木马, 用360杀后,在重启出现:
c:\windows\soundman.exe NTVDM CPU 遇到无效指令....
要求我不关闭,关闭两次后,系统可以正常运行.

以下是我用HIJACKthis scan 的log

[color=Black......

附件附件:

文件名:SREngLOG.log
下载次数:95
文件类型:application/octet-stream
文件大小:
上传时间:2008-5-17 17:44:51
描述:log
gototop
 
豪斯登堡新郎
头像
社区嘉宾
  • 帖子:4234
  • 注册: 2007-11-09
  • 来自:
发表于： 2008-05-17 17:49 | 短消息 资料
字号： 小 中 大 4楼

回复：如何铲除此顽固木马? 急急

1.用XDelBox勾选抑制再生后删除以下文件：(XDelBox1.7支持奥运版下载)
使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\system32\eopugs.dll
c:\windows\system32\fmsiocps.dll
c:\windows\system32\nvqelg.dll
c:\windows\system32\rcccgt.dll
c:\windows\system32\spiulv.dll
c:\windows\soundman.exe
c:\windows\system32\interne.exe
c:\windows\system32\drivers\0006dc1a.sys
c:\docume~1\andrew\locals~1\temp\tmp2.tmp
c:\docume~1\andrew\locals~1\temp\tmpf.tmp
c:\docume~1\andrew\locals~1\temp\tmp13.tmp

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
注意该项[AppInit_DLLs]修改：把<eopugs.dll,rcccgt.dll,nvqelg.dll,fmsiocps.dll,spiulv.dll>修改为<>即清空
[SoundMan]   
[{398C9B84-4EF7-47B5-9862-DE29543B3C42}] 

    启动项目 －－ 服务 －－ Win32服务应用程序之如下项删除：
[Help and Support / helpsvc]   

    启动项目 －－ 服务－－ 驱动程序之如下项删除：
[0006dc1a / 0006dc1a] 
[zftp / zftp]   
[ptfs / ptfs]   
[fmsq / fmsq]   

做完用以下软件清理一次并更新杀毒软件至最新进行全盘杀毒

清理系统临时文件和IE临时文件夹
http://www.atribune.org/public-beta/ATF-Cleaner.exe
用金山清理专家清理恶意软件
http://www.duba.net/zt/ksc/down.shtml
下载 windows清理助手清理一遍
http://www.arswp.com/download/arswp2/arswp2.zip


然后再扫描一份日志传上来  记的一定以附件形式上传

强烈建议上面的操作在下载完必要软件之后断开网络进行
不认识我没关系，因为我也不认识你。
gototop
 
豪斯登堡新郎
头像
社区嘉宾
  • 帖子:4234
  • 注册: 2007-11-09
  • 来自:
发表于： 2008-05-17 17:49 | 短消息 资料
字号： 小 中 大 5楼

回复：如何铲除此顽固木马? 急急



晕  现在才看见附件
不认识我没关系，因为我也不认识你。
gototop
 
canrrytan
头像
初生襁褓狮
  • 帖子:6
  • 注册: 2008-05-17
  • 来自:
发表于： 2008-05-17 18:23 | 只看楼主 短消息 资料
字号： 小 中 大 6楼

回复：豪斯登堡新郎 - 高手

豪斯登堡新郎 高手
你的XDelBox1.7支持奥运版下载 在我的AVG显示有trojan horse 木马，请查清。
gototop
 
天月来了
头像
版主
  • 帖子:76904
  • 注册: 2007-02-06
  • 来自:
发表于： 2008-05-17 18:27 | 短消息 资料
字号： 小 中 大 7楼

回复：如何铲除此顽固木马? 急急

误报
可以选择用其他工具删除：
这里官网下载费尔木马强力清除助手,勾选“抑制文件再生”删除。
http://dl.filseclab.com/down/powerrmv.zip

这里下载360文件粉碎工具，删除那些文件。勾选“阻止被删除文件再次生成”删除。
http://www.360.cn/down/soft_down12.html

这里官网下载冰刃，在“文件”中找下面文件强制删除：
http://mail.ustc.edu.cn/~jfpan/download/IceSword122cn.zip

自己选择了。
百年以后，你的墓碑旁 刻着的名字不是我
gototop
 
canrrytan
头像
初生襁褓狮
  • 帖子:6
  • 注册: 2008-05-17
  • 来自:
发表于： 2008-05-17 18:59 | 只看楼主 短消息 资料
字号： 小 中 大 8楼

回复 10F 天月来了 的帖子

斑竹和豪斯登堡新郎
感谢高见，已经照办。
soundman.exe 不是一个声卡文件吗？为什么要删除？
gototop
 
canrrytan
头像
初生襁褓狮
  • 帖子:6
  • 注册: 2008-05-17
  • 来自:
发表于： 2008-05-17 18:59 | 只看楼主 短消息 资料
字号： 小 中 大 9楼

回复: 如何铲除此顽固木马? 急急



引用:
原帖由 canrrytan 于 2008-5-17 18:59:00 发表
斑竹和豪斯登堡新郎
感谢高见，已经照办。
soundman.exe 不是一个声卡文件吗？为什么要删除？

附件附件:

文件名:SREngLOG.log
下载次数:99
文件类型:application/octet-stream
文件大小:
上传时间:2008-5-17 18:59:28
描述:log
gototop
 
火影忍者
头像
横据古稀狮
  • 帖子:7855
  • 注册: 2006-06-29
  • 来自:火星
发表于： 2008-05-17 19:16 | 短消息 资料
字号： 小 中 大 10楼

回复：如何铲除此顽固木马? 急急

==================================
删除驱动程序
[d343port / d343port][Stopped/Boot Start]
  <\SystemRoot\system32\DRIVERS\d343port.sys><N/A>
[fmsq / fmsq][Stopped/Auto Start]
  <\??\C:\DOCUME~1\andrew\LOCALS~1\Temp\tmp13.tmp><N/A>
[ptfs / ptfs][Stopped/Auto Start]
  <\??\C:\DOCUME~1\andrew\LOCALS~1\Temp\tmpF.tmp><N/A>
==================================
删除对应的文件
最初的诞生,只为最后的永恒....


这年头 灌个水我容易吗?
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT