瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 【求助】不知道是什么木马，杀不掉...NewHeur_PE？？（未解决）

1   1  /  1  页   跳转页

【求助】不知道是什么木马，杀不掉...NewHeur_PE？？（未解决）

收藏
雨鹤
头像
快乐黄口狮
  • 帖子:196
  • 注册: 2005-06-18
  • 来自:
发表于： 2007-01-20 17:26 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

【求助】不知道是什么木马，杀不掉...NewHeur_PE？？（未解决）

帮我看看日志吧，已经快不行了。。。 谢谢了

HijackThis_815汉化版扫描日志 V1.99.1
保存于      16:48:19, 日期 2007-1-20
操作系统：  Windows XP SP2 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\msvhpsp.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ESET\nod32.exe
D:\h\HijackThis1991zww.exe

R3 - URLSearchHook: ToolbarURLSearchHook Class - {CA3EB689-8F09-4026-AA10-B9534C691CE0} - C:\PROGRA~1\ABOBEF~1\tbu06484\tbhelper.dll
O2 - BHO: rgvi - {0F1B0BD5-F834-427A-8E18-C1CC239B70F6} - C:\PROGRA~1\COMMON~1\xper\baiv.dll
O2 - BHO: AdPopup - {11F09AFD-75AD-4E51-AB43-E09E9351CE16} - C:\Program Files\Common Files\CPUSH\cpush0.dll
O2 - BHO: (no name) - {13B80B13-6D02-424C-88E4-5EABF0883CA0} - C:\WINDOWS\system32\toajpakumpvzg.dll
O2 - BHO: GoogleTool  - {32365484-96a1-6974-3269-123555124652} - C:\WINDOWS\system32\GoogleTool.dll
O2 - BHO: DJQWFMTAIOVBJPW - {4137039E-E644-467B-BA8E-824057C2BC08} - C:\WINDOWS\system32\PWDKTAGOV.DLL
O2 - BHO: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\vision\vision.dll
O2 - BHO: BrowserProxy4  - {6CF4D74B-E6BD-4C8F-83D7-90D6439705B9} - C:\WINDOWS\system32\AlxTool.dll
O2 - BHO: XBTBPos00 - {72A7F654-0DF2-4E24-8CC7-C32CABCBE3E7} - C:\PROGRA~1\ABOBEF~1\tbu06484\CAB301~1.DLL
O2 - BHO: XTTBPos00 - {BBBE1C1A-89F7-4AF6-ABD1-1A1DE1C6962A} - C:\PROGRA~1\SOFATO~1\sofa.dll
O2 - BHO: Bar888 - {C1B4DEC2-2623-438e-9CA2-C9043AB28508} - C:\PROGRA~1\COMMON~1\{34FEC~2\Bar888.dll
O2 - BHO: Webacc - {CAC068F3-A608-406B-8581-458788A67694} - C:\WINDOWS\system32\svchost.dll
O2 - BHO: IEHlprObj Class - {DE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\POPNTS.DLL
O2 - BHO: Flasher - {E29F0B13-0D84-45aa-81EC-CC629BC07566} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\Flasher.dll
O2 - BHO: (no name) - {E5A7A15F-213F-4FCF-8DE7-D388F9FB09EB} - C:\WINDOWS\system32\cnwin.dll
O3 - IE工具栏增项: Bar888 - {C1B4DEC2-2623-438e-9CA2-C9043AB28508} - C:\PROGRA~1\COMMON~1\{34FEC~2\Bar888.dll
O3 - IE工具栏增项: Abobe Flash Play 9 - {DF9C07B2-C8C1-4FEA-B0FE-5E0709162B26} - C:\Program Files\Abobe Flash Play 9\tbu06484\Cab301b48.dll
O3 - IE工具栏增项: sofa - {B7D3E479-CC68-42B5-A338-B5A0E057163B} - C:\Program Files\SofaToolbar\sofa.dll
O4 - 启动项HKLM\\Run: [{84FEC588-085B-2052-0323-050220040056}] "C:\Program Files\Common Files\{84FEC588-085B-2052-0323-050220040056}\Update.exe" te-110-12-0000173
O4 - 启动项HKLM\\Run: [IEBarUp] RunDll32 "C:\WINDOWS\system32\IeBar1.dll",Run
O4 - 启动项HKLM\\Run: [sdafdsafds] D;]XJOEPXT]ufnq]te266/fyf
O4 - 启动项HKLM\\Run: [System] C:\WINDOWS\system32\kernels88.exe
O4 - 启动项HKLM\\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - 启动项HKLM\\Run: [svc] C:\WINDOWS\svchost.exe
O4 - 启动项HKLM\\RunOnce: [alsmt.exe] C:\WINDOWS\system32\alsmt.exe
O4 - 启动项HKLM\\RunOnce: [llqmmzd] %systemroot%\system32\rundll32.exe %systemroot%\system32\llqmmzd.dll,Run
O4 - 启动项HKLM\\RunOnce: [edzux] %systemroot%\system32\Rundll32.exe %systemroot%\system32\edzux.dll,DllUnregisterServer
O4 - 启动项HKLM\\RunOnce: [nu_scd] %systemroot%\system32\rundll32.exe %systemroot%\system32\nu_scd.dll,Run
O4 - 启动项HKLM\\RunOnce: [jj_bjm] %systemroot%\system32\rundll32.exe %systemroot%\system32\jj_bjm.dll,Run
O4 - 启动项HKLM\\RunOnce: [ieko_u] %systemroot%\system32\rundll32.exe %systemroot%\system32\ieko_u.dll,Run
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [UUpdate] C:\Program Files\UUSee\UUpdate.exe
O4 - HKCU\..\Run: [svc] C:\WINDOWS\svchost.exe
O8 - IE右键菜单中的新增项目: >>彩信发送<< - res://C:\PROGRA~1\vision\vision.dll/mms.htm
O8 - IE右键菜单中的新增项目: 上传到QQ网络硬盘 - D:\QQ\AddToNetDisk.htm
O8 - IE右键菜单中的新增项目: 使用Web迅雷下载 - C:\Program Files\Thunder Network\WebThunder\GetUrl.htm
O8 - IE右键菜单中的新增项目: 使用Web迅雷下载全部链接 - C:\Program Files\Thunder Network\WebThunder\GetAllUrl.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - D:\FlashGet\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - D:\FlashGet\jc_all.htm
O8 - IE右键菜单中的新增项目: 导出到 Microsoft Excel(&x) - res://D:\office\Office10\EXCEL.EXE/3000
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - D:\QQ\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - D:\QQ\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - D:\QQ\SendMMS.htm
O9 - 浏览器额外的按钮: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\vision\vision.dll
O9 - 浏览器额外的“工具”菜单项: 彩E精灵设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\vision\vision.dll
O9 - 浏览器额外的按钮: 启动Web迅雷 - {962EFB8E-2683-42d4-AC74-AAA4C759B9C6} - http://my.xunlei.com (file missing)
O9 - 浏览器额外的“工具”菜单项: 启动Web迅雷 - {962EFB8E-2683-42d4-AC74-AAA4C759B9C6} - http://my.xunlei.com (file missing)
O9 - 浏览器额外的按钮: sofa - {B7D3E479-CC68-42B5-A338-B5A0E057163B} - C:\Program Files\SofaToolbar\sofa.dll
O9 - 浏览器额外的“工具”菜单项: sofa - {B7D3E479-CC68-42B5-A338-B5A0E057163B} - C:\Program Files\SofaToolbar\sofa.dll
O9 - 浏览器额外的按钮: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - D:\QQ\QQ.EXE
O9 - 浏览器额外的“工具”菜单项: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - D:\QQ\QQ.EXE
O10 - 未知的文件在 Winsock LSP: c:\windows\system32\srvdll04.dll
O10 - 未知的文件在 Winsock LSP: c:\windows\system32\srvdll04.dll
O20 - Winlogon Notify: ScCardLogn - C:\WINDOWS\ScNotify.dll
O23 - NT 服务: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - NT 服务: NOD32 Kernel Service (NOD32krn) - Eset  - C:\Program Files\Eset\nod32krn.exe
O23 - NT 服务: Provisioning Transaction Service (ttt_14) - Unknown owner - C:\WINDOWS\system32\win.exe (file missing)

最后编辑2007-01-20 20:47:17
分享到：
gototop
 
风子
头像
初生襁褓狮
  • 帖子:16
  • 注册: 2006-12-09
  • 来自:
发表于： 2007-01-20 17:34 | 短消息 资料
字号： 小 中 大 2楼

修复
O4 - 启动项HKLM\\Run: [IEBarUp] RunDll32 "C:\WINDOWS\system32\IeBar1.dll",Run
O4 - 启动项HKLM\\Run: [sdafdsafds] D;]XJOEPXT]ufnq]te266/fyf
O4 - 启动项HKLM\\Run: [System] C:\WINDOWS\system32\kernels88.exe
O4 - 启动项HKLM\\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - 启动项HKLM\\Run: [svc] C:\WINDOWS\svchost.exe
O4 - 启动项HKLM\\RunOnce: [llqmmzd] %systemroot%\system32\rundll32.exe %systemroot%\system32\llqmmzd.dll,Run
O4 - 启动项HKLM\\RunOnce: [edzux] %systemroot%\system32\Rundll32.exe %systemroot%\system32\edzux.dll,DllUnregisterServer
O4 - 启动项HKLM\\RunOnce: [nu_scd] %systemroot%\system32\rundll32.exe %systemroot%\system32\nu_scd.dll,Run
O4 - 启动项HKLM\\RunOnce: [jj_bjm] %systemroot%\system32\rundll32.exe %systemroot%\system32\jj_bjm.dll,Run
O4 - 启动项HKLM\\RunOnce: [ieko_u] %systemroot%\system32\rundll32.exe %systemroot%\system32\ieko_u.dll,Run
O23 - NT 服务: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - NT 服务: Provisioning Transaction Service (ttt_14) - Unknown owner - C:\WINDOWS\system32\win.exe (file missing)
删掉 C:\Program Files\Eset\nod32krn.exe
然后下载个卡卡杀流氓软件
gototop
 
whitesnow
头像
初生襁褓狮
  • 帖子:9
  • 注册: 2006-07-07
  • 来自:
发表于： 2007-01-20 17:35 | 短消息 资料
字号： 小 中 大 3楼

用瑞星卡卡。
gototop
 
雨鹤
头像
快乐黄口狮
  • 帖子:196
  • 注册: 2005-06-18
  • 来自:
发表于： 2007-01-20 20:11 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

都杀过了，不过好像还有好多可疑进程阿。麻烦在看看日志。
HijackThis_815汉化版扫描日志 V1.99.1
保存于      19:55:13, 日期 2007-1-20
操作系统：  Windows XP SP2 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\SYSTEM32\RUNDLL32.EXE
C:\WINDOWS\system32\Svchost.exe
C:\WINDOWS\system32\Rpcs11.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\inf\msvhpsp.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\conime.exe
C:\WINDOWS\system32\devgt.exe
C:\WINDOWS\iexp1ore.exe
C:\WINDOWS\system32\wbem\lsass.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
D:\h\HijackThis1991zww.exe

R3 - URLSearchHook: (no name) - {CA3EB689-8F09-4026-AA10-B9534C691CE0} - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,devgt.exe
O2 - BHO: rgvi - {0F1B0BD5-F834-427A-8E18-C1CC239B70F6} - C:\PROGRA~1\COMMON~1\xper\baiv.dll
O2 - BHO: GoogleTool  - {32365484-96a1-6974-3269-123555124652} - C:\WINDOWS\system32\GoogleTool.dll
O2 - BHO: BrowserProxy4  - {6CF4D74B-E6BD-4C8F-83D7-90D6439705B9} - C:\WINDOWS\system32\AlxTool.dll
O2 - BHO: Flasher - {E29F0B13-0D84-45aa-81EC-CC629BC07566} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\Flasher.dll
O3 - IE工具栏增项: Abobe Flash Play 9 - {DF9C07B2-C8C1-4FEA-B0FE-5E0709162B26} - C:\Program Files\Abobe Flash Play 9\Cab301b48.dll
O3 - IE工具栏增项: 卡卡上网安全助手 - {DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} - C:\WINDOWS\system32\kakatool.dll
O4 - 启动项HKLM\\Run: [sdafdsafds] D;]XJOEPXT]ufnq]te266/fyf
O4 - 启动项HKLM\\Run: [wdfmgr32] C:\WINDOWS\system32\wdfmgr32.exe
O4 - 启动项HKLM\\Run: [wsvbs] C:\WINDOWS\wsvbs.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [UUpdate] C:\Program Files\UUSee\UUpdate.exe
O4 - HKCU\..\Run: [m] C:\WINDOWS\iexp1ore.exe
O8 - IE右键菜单中的新增项目: 上传到QQ网络硬盘 - D:\QQ\AddToNetDisk.htm
O8 - IE右键菜单中的新增项目: 使用Web迅雷下载 - C:\Program Files\Thunder Network\WebThunder\GetUrl.htm
O8 - IE右键菜单中的新增项目: 使用Web迅雷下载全部链接 - C:\Program Files\Thunder Network\WebThunder\GetAllUrl.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - D:\FlashGet\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - D:\FlashGet\jc_all.htm
O8 - IE右键菜单中的新增项目: 导出到 Microsoft Excel(&x) - res://D:\office\Office10\EXCEL.EXE/3000
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - D:\QQ\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - D:\QQ\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - D:\QQ\SendMMS.htm
O9 - 浏览器额外的按钮: 启动Web迅雷 - {962EFB8E-2683-42d4-AC74-AAA4C759B9C6} - http://my.xunlei.com (file missing)
O9 - 浏览器额外的“工具”菜单项: 启动Web迅雷 - {962EFB8E-2683-42d4-AC74-AAA4C759B9C6} - http://my.xunlei.com (file missing)
O9 - 浏览器额外的按钮: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - D:\QQ\QQ.EXE
O9 - 浏览器额外的“工具”菜单项: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - D:\QQ\QQ.EXE
O20 - Winlogon Notify: ScCardLogn - C:\WINDOWS\ScNotify.dll
O23 - NT 服务: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - NT 服务: NOD32 Kernel Service (NOD32krn) - Unknown owner - C:\Program Files\Eset\nod32krn.exe (file missing)
O23 - NT 服务: Provisioning Transaction Service (ttt_14) - Unknown owner - C:\WINDOWS\system32\win.exe (file missing)
gototop
 
雨鹤
头像
快乐黄口狮
  • 帖子:196
  • 注册: 2005-06-18
  • 来自:
发表于： 2007-01-20 20:26 | 只看楼主 短消息 资料
字号： 小 中 大 5楼

高手来
gototop
 
mimi163000
头像
初生襁褓狮
  • 帖子:25
  • 注册: 2007-01-20
  • 来自:
发表于： 2007-01-20 20:49 | 短消息 资料
字号： 小 中 大 6楼

这种是利用DLL病毒启动办法。

关掉以下程序并删除：
C:\WINDOWS\system32\Rpcs11.exe
C:\WINDOWS\inf\msvhpsp.exe
C:\WINDOWS\system32\devgt.exe
C:\WINDOWS\iexp1ore.exe
C:\WINDOWS\system32\wdfmgr32.exe
C:\WINDOWS\wsvbs.exe

检查以下程序是什么程序：
C:\Program Files\UUSee\UUpdate.exe

请处理完后将修改注册表启动项
gototop
 
mimi163000
头像
初生襁褓狮
  • 帖子:25
  • 注册: 2007-01-20
  • 来自:
发表于： 2007-01-20 20:56 | 短消息 资料
字号： 小 中 大 7楼

之前的日志里面

先用卡卡助手清理流氓软件，（因为BHO太多看不顺）

删除（先关掉RUNDLL32，如果不能删除请进去安全模式删除）
C:\WINDOWS\system32\IeBar1.dll",Run
[sdafdsafds] D;]XJOEPXT]ufnq]te266/fyf
C:\WINDOWS\system32\kernels88.exe
C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
C:\WINDOWS\svchost.exe
C:\WINDOWS\system32\alsmt.exe
%systemroot%\system32\llqmmzd.dll,Run
\system32\edzux.dll,DllUnregisterServer
%systemroot%\system32\nu_scd.dll,Run
%systemroot%\system32\jj_bjm.dll,Run
%systemroot%\system32\ieko_u.dll,Run
C:\Program Files\UUSee\UUpdate.exe
C:\WINDOWS\svchost.exe
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT