1   1  /  1  页   跳转

求助,中木马了,高手帮帮忙!

求助,中木马了,高手帮帮忙!

 
用瑞星杀不掉,重起来还有
Trojan.PSW.Win32.GameOL.
而且瑞星已升到最新版本了啊,老提示有恶意代码,麻烦告诉我怎么解决,能详细点最好,谢谢!

用户系统信息:Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

附件附件:

文件名:SREngLogEm.txt
下载次数:123
文件类型:text/plain
文件大小:
上传时间:2008-5-7 18:15:49
描述:txt

分享到:
gototop
 

回复: 求助,中木马了,高手帮帮忙!



引用:
原帖由 ☆欧时力☆ 于 2008-5-7 18:16:00 发表
 
[table=98%][tr][td=1,1,100][/td][td][table=98%][tr][td=1,1,100]用瑞星杀不掉,重起来还有[/td][td][table][tr][td]Trojan.PSW.Win32.Gam......




下载附件,解压  记住保存的路径

参考这里:http://bbs.ikaka.com/showtopic-8502100.aspx 

下载PE并安装  以及下载“费尔……助手”(那个贴的附件里有)

重起进入PE,用“费尔……助手”删除以下文件:

c:\windows\system32\wqvlrj.dll
c:\windows\system32\zuuugx.dll
c:\windows\system32\juquvh.dll
c:\windows\system32\fsrgeb.dll
c:\windows\system32\mxavpw0.dll
c:\windows\system32\tfsdmz.dll
c:\windows\system32\sqavpw0.dll
c:\windows\system32\jgnomr.dll
c:\windows\system32\pedadt.dll
c:\windows\system32\hikadx.dll
c:\windows\system32\jdsaex.dll
c:\windows\system32\wyrsdj.dll
c:\windows\system32\jhfrxz.dll
c:\windows\system32\tthadhad1071.dll
c:\windows\system32\hhrdxd.dll
c:\windows\system32\zjydcx.dll
c:\windows\system32\ttnnbnnb1056.dll
c:\windows\system32\zgxfdx.dll
c:\windows\system32\ttdxydxy1014.dll
c:\windows\system32\wfrdvq.dll
c:\windows\system32\seprhg.dll
c:\windows\system32\tdffdl.dll
c:\windows\system32\mfdesy.dll
c:\windows\system32\dqhadhad1066.dll
c:\windows\anistio.exe
c:\windows\fmsiocps.exe
c:\windows\system32\ce2d0846.exe
c:\windows\temp\tmpd.tmp
c:\windows\system32\drivers\msosmsp2p32.sys
c:\windows\temp\tmp21.tmp
c:\windows\temp\tmpf.tmp
c:\windows\temp\tmp7.tmp

然后还要做一步很重要的:将第一步下载的附件里的几个文件全部复制粘贴到c:\windows\system32\文件夹内  提示替换选“是”



做完后重起进入安全模式或者正常模式

用SREng修复下面各项:

    启动项目 -- 注册表之如下项删除:
[{820D9329-F2BB-4BEC-8627-740A1CAA6F76}] 
[{271B1ED4-CA57-4752-9E4C-8EA65CC74E95}] 
[{32E02D3C-E390-4287-B260-AB7EA0B3702D}] 
[{EA5D4B0E-B8CE-4761-8C7E-5D26369F0EC6}] 
[{3E387664-C799-4D62-B196-25776EF35C51}] 
[{875E07B1-0614-43D9-A76E-D76A28AB3D7B}] 
[{C36ECF8F-EAD9-44BD-8DD0-C4240A06F51C}] 
[{E4360774-E6E2-45FC-B4A6-7341A6BF8D89}] 
[{5E907A48-400E-4EA8-9792-FFAE052D59E9}] 
[{0E26E4B5-2634-4FEF-B9CA-8F57969134E0}] 
[{B29583D8-033A-4B9F-8553-7C5458F3FB8E}] 
[{1E51C0FD-EE36-434B-AD2A-FD1FF3731C38}] 
[{7914E0AA-ECCB-4311-B584-C49538227824}] 
[{a580305f-b902-4723-ac26-06e4cb4279a5}] 
[{17DFD111-BF3A-4CB4-ADB0-88FCBFE69821}] 
[{45AADFAA-DD36-42AB-83AD-0521BBF58C24}] 
[{3cc67dc4-e953-4b2f-ae22-fcb4dcc3903a}] 
[{6E6CA8A1-81BC-4707-A54C-F4903DD70BAD}] 
[{5fd0c12b-da0b-4446-82fd-b8041a46492b}] 
[{6BBAA1E6-CF54-4139-AB9C-8491A9F909D7}] 
[{0D20FFFF-9EEE-4994-9A2B-861290887E28}] 
[{C0595A7E-2E2F-4B34-A83A-019270A0A464}] 
[{DC3D30AE-0380-4151-8934-EE98A34B0370}] 
[{5f24d354-e8fd-410e-8f85-35351ccc9eda}] 
[anistio] 
[fmsiocps] 

    启动项目 -- 服务 -- Win32服务应用程序之如下项删除:
[E13C5D3A / E13C5D3A] 

    启动项目 -- 服务-- 驱动程序之如下项删除:
[ping / ping] 
[msp2p32 / msp2p32] 
[mhfp / mhfp] 
[fmsq / fmsq] 
[dohs / dohs] 

最后下载以下软件清理一次并更新杀毒软件至最新进行全盘杀毒
清理系统临时文件和IE临时文件夹
http://www.atribune.org/public-beta/ATF-Cleaner.exe
用金山清理专家清理恶意软件
http://www.duba.net/zt/ksc/down.shtml
下载 windows清理助手清理一遍
http://www.arswp.com/download/arswp2/arswp2.zip

附件附件:

文件名:xp sp2.rar
下载次数:143
文件类型:application/octet-stream
文件大小:
上传时间:2008-5-7 18:25:25
描述:rar

不认识我没关系,因为我也不认识你。
gototop
 

回复:求助,中木马了,高手帮帮忙!

1. 杀毒前关闭系统还原(Win2000系统可以忽略):右键 我的电脑 ,属性,系统还原,在所有驱动器上关闭系统还原 打勾即可。 
清除IE的临时文件:打开IE 点工具-->Internet选项 : Internet临时文件,点“删除文件”按钮 ,将 删除所有脱机内容 打勾,点确定删除。
关闭QQ等应用程序。进行如下操作前,请不要进行任何双击打开磁盘的操作。所有下载的工具都直接放桌面上。

2.建议使用XDelBox删除以下文件:(XDelBox1.7下载) http://www.dodudou.com/down/index.php?dirpath=./01.原创软件&order=0
使用说明:删除时复制所有要删除文件的路径,在待删除文件列表里点击右键选择从剪贴板导入不检查路径,导入后在要删除文件上点击右键

,选择立刻重启删除,电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质(包括U盘,MP3,手机存储卡等

)。
C:\WINDOWS\fmsiocps.exe
C:\WINDOWS\anistio.exE
C:\WINDOWS\system32\mfdesy.dll
C:\WINDOWS\system32\tdffdl.dll
C:\WINDOWS\system32\seprhg.dll
C:\WINDOWS\system32\wfrdvq.dll
C:\WINDOWS\system32\ttDXYDXY1014.dll
C:\WINDOWS\system32\zgxfdx.dll
C:\WINDOWS\system32\ttNNBNNB1056.dll
C:\WINDOWS\system32\zjydcx.dll
C:\WINDOWS\system32\hhrdxd.dll
C:\WINDOWS\system32\ttHADHAD1071.dll
C:\WINDOWS\system32\jhfrxz.dll
C:\WINDOWS\system32\wyrsdj.dll
C:\WINDOWS\system32\jdsaex.dll
C:\WINDOWS\system32\hikadx.dll
C:\WINDOWS\system32\pedadt.dll
C:\WINDOWS\system32\jgnomr.dll
C:\WINDOWS\system32\sqavpw0.dll
C:\WINDOWS\system32\tfsdmz.dll
C:\WINDOWS\system32\mxavpw0.dll
C:\WINDOWS\system32\fsrgeb.dll
C:\WINDOWS\system32\juquvh.dll
C:\WINDOWS\system32\zuuugx.dll
C:\WINDOWS\system32\wqvlrj.dll
C:\WINDOWS\TEMP\tmp7.tmp
C:\WINDOWS\TEMP\tmpF.tmp
C:\WINDOWS\TEMP\tmp21.tmp
C:\WINDOWS\system32\drivers\msosmsp2p32.sys
C:\WINDOWS\TEMP\tmpD.tmp

3.删除重启后使用SREng修复下面各项:
SREng详细操作方法: http://hi.baidu.com/peaset/blog/item/3114a7fb17dd19224e4aeadf.html
    启动项目 -- 注册表之如下项删除:
<fmsiocps><C:\WINDOWS\fmsiocps.exe>  [N/A]
    <anistio><C:\WINDOWS\anistio.exE>  [N/A]
    <{5f24d354-e8fd-410e-8f85-35351ccc9eda}><dqHADHAD1066.dll>  [N/A]
    <{DC3D30AE-0380-4151-8934-EE98A34B0370}><C:\WINDOWS\system32\mfdesy.dll>  [N/A]
    <{C0595A7E-2E2F-4B34-A83A-019270A0A464}><C:\WINDOWS\system32\tdffdl.dll>  [N/A]
    <{0D20FFFF-9EEE-4994-9A2B-861290887E28}><C:\WINDOWS\system32\seprhg.dll>  [N/A]
    <{6BBAA1E6-CF54-4139-AB9C-8491A9F909D7}><C:\WINDOWS\system32\wfrdvq.dll>  [N/A]
    <{5fd0c12b-da0b-4446-82fd-b8041a46492b}><C:\WINDOWS\system32\ttDXYDXY1014.dll>  [N/A]
    <{6E6CA8A1-81BC-4707-A54C-F4903DD70BAD}><C:\WINDOWS\system32\zgxfdx.dll>  [N/A]
    <{3cc67dc4-e953-4b2f-ae22-fcb4dcc3903a}><C:\WINDOWS\system32\ttNNBNNB1056.dll>  [N/A]
    <{45AADFAA-DD36-42AB-83AD-0521BBF58C24}><C:\WINDOWS\system32\zjydcx.dll>  [N/A]
    <{17DFD111-BF3A-4CB4-ADB0-88FCBFE69821}><C:\WINDOWS\system32\hhrdxd.dll>  [N/A]
    <{a580305f-b902-4723-ac26-06e4cb4279a5}><C:\WINDOWS\system32\ttHADHAD1071.dll>  [N/A]
    <{7914E0AA-ECCB-4311-B584-C49538227824}><C:\WINDOWS\system32\jhfrxz.dll>  [N/A]
    <{1E51C0FD-EE36-434B-AD2A-FD1FF3731C38}><C:\WINDOWS\system32\wyrsdj.dll>  [N/A]
    <{B29583D8-033A-4B9F-8553-7C5458F3FB8E}><C:\WINDOWS\system32\jdsaex.dll>  [N/A]
    <{0E26E4B5-2634-4FEF-B9CA-8F57969134E0}><C:\WINDOWS\system32\hikadx.dll>  [N/A]
    <{5E907A48-400E-4EA8-9792-FFAE052D59E9}><C:\WINDOWS\system32\pedadt.dll>  [N/A]
    <{E4360774-E6E2-45FC-B4A6-7341A6BF8D89}><C:\WINDOWS\system32\jgnomr.dll>  [N/A]
    <{C36ECF8F-EAD9-44BD-8DD0-C4240A06F51C}><C:\WINDOWS\system32\sqavpw0.dll>  [N/A]
    <{875E07B1-0614-43D9-A76E-D76A28AB3D7B}><C:\WINDOWS\system32\tfsdmz.dll>  [N/A]
    <{3E387664-C799-4D62-B196-25776EF35C51}><C:\WINDOWS\system32\mxavpw0.dll>  [N/A]
    <{EA5D4B0E-B8CE-4761-8C7E-5D26369F0EC6}><C:\WINDOWS\system32\fsrgeb.dll>  [N/A]
    <{32E02D3C-E390-4287-B260-AB7EA0B3702D}><C:\WINDOWS\system32\juquvh.dll>  [N/A]
    <{271B1ED4-CA57-4752-9E4C-8EA65CC74E95}><C:\WINDOWS\system32\zuuugx.dll>  [N/A]
    <{820D9329-F2BB-4BEC-8627-740A1CAA6F76}><C:\WINDOWS\system32\wqvlrj.dll>  [N/A]

启动项目 -- 服务 -- Win32服务应用程序之如下项删除:
[E13C5D3A / E13C5D3A] 

  启动项目 -- 服务-- 驱动程序之如下项删除:
[dohs / dohs][Stopped/Auto Start]
  <\??\C:\WINDOWS\TEMP\tmp7.tmp><N/A>
[fmsq / fmsq][Stopped/Auto Start]
  <\??\C:\WINDOWS\TEMP\tmpF.tmp><N/A>
[mhfp / mhfp][Stopped/Auto Start]
  <\??\C:\WINDOWS\TEMP\tmp21.tmp><N/A>
[msp2p32 / msp2p32][Running/Auto Start]
  <\??\C:\WINDOWS\system32\drivers\msosmsp2p32.sys><N/A>
[ping / ping][Stopped/Auto Start]
  <\??\C:\WINDOWS\TEMP\tmpD.tmp><N/A>



引用:
清理系统临时文件和IE临时文件夹     
http://www.atribune.org/public-beta/ATF-Cleaner.exe
用金山清理专家清理恶意软件
http://client.download.duba.net/KASSetup_10_1.EXE
下载windows清理助手清理一遍
http://www.arswp.com/download/arswp2/arswp2.zip
gototop
 

回复 2F 豪斯登堡新郎 的帖子

病毒貌似没有替换系统文件吧?
gototop
 

回复: 求助,中木马了,高手帮帮忙!

怎么装了PE重起,进到PE里看到的都是乱码??晕
gototop
 

回复:求助,中木马了,高手帮帮忙!

根据下面的可以判断,系统文件services.exe和cards.dll已被病毒恶意替换了。

正在运行的进程
[PID: 764 / SYSTEM][C:\WINDOWS\system32\services.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
    [C:\WINDOWS\system32\cards.dll]  [N/A, ]

实在不行,可以选择直接将系统C:\WINDOWS\system32\文件夹里的services.exe和cards.dll改名,然后再将找到的正常的系统文件services.exe和cards.dll复制到C:\WINDOWS\system32\文件夹里。

接着去处理完其他的病毒和相关项目
百年以后,你的墓碑旁 刻着的名字不是我
gototop
 

回复 6F 天月来了 的帖子

哎..我大意了
gototop
 
1   1  /  1  页   跳转
页面顶部
Powered by Discuz!NT