1   1  /  1  页   跳转

[求助] sw20和sw24是什么?

sw20和sw24是什么?

在 c:\windows\system32 下, 有2个文件 sw20.exe, sw24.exe
启动项里面也有, 不知道是什么文件.
在网上搜了下, 有的说是木马, 有的说没事..


用户系统信息:Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1)
分享到:
gototop
 

回复:sw20和sw24是什么?

进程文件: sw24 或 sw24.exe
进程位置: \windows\system32\
程序名称: covert.sys.exec
程序用途: 远程控制木马病毒
系统进程: 否
后台程序: 是
使用网络: 是
硬件相关: 否
安全等级: 低
进程分析: 病毒修改注册表 创建系统服务sw24实现自启动,运行后将允许恶意攻击者控制计算机。
gototop
 

回复:sw20和sw24是什么?

建议使用瑞星杀毒,若瑞星未报毒,请上报以上文件。
gototop
 

回复: sw20和sw24是什么?

用最新版杀过了, 没反应..
我把2个文件传上来了, 请老大们看看吧..

附件附件:

文件名:sw20.rar
下载次数:132
文件类型:application/octet-stream
文件大小:
上传时间:2008-6-27 2:23:54
描述:rar

gototop
 

回复:sw20和sw24是什么?

用windows清理助手清理一下系统。
windows清理助手下载页面:http://www.arswp.com/download.html
———————————————————————————————————————
然后使用system repair engineer扫描日志,将日志作为附件上传上来。
下载页面:http://www.kztechs.com/sreng/download.html
操作方法:
1、下载后解压缩,运行srengps.exe;
2、如果无法打开尝试把srengps.exe改名为123.com,并复制到c:\windows目录下运行;
3、依次点击【智能扫描】-【扫描】,耐心等待,扫描结束后点击【保存报告】;
4、选择保存路径,文件名保持默认,直接点击【保存】;
5、打开保存的日志文件srenglog.log,完整复制全部内容,新建一个文本文档,将日志中的全部内容粘贴到“新建文本文档.txt”中;
6、将“新建文本文档.txt”作为附件上传,同时务必详细描述问题现象,如果有查杀不净的病毒务必提供病毒名和路径。
注意:扫描前请尽量关闭qq、游戏、下载工具、媒体播放器等应用程序。
gototop
 

回复:sw20和sw24是什么?

按照版主的要求,扫份日志吧。

那两个文件貌似是微星的显卡驱动。如果系统没什么异常,就不用去研究这两个文件了。
gototop
 

回复: sw20和sw24是什么?

其实也没有什么症状, .. 只是这2个文件从来没见过, 名字又这么可疑..
今天杀了一下毒, 结果杀到很多win32.downloader.af ~
日志传上来, 麻烦大家了~

附件附件:

下载次数:122
文件类型:text/plain
文件大小:
上传时间:2008-6-27 19:08:01
描述:txt

gototop
 

回复: sw20和sw24是什么?

又中毒??
你Flash Player 补丁打了没??
系统的呢?
删除
启动项目的[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]下的
<SW20><; C:\WINDOWS\system32\sw20.exe> 
    <SW24><; C:\WINDOWS\system32\sw24.exe>

用附件删除并抑制再生sw20.exe
sw24.exe


{e2e2dd38-d088-4134-82b7-f2ba38496583} <%windir%\Network Diagnostic\xpnetdiag.exe
xpnetdiag.exe什么东东??
到这里鉴定下
http://bbs.ikaka.com/showtopic-8512587.aspx

附件附件:

文件名:powerrmv.zip
下载次数:106
文件类型:application/x-zip-compressed
文件大小:
上传时间:2008-6-27 19:25:01
描述:zip

gototop
 
1   1  /  1  页   跳转
页面顶部
Powered by Discuz!NT