瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 中了Backdoor.GPigeon.tq，请大家帮我看看日志啊~【求助】

1   1  /  1  页   跳转页

中了Backdoor.GPigeon.tq，请大家帮我看看日志啊~【求助】

收藏
sakeen
头像
初生襁褓狮
  • 帖子:1
  • 注册: 2005-09-26
  • 来自:
发表于： 2005-09-26 20:28 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

中了Backdoor.GPigeon.tq，请大家帮我看看日志啊~【求助】

不知道什么时候中的，瑞星提示杀了但重启后还是有，烦啊。用HijackThis v1.99.1作了日志，请大家帮看看，谢谢了······

运行进程:           
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\conime.exe
C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Maxthon\Maxthon.exe
C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
C:\PROGRAM FILES\RISING\RAV\RavStub.exe
c:\program files\rising\rav\RAVMON.EXE
c:\program files\rising\rav\RAVTIMER.EXE
C:\Documents and Settings\Administrator\My Documents\HY_HijackThis\HijackThis.exe

O2 - BHO: NTIECatcher Class - {C56CB6B0-0D96-11D6-8C65-B2868B609932} - C:\Program Files\Xi\NetTransport 2\NTIEHelper.dll
O2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
O3 - Toolbar: (no name) - {F43BD772-ABDD-43b7-A96A-3E9E61946EC0} - (没有文件) 
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [RavTimer] C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
O4 - HKLM\..\Run: [WheelMouse] C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe
O4 - HKLM\..\Run: [RavMon] C:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [StormCodec_Helper] "C:\Program Files\Ringz Studio\Storm Codec\StormSet.exe" /S /opti
O4 - HKLM\..\Run: [Super Rabbit SRRestore] C:\Program Files\Super Rabbit\MagicSet\srrest.exe /autosave
O8 - Extra context menu item: 使用影音传送带下载 - C:\Program Files\Xi\NetTransport 2\NTAddLink.html
O8 - Extra context menu item: 使用影音传送带下载全部链接 - C:\Program Files\Xi\NetTransport 2\NTAddList.html
O8 - Extra context menu item: 添加到QQ自定义面板 - C:\Program Files\Tencent\qq\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - C:\Program Files\Tencent\qq\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - C:\Program Files\Tencent\qq\SendMMS.htm
O9 - Extra button: 浩方对战平台 - {0A155D3C-68E2-4215-A47A-E800A446447A} - C:\Program Files\浩方对战平台\GameClient.exe
O9 - Extra button: 网址大全 - {C18CB140-0BBB-11D4-8FE8-0088CC102438} - http://www.k369.com/mp3wz.htm (文件故障)
O9 - Extra 'Tools' menuitem: 网址大全 - {C18CB140-0BBB-11D4-8FE8-0088CC102438} - http://www.k369.com/mp3wz.htm (文件故障)
O9 - Extra button: 易趣购物 - {DE607141-AC19-421e-860A-0D70ABDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=5 (文件故障)
O9 - Extra 'Tools' menuitem: 易趣购物 - {DE607141-AC19-421e-860A-0D70ABDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=5 (文件故障)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=about:blank
O16 - DPF: {3D8F74EE-8692-4F8F-B8D2-7522E732519E} (WebActivater Control) - http://game.qq.com/QQGame2.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1112370672703
O17 - HKLM\System\CCS\Services\Tcpip\..\{1A00D999-C3B7-44DC-AEAC-5DC6DD513AF9}: NameServer = 202.103.225.68,202.103.226.68
O17 - HKLM\System\CCS\Services\Tcpip\..\{F4B170B1-D029-40C9-BC10-B979C787352B}: NameServer = 219.146.0.130 202.103.224.68
最后编辑2005-09-26 23:02:39
分享到：
gototop
 
C++果冻
头像
初生襁褓狮
  • 帖子:1279
  • 注册: 2004-03-28
  • 来自:
发表于： 2005-09-26 20:38 | 短消息 资料
字号： 小 中 大 2楼

没见什么异常啊
gototop
 
眉川内酷
头像
拙长孩提狮
  • 帖子:94
  • 注册: 2005-07-28
  • 来自:
发表于： 2005-09-26 20:49 | 短消息 资料
字号： 小 中 大 3楼

日志不全
gototop
 
肇庆星点
头像
初生襁褓狮
  • 帖子:18
  • 注册: 2005-09-25
  • 来自:
发表于： 2005-09-26 20:54 | 短消息 资料
字号： 小 中 大 4楼

软件名称:BlackHole&灰鸽子后门专杀工具
适用系统：WINNT/2000/XP/2003
文件大小：80KB
文件说明：本工具的功能为专门查找计算机上的BlackHole后门程序和灰鸽子后门程序。

BlackHole后门程序具有以下功能：
1、添加服务启动自身：
服务名：Windows MySQL Servers
路径：C:\WINDOWS\System32\Windows MySQL Servers.exe

2、释放并拷贝自身到系统%System%目录下,并设置文件属性为隐藏：
　文件列表：
　%System%\KeySpy.dll
　%System%\Windows MySQL Servers.cfg
　%System%\Windows MySQL Servers.exe

3、攻击者控制成功后，可使用如下后门功能进行远程操作：
抓取控制者屏幕，进程管理，获取系统缓存密码，远程注册表操作，远程重启关机，获取系统敏感配置信息，开启远程TELNET，文件上传下载，远程图形界面控制，开启键盘记录监听，如果对方存在摄像头则可以开启摄像头视频监控，可以录制远程的屏幕操作为影音文件。

灰鸽子后门程序具有以下功能：

　　灰鸽子是国内一款著名后门。比起前辈冰河、黑洞来，灰鸽子可以说是国内后门的集大成者。其丰富而强大的功能、灵活多变的操作、良好的隐藏性使其他后门都相形见绌。客户端简易便捷的操作使刚入门的初学者都能充当黑客。当使用在合法情况下时，灰鸽子是一款优秀的远程控制软件。但如果拿它做一些非法的事，灰鸽子就成了很强大的黑客工具。

　　灰鸽子客户端和服务端都是采用Delphi编写。黑客利用客户端程序配置出服务端程序。可配置的信息主要包括上线类型（如等待连接还是主动连接）、主动连接时使用的公网IP（域名）、连接密码、使 用的端口、启动项名称、服务名称，进程隐藏方式，使用的壳，代理，图标等等。

下载地址:http://www.cert.org.cn/upload/blackhole.exe
gototop
 
sakeen
头像
初生襁褓狮
  • 帖子:1
  • 注册: 2005-09-26
  • 来自:
发表于： 2005-09-26 21:05 | 只看楼主 短消息 资料
字号： 小 中 大 5楼

每次启动瑞星就提示Windows_ServerKey.DLL这个文件有病毒Backdoor.GPigeon.tq，删除后下次启动又有，郁闷了。日志就是这样的

Logfile of HijackThis v1.99.1
Scan saved at 20:58:03, on 2005-9-26
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

运行进程:           
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\conime.exe
C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
C:\PROGRAM FILES\RISING\RAV\RavStub.exe
c:\program files\rising\rav\RAVMON.EXE
c:\program files\rising\rav\RAVTIMER.EXE
C:\Program Files\Tencent\qq\QQ.exe
C:\Program Files\Tencent\qq\TIMPlatform.exe
C:\Program Files\foobar2000\foobar2000.exe
C:\Program Files\Maxthon\Maxthon.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Administrator\My Documents\HY_HijackThis\HijackThis.exe

O2 - BHO: NTIECatcher Class - {C56CB6B0-0D96-11D6-8C65-B2868B609932} - C:\Program Files\Xi\NetTransport 2\NTIEHelper.dll
O2 - BHO: MEobjectSDT - {D4D5C535-BA95-4327-870D-A33826FDD17A} - C:\WINDOWS\system32\obwbkya.dll
O3 - Toolbar: (no name) - {F43BD772-ABDD-43b7-A96A-3E9E61946EC0} - (没有文件) 
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [RavTimer] C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
O4 - HKLM\..\Run: [WheelMouse] C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe
O4 - HKLM\..\Run: [RavMon] C:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [StormCodec_Helper] "C:\Program Files\Ringz Studio\Storm Codec\StormSet.exe" /S /opti
O4 - HKLM\..\Run: [Super Rabbit SRRestore] C:\Program Files\Super Rabbit\MagicSet\srrest.exe /autosave
O8 - Extra context menu item: 使用影音传送带下载 - C:\Program Files\Xi\NetTransport 2\NTAddLink.html
O8 - Extra context menu item: 使用影音传送带下载全部链接 - C:\Program Files\Xi\NetTransport 2\NTAddList.html
O8 - Extra context menu item: 添加到QQ自定义面板 - C:\Program Files\Tencent\qq\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - C:\Program Files\Tencent\qq\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - C:\Program Files\Tencent\qq\SendMMS.htm
O9 - Extra button: 浩方对战平台 - {0A155D3C-68E2-4215-A47A-E800A446447A} - C:\Program Files\浩方对战平台\GameClient.exe
O9 - Extra button: 网址大全 - {C18CB140-0BBB-11D4-8FE8-0088CC102438} - http://www.k369.com/mp3wz.htm (文件故障)
O9 - Extra 'Tools' menuitem: 网址大全 - {C18CB140-0BBB-11D4-8FE8-0088CC102438} - http://www.k369.com/mp3wz.htm (文件故障)
O9 - Extra button: 易趣购物 - {DE607141-AC19-421e-860A-0D70ABDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=5 (文件故障)
O9 - Extra 'Tools' menuitem: 易趣购物 - {DE607141-AC19-421e-860A-0D70ABDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=5 (文件故障)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=about:blank
O16 - DPF: {3D8F74EE-8692-4F8F-B8D2-7522E732519E} (WebActivater Control) - http://game.qq.com/QQGame2.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1112370672703
O17 - HKLM\System\CCS\Services\Tcpip\..\{1A00D999-C3B7-44DC-AEAC-5DC6DD513AF9}: NameServer = 202.103.225.68,202.103.226.68
O17 - HKLM\System\CCS\Services\Tcpip\..\{F4B170B1-D029-40C9-BC10-B979C787352B}: NameServer = 219.146.0.130 202.103.224.68
gototop
 
阿诺梅
头像
拙长孩提狮
  • 帖子:105
  • 注册: 2005-09-26
  • 来自:
发表于： 2005-09-26 22:48 | 短消息 资料
字号： 小 中 大 6楼

我还是中了Backdoor.GPigeon.snc,杀了后重起计算机又有了，怎么半啊？
gototop
 
七彩黄花菜萱草
头像
锋芒艾服狮
  • 帖子:1312
  • 注册: 2005-08-09
  • 来自:
发表于： 2005-09-26 23:02 | 短消息 资料
字号： 小 中 大 7楼

日志还是不全
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT