前段时间发现电脑在未使用网络情况下有大量数据包进出 用AVAST和AVG扫描木马和病毒均未找到 装了费尔个人防火墙后 发现有一个叫system的程序在后台交换数据包 因为不能定位程序 只能阻止数据包出去 却不能阻止数据包进来 很恼火 求高手帮忙解决附HijackThis的日志文件

补充:不是二楼说的文件引起的 我按照三楼说的下了这工具 可是不知道是不是我不会用监视了一会没有网络地址 不过从费尔防火墙看来 都是内网的地址

根据6楼的建议补充了报告在附件里 不过好像没办法改成TXT格式

日志文件 Trend Micro HijackThis v 2.0.2
日志保存时间: 18:02:08,2008-7-22
操作系统: Windows XP SP3 (WinNT 5.01.2600)
IE版本: Internet Explorer v7.00 (7.00.6000.16674)
启动模式: 正常

正在运行的进程:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
e:\Avast4\aswUpdSv.exe
e:\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
E:\Avast4\ashDisp.exe
E:\Filseclab\xfilter\xfilter.exe
C:\WINDOWS\system32\WatchData\Watchdata CCB CSP v3.2\wdcertm_ccb.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Common Files\Filseclab\FilMsg.exe
e:\AVG Anti-Spyware 7.5\guard.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\svchost.exe
e:\Avast4\ashWebSv.exe
C:\WINDOWS\explorer.exe
E:\TangGame\Hall.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Program Files\Internet Explorer\iexplore.exe
D:\beifen\杀病毒工具\HijackThis.exe

O2 - BHO: ThunderBHO - {889D2FEB-5411-4565-8998-1DD2C5261283} - E:\Thunder\ComDlls\xunleiBHO_Now.dll
O4 - HKLM\..\Run: [avast!] e:\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [XFILTER] "E:\Filseclab\xfilter\xfilter.exe" -a
O4 - HKLM\..\Run: [wdcertm_ccb] C:\WINDOWS\system32\WatchData\Watchdata CCB CSP v3.2\wdcertm_ccb.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [ctfmon.exe] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [ctfmon.exe] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [ctfmon.exe] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [ctfmon.exe] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: 费尔消息服务.lnk = ?
O8 - 扩展右键菜单项: 使用迅雷下载 - E:\Thunder\Program\geturl.htm
O8 - 扩展右键菜单项: 使用迅雷下载全部链接 - E:\Thunder\Program\getallurl.htm
O8 - 扩展右键菜单项: 导出到 Microsoft Office Excel(&X) - res://E:\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - 额外的按钮: 启动迅雷5 - {09BA8F6D-CB54-424B-839C-C2A6C8E6B436} - E:\Thunder\Thunder.exe
O9 - 额外的“工具”菜单项目: 启动迅雷5 - {09BA8F6D-CB54-424B-839C-C2A6C8E6B436} - E:\Thunder\Thunder.exe
O15 - ESC Trusted Zone: http://*.update.microsoft.com
O16 - DPF: {098A3F72-3110-4004-B954-2F9DC44934B4} (AddSHCARoot Control) - https://etrade.efunds.com.cn/etrading/AddSHCARootCert.cab
O16 - DPF: {2375BEE5-F175-4F1C-81EC-8E4E2E72E2DD} (PhotoDraw Class) - http://qz-photo.qq.com/qzone_v4/QzoneMediaTools.cab
O16 - DPF: {2931566C-B8A6-46C5-BF4D-E6AB9251E953} (Nexon Package Manager Control) - http://s.nx.com/activex/public_new/nxpm.cab
O16 - DPF: {488A4255-3236-44B3-8F27-FA1AECAA8844} (EditCtrl Class) - https://img.alipay.com/download/1101/aliedit.cab
O16 - DPF: {52FF336D-A05D-4A14-A3A1-7B6B4B427F88} (UploadControl Control) - http://st.blog.163.com/bin/UploadControl.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (趋势科技在线扫毒程序) -
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/flashplayer/current/swflash.cab
O16 - DPF: {E787FD25-8D7C-4693-AE67-9406BC6E22DF} (PasswordEditCtrl Class) - https://password.qq.com/download/qqedit2.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{8DCC6A8A-85FB-4CF9-A0D1-C98F10043AA2}: NameServer = 211.91.88.129
O23 - NT 服务:  avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - e:\Avast4\aswUpdSv.exe
O23 - NT 服务:  avast! Antivirus - ALWIL Software - e:\Avast4\ashServ.exe
O23 - NT 服务:  avast! Web Scanner - ALWIL Software - e:\Avast4\ashWebSv.exe
O23 - NT 服务:  AVG Anti-Spyware Guard - GRISOFT s.r.o. - e:\AVG Anti-Spyware 7.5\guard.exe
O23 - NT 服务:  NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - NT 服务:  PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - NT 服务:  PnpWMmng - Unknown owner - (没有文件)
O23 - NT 服务:  Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - C:\Program Files\WinPcap\rpcapd.exe
O23 - NT 服务:  ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

--
文件结束 - 4233 字节

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; (R1 1.6))
回复二楼的
是吗 可是怎么从费尔个人防火墙的访问地址看都是内网的地址呢 不管怎么样 我先把这玩意删了再说 谢谢

这个是楼主装的吧C:\WINDOWS\system32\PnkBstrA.exe
程序是EA或其他一些游戏的反作弊程序，就是别人常说的被PB弹出游戏！！！如果删除，那么你就会被PB禁止登陆或被弹出·就像以前玩CS一样被弹出！！！例如游戏：战地风云2（BF2）、战地风云2142（BF2142），他们的服务端上大多装了反作弊程序，如果你的客户端游戏的时候没有此程序，那么你将会被PB弹出！！！而且此程序会不断的升级来防止更好的反作弊·！！
你说的大量交换数据应该是这个程序引起的

http://bbs.ikaka.com/showtopic-8522258.aspx

9楼下载MULTMON
监视所有任务管理器中权限是SYSTEM的进程
勾选网络，看看，谁往你那儿发呢,就清楚了

是吗 可是怎么从费尔个人防火墙的访问地址看都是内网的地址呢 不管怎么样 我先把这玩意删了再说 谢谢

还是没人帮我找到合适的办法啊

楼主可不可以扫个sreng日志上来
一.请先使用WINDOWS清理助手清理一下系统
二.请下载一个置顶贴里的SRENG工具
使用它扫描日志，将日志作为附件上传上来。
操作方法：
1、下载后解压缩，运行SREngLdr.exe；
2、如果无法打开尝试把SREngLdr.exe改名为123.bat运行；
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
4、选择保存路径，文件名保持默认，直接点击【保存】，存为TXT格式；
5、将保存的报告附件上传而不是粘贴到帖子
注意：
扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等一切应用程序，扫描完毕后操作

从日志里没有看到什么明显的异常
不过据说c:\windows\system32\pnkbstra.exe
这个反作弊程序会不断自动联网

老大你上面的很多程序我可都没见过!你装的是哪些程序呀

你的日志没问题
内网地址可能是别人中毒,建议大家断开内网杀下毒