1234   1  /  4  页   跳转页

[求助] 病毒顽固，开机又来

收藏
飓风一线啊
头像
初生襁褓狮
  • 帖子:24
  • 注册: 2008-07-21
  • 来自:
发表于： 2008-07-21 11:17 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

病毒顽固，开机又来

我家电脑中了这个 RootKit.Win32.Mnless.vt 病毒。。

杀完开机又来了，安全模式下又扫描不出，普通的又能扫描出。 怎么办啊。我快杀疯了，这是路径C:\WINDOWS\system32\drivers\HBKernel.sys

怎么做啊。5555555555问题补充：3掉文件会影响正常运行吗？而且我是叫瑞星删除染毒文件的，难道这个不是染毒文件吗？

而且3不掉，安全模式也3不掉。

那个超级巡警MS扫描不出来~~~T.T

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; TencentTraveler ; Mozilla/4.0(Compatible Mozilla/4.0(Compatible-EmbeddedWB 14.59 http://bsalsa.com/ EmbeddedWB- 14.59  from: http://bsalsa.com/ ; Mozilla/4.0(Compatible Mozilla/4.0EmbeddedWB- 14.59  from: http://bsalsa.com/ )
分享到：
gototop
 
aaccbbdd
头像
卡卡巡查
  • 帖子:45933
  • 注册: 2007-11-17
  • 来自:蜀山仙剑派
论坛8周年活动礼物卡卡名人堂祖国六十华诞09欢乐圣诞吃货勋章2012我眼中的你们幸福玫瑰
发表于： 2008-07-21 11:29 | 短消息 资料
字号： 小 中 大 2楼

回复：病毒顽固，开机又来

扫日志前关闭无用进程，如QQ，迅雷

到大的软件站，如天空，太平洋，下载2.6正式版版的SReng（推荐）

http://www.skycn.com/soft/45002.html
SREng/智能扫描

等扫描完成,保存日志(LOG格式)
日志以附件上传，贴到反病毒区或流行病毒区
PS：如主程序SREng**.exe无法运行,导致无法扫描日志

将主程序改名为小狮子.bat
gototop
 
hare45
头像
初生襁褓狮
  • 帖子:9
  • 注册: 2008-07-10
  • 来自:
发表于： 2008-07-21 13:30 | 短消息 资料
字号： 小 中 大 3楼

回复 1F 飓风一线啊 的帖子

病毒客户端是wdm.exe`文件存在于C:\WINDOWS\system32\wdm.exe.用瑞星查这个文件是查不出毒的``
C:\WINDOWS\system32\drivers\usbinte.sys这个才是有毒的文件...是wdm.exe利用拨号加载的...
首先,禁止wdm.exe、TIMPlatfrom.exe、TIMPlatform.exe加载(TIMPlatfrom.exe、TIMPlatform.exe这两个文件存在与QQ主目录下..现已被病毒覆盖)
然后,删除wdm.exe`清理注册表
注册表清理方法:开始→运行→输入Regedit
找到HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run删掉那个与wdm.exe有关的键值..OK了`重起...
最后,卸载QQ重新安装。
gototop
 
5357538
头像
初生襁褓狮
  • 帖子:5
  • 注册: 2007-06-11
  • 来自:
发表于： 2008-07-21 13:55 | 短消息 资料
字号： 小 中 大 4楼

回复：病毒顽固，开机又来

这是典型的Rootkit病毒，而且还是驱动型。目前很多杀毒软件都做的很不好，在这一方面。推荐你使用超级巡警进行查杀，在这一方面它很强大，而且免费。配合杀毒软件很不错。如果你动手能力不错，推荐你试一下：wsyscheck这款软件
gototop
 
飓风一线啊
头像
初生襁褓狮
  • 帖子:24
  • 注册: 2008-07-21
  • 来自:
发表于： 2008-07-21 16:41 | 只看楼主 短消息 资料
字号： 小 中 大 5楼

回复：病毒顽固，开机又来

可是超级巡警扫描不出来啊
gototop
 
飓风一线啊
头像
初生襁褓狮
  • 帖子:24
  • 注册: 2008-07-21
  • 来自:
发表于： 2008-07-21 16:43 | 只看楼主 短消息 资料
字号： 小 中 大 6楼

回复 3F hare45 的帖子

和QQ又关系？
gototop
 
开心101
头像
卡卡反病毒小组
  • 帖子:1210
  • 注册: 2008-07-05
  • 来自:梦开始的地方
发表于： 2008-07-21 16:47 | 短消息 资料
字号： 小 中 大 7楼

回复：病毒顽固，开机又来

一.请先使用WINDOWS清理助手清理一下系统
二.请下载一个置顶贴里的SRENG工具
使用它扫描日志，将日志作为附件上传上来。
操作方法：
1、下载后解压缩，运行SREngLdr.exe；
2、如果无法打开尝试把SREngLdr.exe改名为123.com运行；
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
4、选择保存路径，文件名保持默认，直接点击【保存】，存为TXT格式；
5、将保存的报告附件上传而不是粘贴到帖子
注意：
扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等一切应用程序，扫描完毕后操作
好久没来了
嘻嘻
gototop
 
飓风一线啊
头像
初生襁褓狮
  • 帖子:24
  • 注册: 2008-07-21
  • 来自:
发表于： 2008-07-21 18:12 | 只看楼主 短消息 资料
字号： 小 中 大 8楼

回复: 病毒顽固，开机又来

这样对吗？

附件附件:

文件名:SREngLOG.log
下载次数:101
文件类型:application/octet-stream
文件大小:
上传时间:2008-7-21 18:12:02
描述:log
gototop
 
开心101
头像
卡卡反病毒小组
  • 帖子:1210
  • 注册: 2008-07-05
  • 来自:梦开始的地方
发表于： 2008-07-21 18:26 | 短消息 资料
字号： 小 中 大 9楼

回复：病毒顽固，开机又来

删除 方法见http://bbs.ikaka.com/showtopic-8442813.aspx
c:\windows\system32\drivers\zpcabx.sys
c:\windows\system32\drivers\ntdapi.sys
c:\windows\system32\drivers\qabop.sys
c:\docume~1\admini~1\locals~1\temp\_tmp.bat
c:\windows\system32\drivers\hbkernel.sys
c:\windows\system32\drivers\cxyqr.sys
c:\windows\system32\drivers\bzpcax.sys

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[dpvvoxmh.dll]    <>

    启动项目 －－ 服务－－ 驱动程序之如下项删除：
[zpcabx / zpcabx]    <\??\C:\WINDOWS\system32\drivers\zpcabx.sys>
[Ntdapi / Ntdapi]    <\??\C:\WINDOWS\system32\drivers\ntdapi.sys>
[qabop / qabop]    <\??\C:\WINDOWS\system32\drivers\qabop.sys>
[nlhef / nlhef]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\_tmp.bat>
[HBKernel Driver / HBKernel]    <\SystemRoot\system32\DRIVERS\HBKernel.sys>
[gdazz / gdazz]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\_tmp.bat>
[cxyqr / cxyqr]    <\??\C:\WINDOWS\system32\drivers\cxyqr.sys>
[bzpcax / bzpcax]    <\??\C:\WINDOWS\system32\drivers\bzpcax.sys>
用附件修复劫持项

附件附件:

下载次数:130
文件类型:application/octet-stream
文件大小:
上传时间:2008-7-21 18:26:11
描述:rar

最后编辑开心101 最后编辑于 2008-07-21 18:30:13
好久没来了
嘻嘻
gototop
 
为什么是马甲
头像
自信弱冠狮
  • 帖子:485
  • 注册: 2008-05-25
  • 来自:
发表于： 2008-07-21 18:37 | 短消息 资料
字号： 小 中 大 10楼

回复：病毒顽固，开机又来

打开SRE--启动项目--注册表删除
    <{1E51C0FD-EE36-434B-AD2A-FD1FF3731C38}><C:\WINDOWS\system32\wyrsdj.dll>  [File is missing]
编辑<Userinit><C:\WINDOWS\system32\userinit.exe,svchost.xy3>
的值为<C:\WINDOWS\system32\userinit.exe,>

显示隐藏文件，搜索svchost.xy3文件删除，找不到忽略
为什么是菜鸟
gototop
 
<<上一主题|下一主题>>
1234   1  /  4  页   跳转页
页面顶部
Powered by Discuz!NT