瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 请高手帮帮忙！怎样彻底杀掉Backdoor.Gpigeon.snl

1   1  /  1  页   跳转页

请高手帮帮忙！怎样彻底杀掉Backdoor.Gpigeon.snl

收藏
静静的眼泪
头像
初生襁褓狮
  • 帖子:10
  • 注册: 2005-10-13
  • 来自:
发表于： 2005-10-13 08:35 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

请高手帮帮忙！怎样彻底杀掉Backdoor.Gpigeon.snl

近日中招鸽子，版本为：Backdoor.Gpigeon.snl。每次系统启动检测就这么一个病毒，驻留IE浏览器里，瑞星防火墙侦测不到，杀毒软件又说已清除。
用HijackThis扫描日志如下，哪位高手哥哥姐姐弟弟妹妹帮忙诊断下！
HijackThis_815汉化版扫描日志 V1.99.1
保存于      8:23:58, 日期 2005-10-13
操作系统：  Windows XP  (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP1 (6.00.2600.0000)

当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Ahead\InCD\InCDsrv.exe
C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
C:\Program Files\rising\Rfw\rfwsrv.exe
C:\PROGRAM FILES\RISING\RAV\RavStub.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\crypserv.exe
C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\rising\Rfw\RfwMain.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
C:\PROGRA~1\RISING\RAV\RAVMON.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Tencent\QQ\QQ.exe
C:\Program Files\NetEase\popo2004\popo.exe
C:\Program Files\Tencent\QQ\TIMPlatform.exe
E:\下载程序\HijackThis1991汉化版\HijackThis1991zww.exe

R3 - 默认的URLSearchHook丢失。用HijackThis修复
F2 - REG:system.ini: UserInit=userinit.exe,
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162} - C:\Program Files\Tencent\QQ\QQIEHelper.dll
O2 - BHO: 3721中文邮 - {6231D512-E4A4-4DF2-BE62-5B8F0EE348EF} - (no file)
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FLASHGET\jccatch.dll
O2 - BHO: (no name) - {B3ECCAC9-C7FA-462C-894B-8E9930A70E14} - C:\PROGRA~1\KuGoo\IEHELP~2.DLL
O2 - BHO: AssistII - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\PROGRA~1\3721\Assist\asbar.dll
O2 - BHO: IE - {D157330A-9EF3-49F8-9A67-4141AC41ADD4} - C:\WINDOWS\DOWNLO~1\CnsHook.dll
O2 - BHO: InsIII - {DDDE2452-AF9E-4577-AE6C-465DBCB54D49} - C:\WINDOWS\System32\mzfxml32.dll
O2 - BHO: YiSou - {EF1D17A9-089F-40cc-8D64-7324CDEBA0DB} - C:\Program Files\yisou\yisoub.dll
O3 - IE工具栏增项: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\fgiebar.dll
O3 - IE工具栏增项: (no name) - {37DE7A73-1E01-47d6-BB9B-99BEDB7A22E2} - (no file)
O3 - IE工具栏增项: @msdxmLC.dll,-1@2052,电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - IE工具栏增项: BitCometBar - {3F1ABCDB-A875-46c1-8345-B72A4567E486} - C:\Program Files\BitComet\BitCometBar\BitCometBar0.1.dll
O3 - IE工具栏增项: 一搜工具条 - {115F6E46-FCBC-41ed-B3B5-3BDDD4AAB5E5} - C:\Program Files\yisou\yisou.dll
O3 - IE工具栏增项: 上网助手 - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\PROGRA~1\3721\Assist\asbar.dll
O4 - 启动项HKLM\\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [SoundMan] SOUNDMAN.EXE
O4 - 启动项HKLM\\Run: [internat.exe] internat.exe
O4 - 启动项HKLM\\Run: [CnsMin] Rundll32.exe C:\WINDOWS\DOWNLO~1\CnsMin.dll,Rundll32
O4 - 启动项HKLM\\Run: [Microsoft Update] snlogsvc.exe
O4 - 启动项HKLM\\Run: [RavTimer] C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
O4 - 启动项HKLM\\Run: [RavMon] C:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - 启动项HKLM\\Run: [RfwMain] "C:\Program Files\rising\Rfw\rfwmain.exe" -Startup
O4 - 启动项HKLM\\Run: [POPO2004] C:\Program Files\NetEase\popo2004\Start.exe
O4 - 启动项HKLM\\Run: [AddrPlus] RUNDLL32.EXE C:\PROGRA~1\TENCENT\AddrPlus\TBH.dll,Rundll32
O4 - 启动项HKLM\\Run: [_TBHTray] RUNDLL32.EXE C:\PROGRA~1\TENCENT\AddrPlus\DLL~1,Rundll32
O4 - 启动项HKLM\\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - 启动项HKLM\\RunServices: [Microsoft Update] snlogsvc.exe
O4 - 启动项HKLM\\RunServices: [SchedulingAgent] mstask.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Microsoft Update] snlogsvc.exe
O4 - HKCU\..\Run: [Internet.exe] internet.exe
O4 - Startup: 腾讯QQ.lnk = C:\Program Files\Tencent\QQ\QQ.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - IE右键菜单中的新增项目: !搜一搜 - res://C:\WINDOWS\DOWNLO~1\CnsMinEx.dll/1003
O8 - IE右键菜单中的新增项目: Save豪杰超级解霸V8实时播放 - C:\Herosoft\HeroV8\MPURLGET.HTM
O8 - IE右键菜单中的新增项目: 上传到QQ网络硬盘 - C:\Program Files\Tencent\QQ\AddToNetDisk.htm
O8 - IE右键菜单中的新增项目: 使用Kugoo下载 - C:\Program Files\KuGoo\KugooDownX.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - C:\PROGRA~1\FLASHGET\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - C:\PROGRA~1\FLASHGET\jc_all.htm
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - C:\Program Files\Tencent\QQ\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - C:\Program Files\Tencent\QQ\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - C:\Program Files\Tencent\QQ\SendMMS.htm
O8 - IE右键菜单中的新增项目: 解霸实时播放 - C:\HEROSOFT\Hero3000\MPURLGET.HTM
O8 - IE右键菜单中的新增项目: 豪杰超级解霸V8实时播放 - C:\Herosoft\HeroV8\MPURLGET.HTM
O9 - 浏览器额外的按钮: 手机短信 - {00000000-0000-0001-0001-596BAEDD1289} - http://sms.3721.com/ie/index.htm?pid=U_wanxiang_18961 (file missing)
O9 - 浏览器额外的按钮: 豪杰超级解霸V8 - {367E0A21-8601-4986-9C9A-153BF5ACA118} - C:\Herosoft\HeroV8\STHSDVD.EXE
O9 - 浏览器额外的“工具”菜单项: 豪杰超级解霸V8 - {367E0A21-8601-4986-9C9A-153BF5ACA118} - C:\Herosoft\HeroV8\STHSDVD.EXE
O9 - 浏览器额外的按钮: Yahoo 1G电邮 - {507F9113-CD77-4866-BA92-0E86DA3D0B97} - http://cn.mail.yahoo.com/promo/rd1 (file missing)
O9 - 浏览器额外的按钮: 寻宝乐趣多 - {59BC54A2-56B3-44a0-93E5-432D58746E26} - http://adtaobao.allyes.com/main/adfclick?db=adtaobao&bid=138,140,18&cid=816,8,1&sid=5042&show=ignore&url=?allyesPara=816 (file missing)
O9 - 浏览器额外的按钮: 3721中文邮 - {5D73EE86-05F1-49ed-B850-E423120EC329} - http://cmail.3721.com?fb=client (file missing)
O9 - 浏览器额外的按钮: 雅虎助手 - {5D73EE86-05F1-49ed-B850-E423120EC338} - http://cn.zs.yahoo.com/?source=Cns (file missing)
O9 - 浏览器额外的按钮: Real大师 - {8DE0FCD4-5EB5-11D3-AD25-00002100131A} - C:\WINDOWS\System32\shdocvw.dll
O9 - 浏览器额外的按钮: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - 浏览器额外的“工具”菜单项: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - 浏览器额外的按钮: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - C:\Program Files\Tencent\QQ\QQ.EXE
O9 - 浏览器额外的“工具”菜单项: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - C:\Program Files\Tencent\QQ\QQ.EXE
O9 - 浏览器额外的按钮: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - 浏览器额外的“工具”菜单项: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - 浏览器额外的按钮: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - C:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - 浏览器额外的“工具”菜单项: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - C:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - 浏览器额外的按钮: 情景聊天 - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - http://cn.rd.yahoo.com/home/messenger/bjk/clientbtn/?http://cn.messenger.yahoo.com/ (file missing)
O9 - 浏览器额外的按钮: (no name) - {ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} - http://assistant.3721.com/security1.htm?fb=Cns (file missing)
O9 - 浏览器额外的“工具”菜单项: 修复浏览器 - {ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} - http://assistant.3721.com/security1.htm?fb=Cns (file missing)
O9 - 浏览器额外的按钮: 易趣购物 - {EE60714F-AC17-427e-861A-FD60CBDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=86 (file missing)
O9 - 浏览器额外的“工具”菜单项: 易趣购物 - {EE60714F-AC17-427e-861A-FD60CBDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=86 (file missing)
O9 - 浏览器额外的按钮: (no name) - {FD00D911-7529-4084-9946-A29F1BDF4FE5} - http://assistant.3721.com/clean1.htm?fb=Cns (file missing)
O9 - 浏览器额外的“工具”菜单项: 清理上网记录 - {FD00D911-7529-4084-9946-A29F1BDF4FE5} - http://assistant.3721.com/clean1.htm?fb=Cns (file missing)
O11 - Options group: [!CNS]  网络实名
O11 - Options group: [TBH]  QQ地址栏搜索插件
O16 - DPF: {1F831FA1-42FC-11D4-95A6-0080AD30DCE1} (InstaFred) - http://pointa.autodesk.com/portal/lang/chs/InstFred.Ocx
O16 - DPF: {2354A44B-3CEB-4829-9940-545B03103538} (PowerPlr Control) - http://vod.ruyi.com/plugin/PowerPlr.ocx
O16 - DPF: {486E48B5-ABF2-42BB-A327-2679DF3FB822} - http://akamai.downloadv3.com/binaries/IA/ia_XP.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/094e7636624c95412a02/netzip/RdxIE601_cn.cab
O16 - DPF: {733652F9-53EF-4BF1-B391-375980675D6F} (V3PROXL Control) - http://download.3721.com/download/myv3/plugin/myv3light.cab
O16 - DPF: {737D14F8-4090-11D4-AE0E-0010830243BD} (SysVerChk Control) - http://pointa.autodesk.com/portal/lang/neutral/SysVerChk.ocx
O16 - DPF: {73E4740C-08EB-4133-896B-8D0A7C9EE3CD} (AxInputControl Class) - https://mybank.icbc.com.cn/icbc/perbank/AxSafeControls.cab
O16 - DPF: {78AF2F24-A9C3-11D3-BF8C-0060B0FCC122} (AcDcToday 控件) - file://C:\Program Files\AutoCAD 2002\AcDcToday.ocx
O16 - DPF: {94742E3F-D9A1-4780-9A87-2FFA43655DA2} - http://akamai.downloadv3.com/binaries/DialHTML/EGDHTML_pack_XP.cab
O16 - DPF: {9A578C98-3C2F-4630-890B-FC04196EF420} - http://client.commonword.cn/ad/thyy/cdn.cab
O16 - DPF: {AE563722-B4F5-11D4-A415-00108302FDFD} (NOXLATE-BANR) - http://pointa.autodesk.com/portal/lang/chs/InstBanr.Ocx
O16 - DPF: {C6637286-300D-11D4-AE0A-0010830243BD} (InstaFred) - http://pointa.autodesk.com/portal/lang/enu/InstFred.Ocx
O16 - DPF: {DA984A6D-508E-11D6-AA49-0050FF3C628D} (Ravonline) - http://download.rising.com.cn/ravkill/rsonline.cab
O16 - DPF: {E4E2F180-CB8B-4DE9-ACBB-DA745D3BA153} (Rising Web Scan Object) - http://download.rising.com.cn/register/pcver/autoupgradepad/Ver2005/OL2005.cab
O16 - DPF: {F281A59C-7B65-11D3-8617-0010830243BD} (AcPreview 控件) - file://C:\Program Files\AutoCAD 2002\AcPreview.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{AD86C560-82C0-4368-8059-ABA19D6E5508}: NameServer = 202.98.192.68,202.98.198.168
O23 - NT 服务: Crypkey License - Kenonic Controls Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - NT 服务: InCD Helper (InCDsrv) - Ahead Software AG - C:\Program Files\Ahead\InCD\InCDsrv.exe
O23 - NT 服务: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Corporation Limited - C:\Program Files\rising\Rfw\rfwsrv.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - rising - C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
O23 - NT 服务: system.exe - Unknown owner - C:\WINDOWS\system.exe
最后编辑2005-10-13 10:14:48
分享到：
gototop
 
影子110
头像
叱咤花甲狮
  • 帖子:4210
  • 注册: 2005-04-10
  • 来自:怀黯
发表于： 2005-10-13 09:08 | 短消息 资料
字号： 小 中 大 2楼

O4 - 启动项HKLM\\Run: [AddrPlus] RUNDLL32.EXE C:\PROGRA~1\TENCENT\AddrPlus\TBH.dll,Rundll32
O4 - 启动项HKLM\\Run: [_TBHTray] RUNDLL32.EXE C:\PROGRA~1\TENCENT\AddrPlus\DLL~1,Rundll32

黑手 v7

开发商

nul7
聪明恶魔

Changelog:

更新:
合并v41a.10
CacheUDPSearchResults [ SF_IOM ]
PNR - > PNR v2 [ enkeyDev ]
EDT [ enkeyDev ]
发布窗口 - 现在 translatable 和支持rdf/rss 描述[ 某一代码由 enkeyDev ]
带宽控制[ Pawcio ]
增加 :
微微瓦Prot - 口令保护和掩藏下载和被分享的文 件(笔记: 没有缺省口令如此记住那个你set! 这不被认为是一 把完全锁下来文件, 而是一个额外措施保持在侦察的眼睛之外。 )
SMID - 简单mod 身份证较少代码完成同样工作 ... 包括SF_IOM modID 的stats 部份
充分多选择支持 为删除文件从被分享的文件窗口。
更多记忆优化
构形 网络服务器暂停[ 感谢aibarz ]
" 来源交换的自动" 选择 [ 根据代码由Obelix ACC ]
份额 SubDirs 2.5 [ SF_IOM ]
先进的份额浏览 [ SF_IOM ]
真正被分享的dirs [ SF_IOM ]
Safehash 再 [ SF_IOM ]
Modeless 对话[ SF_IOM ]
队列 traversal 显示[ SF_IOM ]
再传播 ReAsk [ SF_IOM ]
新Mulisort [ SF_IOM ]
分享 允许[ SF_IOM ]
翱翔捕获固定[ SF_IOM ]
消除 疲劳被分享的文件[ SF_IOM ]
reqBlockClipping [ SF_IOM ]
ICS [ enkeyDev ]
改变 :
被增加的scrollbars 对日志和特选菜单
固定 对sorting/columns
扭动对powersharing, 包括自动实施 [ 多数代码由Morph 队和Pawcio ]
集合缺省份额允许
用户名和回锅碎肉再显示在MyInfo 窗口。如果它将被显 示在红色的你的userhash 改变从上次你起头emule
被增加的标题酒吧对信用
固定的问题与TBH 扭捏树
扭动对反列入黑名单
最大平均Downloadrate 状 态现在工作
客户现在凹进在下载名单
固定对队列显示
文件名总保留猫颜色, 虽然info 的剩余改变每停留, 下 载等
Translatable 文本
许多优化和扭动


这是用TBH.dll在google中搜出来的，好像是个黑客软件之类的，，，你看看认识吗？
gototop
 
静静的眼泪
头像
初生襁褓狮
  • 帖子:10
  • 注册: 2005-10-13
  • 来自:
发表于： 2005-10-13 09:17 | 只看楼主 短消息 资料
字号： 小 中 大 3楼

偶试试 啦
gototop
 
影子110
头像
叱咤花甲狮
  • 帖子:4210
  • 注册: 2005-04-10
  • 来自:怀黯
发表于： 2005-10-13 09:29 | 短消息 资料
字号： 小 中 大 4楼

还有
用snlogsvc.exe搜出来下面的东西，，，
在你的运行项里的，应该属于一种很不好的东西吧~~~

总结:  Worm.Rbot Variant.Process 
   
公司:  未知
   
描述 :  Rbot 蠕虫的变形

蠕虫是繁殖由延长网络的 节目。蠕虫是一特别类型计算机病毒。

这种应用被下载和很可能 被安装经由弱点在系统安全或由被认为是adware 或spyware 的其它 应用。
   
威胁级(1-10):  10 
   
过程 :  SNLOGSVC.EXE 


在LOG里显示的项有下面几个

O4 - 启动项HKLM\\Run: [Microsoft Update] snlogsvc.exe
O4 - 启动项HKLM\\RunServices: [Microsoft Update] snlogsvc.exe
O4 - HKCU\..\Run: [Microsoft Update] snlogsvc.exe
以及这个O6项，
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
你先用HijackThis修复再说，
然后再显示所有文件及系统文件（双击我的电脑》工具》文件夹选项》查看》显示系统文件夹内容》显示所有文件），也可以用搜索，开始》搜索》所有文件夹》更多高级选项》选上所有的选项》在电脑所有盘中进行仔细的搜索，搜索的文件名为snlogsvc*.*只要有的全删进你的回收站里，暂时别彻底删除，重启下看看运行是否正常，然后再XXX）
注册表项·······你先删了这些看看再说~~~~
gototop
 
影子110
头像
叱咤花甲狮
  • 帖子:4210
  • 注册: 2005-04-10
  • 来自:怀黯
发表于： 2005-10-13 09:37 | 短消息 资料
字号： 小 中 大 5楼

还有，O23 - NT 服务: system.exe - Unknown owner - C:\WINDOWS\system.exe

这个是鸽子，
天~~~~你这里怎么有这么多问题~~~~~~
鸽子你可以参考下帖
“新版灰鸽子”的一些特点及手工查杀举例
http://forum.ikaka.com/topic.asp?board=28&artid=7156227
gototop
 
影子110
头像
叱咤花甲狮
  • 帖子:4210
  • 注册: 2005-04-10
  • 来自:怀黯
发表于： 2005-10-13 09:44 | 短消息 资料
字号： 小 中 大 6楼

一项一项来~~~~~~~~
慢慢的杀，越急越糟~~明白吗？

建议你下个专杀木马的软件装上，
个人推荐你使用下帖中的有图文介绍，，，而且效果不错~~~
http://forum.ikaka.com/topic.asp?board=67&artid=7226076
gototop
 
静静的眼泪
头像
初生襁褓狮
  • 帖子:10
  • 注册: 2005-10-13
  • 来自:
发表于： 2005-10-13 10:03 | 只看楼主 短消息 资料
字号： 小 中 大 7楼

谢谢高手哦！终于弄好了！真的很感谢，以后再有还找你！@_@
gototop
 
影子110
头像
叱咤花甲狮
  • 帖子:4210
  • 注册: 2005-04-10
  • 来自:怀黯
发表于： 2005-10-13 10:14 | 短消息 资料
字号： 小 中 大 8楼


和你一样，小菜鸟一只，，，
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT