瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 未知名病毒,瑞星最新病毒库不杀

1   1  /  1  页   跳转

[求助] 未知名病毒,瑞星最新病毒库不杀

未知名病毒,瑞星最新病毒库不杀

我是电脑公司的,今天给客户修电脑遇到这个病毒,不知道是什么

病毒症状:

运行IE浏览器后, 不管你打开的是什么的网址,都是出来一个什么“你的IE有严重漏洞,请下载补丁更新,下面给一个《点此下载》的链接,下载下来的文件就是一个404.5KB的可执行文件”

资源管理器explorer.exe每隔三五分钟自动重启。

系统安装有瑞星全功能安全软件2009,无法升级,如果点了升级后会出来下载病毒那个对话框,等下载完成后就直接没了,不会出来安装更新杀毒软件的界面,后来我在另外一台电脑上安装瑞星,并升级到最新病毒库,再重新制作了安装包,到这台电脑上安装后,查杀全盘无病毒。

卡卡助手升级到最新,未查到系统有恶意程序,刚装好的系统有八个漏洞,无法自动修复。

具体为如果点了自动修复,下载下来的补丁文件一律被修改为404.5KB大小的未知名EXE文件,文件名称依然为补丁原来的文件名称。

这里我就拿一个补丁文件举例

原来的补丁文件

WindowsXP-KB959252-v2-x86-CHS.exe

原始下载地址是
http://www.microsoft.com/downloads/details.aspx?displaylang=zh-cn&FamilyID=ec4b7d80-79b6-4035-92a3-3992a9e09718

如果用卡卡自动修复下载下来就被改了,用迅雷下载也一样,都会被更改。可是用IE直接下载没事,

此补丁文件原始属性为



可是如果如迅雷下载或者用卡卡自动修复下载下来却变成了这样



系统我重装了不知道多少次了,都一样,排除我的光盘带毒,这点我还是可以肯定的

下面这个附件是我用SREng扫描电脑的日志文件

附件: SREngLOG.rar (2009-3-5 15:25:40, 6.70 K)
该附件被下载次数 215



下面的这个附件是被更改了的补丁文件,声明一下:下载可以,如果运行后果自负(至少到现在瑞星还是不杀的,可是我知道它就是被感染了的病毒,我试过了,一点就会发作,症状我在开头就说明过了)

附件: WindowsXP-KB959252-v2-x86-CHS.rar (2009-3-5 15:25:40, 382.88 K)
该附件被下载次数 184




后来我是解决了,我是把客户的硬盘全部重新分区格式化的,那样就好了,之前不重新分区装了多少遍系统都一样,那样病毒应该在电脑里的其它盘中,可是也不是AUTORUN病毒,我在PE里看了,没有,在系统下也全盘杀毒了,最新的病毒库杀不到任何病毒。

不知道是什么个东东,那么离谱,昏

用户系统信息:Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; Mozilla/4.0(Compatible Mozilla/4.0(Compatible-EmbeddedWB 14.59 http://bsalsa.com/ EmbeddedWB- 14.59  from: http://bsalsa.com/ ;  Embedded Web Browser from: http://bsalsa.com/; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0)
最后编辑容颜 最后编辑于 2009-03-05 15:28:17
分享到:
gototop
 

回复:未知名病毒,瑞星最新病毒库不杀

这个不认识
启动项目
注册表
    <UIHost><hehon.exe>  [Microsoft Corporation]

下面这个怎么在那运行了???
==================================
正在运行的进程
    [c:\windows\system32\drivers\windnsapi.ime]  [Microsoft Corporation, 5, 0, 2142, 6]
gototop
 

回复 1F 容颜 的帖子

这东东在我这里无法运行。

gototop
 

回复:未知名病毒,瑞星最新病毒库不杀

那个补丁是坏的
gototop
 

回复:未知名病毒,瑞星最新病毒库不杀

下载文件批量提取工具提取下面文件
http://bbs.ikaka.com/attachment.aspx?attachmentid=486266

提取:
c:\windows\hehon.exe
c:\windows\system32\hehon.exe
c:\windows\system32\drivers\windnsapi.ime

不论提取结果如何,压缩发来看看
gototop
 

回复:未知名病毒,瑞星最新病毒库不杀

里面有字符串:0000427C  0040427C      0  windnsapi.ime
gototop
 

回复:未知名病毒,瑞星最新病毒库不杀

也有可能是ARP欺骗呀
gototop
 

回复:未知名病毒,瑞星最新病毒库不杀

hehon.exe不是病毒,是我公司的XP登陆界面,再回复三楼的,那个补丁我运行也是那样的显示,不过之后就发作了。。。
gototop
 

回复:未知名病毒,瑞星最新病毒库不杀

是否有5楼提到的可疑文件
gototop
 

回复: 未知名病毒,瑞星最新病毒库不杀

迅雷不是从原始资源下载,他搜索所有互联网上同名的文件
你那东西不能运行
gototop
 
1   1  /  1  页   跳转
页面顶部
Powered by Discuz!NT