瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 关于Rootkit.win32.undef.hh这个病毒.总是杀不掉

12   1  /  2  页   跳转

[已解决] 关于Rootkit.win32.undef.hh这个病毒.总是杀不掉

关于Rootkit.win32.undef.hh这个病毒.总是杀不掉

本人菜鸟一个
希望有高手耐心指点.!!
感染的文件是C:\WINDOWS\system32\drivers.3og4rk.sys     
一开机就显示说这个文件无法加载
最近QQ一上就死机,QQ医生也报废了
用超级巡警查出一大堆包裹和壳
郁闷死了

还有,不是我不想把详细情况上报,再次声明本人很菜.

用户系统信息:Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1)
最后编辑lalalolo 最后编辑于 2009-06-20 15:26:59
分享到:
gototop
 

回复: 关于Rootkit.win32.undef.hh这个病毒.总是杀不掉

点击下载 System Repair Engineer
1 、解压缩sreng2.zip
2、 运行SREngldr.exe
3 、智能扫描=》扫描=》保存报告
4 、将刚保存的日志文件以附件方式上传。
打酱油的……
gototop
 

回复: 关于Rootkit.win32.undef.hh这个病毒.总是杀不掉

3Q了哈!

附件附件:

文件名:SREngLOG.log
下载次数:143
文件类型:application/octet-stream
文件大小:
上传时间:2009-6-19 23:40:47
描述:log

gototop
 

回复: 关于Rootkit.win32.undef.hh这个病毒.总是杀不掉

一群老病毒,汗了……

建议用冰刃和SRENG扫描工具配合,一次性搞定所有问题文件和注册表项:

步骤:
1、运行SRENG扫描工具,保留其主窗口不要关闭;

2、下载冰刃1.22这个工具,之后拔掉网线,然后对冰刃的压缩包解压,之后运行ICESWORD.EXE,冰刃主程序窗口出现后,文件--设置--勾选“禁止进线程创建”--确定;

3、在冰刃窗口下,切换到“文件”选项卡,按照以下文件所在路径,逐一找下,将找到的所有文件全部删除(实在找不到的就算了,找到的一律右键,选择“强制删除”):
C:\Program Files\Eset\rund1132.exe
C:\WINDOWS\iexpl0re.exe
C:\SysAdd\svchost.exe
C:\SysAddd\svchost.exe
C:\SysAd1\svchost.exe
C:\WINDOWS\system32\windhcp.ocx
C:\WINDOWS\System32\DRIVERS\3og4rk.sys
C:\DOCUMENTS AND SETTINGS\GOOD LUCK\LOCAL SETTINGS\Temp\usbcams3.sys
C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll
C:\WINDOWS\system32\ceggtvsolm.dll
C:\WINDOWS\system32\fyhffavlnbopf.dll
C:\WINDOWS\system32\bbwjgqbvkruec.dll
C:\WINDOWS\system32\urcvuxfjwu.dll

4、切换到冰刃的“注册表”选项卡,删除如下注册表项:
(1)注册表值项:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <ravtask>
    <ic1hrq2wbbt874u>
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
    <222222>
    <2222222>
    <22222222>
(2)注册表子项:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.com]

5、冰刃窗口,文件--设置--取消“禁止进线程创建”的勾选--确定;

6、切换到SRENG扫描工具窗口,启动项目--服务--WIN32服务应用程序,找到如下项,删除(完成后先不要重启):
[Windows DHCP Service / WinDHCPsvc][Stopped/Auto Start]
  <C:\WINDOWS\system32\rundll32.exe windhcp.ocx,start><Microsoft Corporation>

7、切换到SRENG扫描工具窗口,启动项目--服务--驱动程序,找到如下项,删除(完成后先不要重启):
[3og4r / 3og4rk][Stopped/Boot Start]
  <\SystemRoot\System32\DRIVERS\3og4rk.sys><N/A>
[Sc Manager / Sc Manager][Stopped/Manual Start]
  <\??\C:\DOCUME~1\GOODLU~1\LOCALS~1\Temp\usbcams3.sys><N/A>

8、在SRENG扫描工具窗口下,系统修复--浏览器加载项目,找到如下项,删除:
[]
  {192C0424-8358-4EB4-B62D-F91821BC0745} <C:\WINDOWS\system32\urcvuxfjwu.dll, N/A>
[Info cache]
  {385AB8C6-FB22-4D17-8834-064E2BA0A6F0} <C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll, N/A>
[]
  {522FBA64-7812-4BDE-81FC-50075E4C7800} <C:\WINDOWS\system32\ceggtvsolm.dll, N/A>
[]
  {7F76F60B-FF04-4E59-8C6B-B9B53B6EA368} <C:\WINDOWS\system32\fyhffavlnbopf.dll, N/A>
[Microsoft LED.]
  {8DEBD4F0-5701-4ED9-94F1-3E79B7D9EBD9} <C:\WINDOWS\system32\bbwjgqbvkruec.dll, N/A>
[]
  {192C0424-8358-4EB4-B62D-F91821BC0745} <C:\WINDOWS\system32\urcvuxfjwu.dll, N/A>
[Info cache]
  {385AB8C6-FB22-4D17-8834-064E2BA0A6F0} <C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll, N/A>
[]
  {522FBA64-7812-4BDE-81FC-50075E4C7800} <C:\WINDOWS\system32\ceggtvsolm.dll, N/A>
[]
  {7F76F60B-FF04-4E59-8C6B-B9B53B6EA368} <C:\WINDOWS\system32\fyhffavlnbopf.dll, N/A>
[Microsoft LED.]
  {8DEBD4F0-5701-4ED9-94F1-3E79B7D9EBD9} <C:\WINDOWS\system32\bbwjgqbvkruec.dll, N/A>

9、在SRENG扫描工具窗口,系统修复--HOSTS文件,找到下方红色的“重置”单击,然后选“是”。

10、重启电脑。

11、联网升级杀软到最新版本,全盘杀毒。

【个人建议】卸载超级巡警,这软件作用不大,还和瑞星有冲突。
最后编辑超级游戏迷 最后编辑于 2009-06-20 12:48:53
打酱油的……
gototop
 

回复 4F 超级游戏迷 的帖子

额..的确历史很悠久了哈.
 
不过有个很严肃的问题就是..
如果按你说的去做的话.
系统会不会有什么风险..
比如说无法正常运行拉==..

如果无法正常运行的话,
我会被老爸K死的!

人命一条啊!!
gototop
 

回复:关于Rootkit.win32.undef.hh这个病毒.总是杀不掉

还有还有,..
作为一个"问题学生"
本人还有几个问题要问哈..

1. 中了些什么毒?很厉害的那种吗?
2.以后怎样避免或减少中毒的机会呢?
3.为什么瑞星杀不掉?
4.冰刃和瑞星冲突吗?
5.游戏迷你是学计算机的吗?修炼到你这种境界要多长时间?(MS跑题了?)

额..暂时问那么多
gototop
 

回复:关于Rootkit.win32.undef.hh这个病毒.总是杀不掉

1. 中了些什么毒?很厉害的那种吗?
病毒+流氓。木马病毒的危害较大。

2.以后怎样避免或减少中毒的机会呢?
去GOOGLE下,这个问题太大没法回答。

3.为什么瑞星杀不掉?
从日志上看,大多数病毒文件本体已被删除,但注册表项残留,不过杀软都这样。专杀工具或安全辅助工具一般会连病毒文件和注册表一起拿掉。

4.冰刃和瑞星冲突吗?
不冲突,但冰刃首次运行要加载驱动程序获得系统最高权限,瑞星会提示,此时一定要选择“允许”,否则冰刃将不能正常工作。

5.游戏迷你是学计算机的吗?修炼到你这种境界要多长时间?(MS跑题了?)
没错,是跑题,因此就不回答了……

6、关于操作问题
如果你没有误操作,应该对你的计算机有利无害。
打酱油的……
gototop
 

回复:关于Rootkit.win32.undef.hh这个病毒.总是杀不掉

晕死..

第3步时死机2次,2次都强制关机,找了N久,最后只找到
C:\WINDOWS\System32\DRIVERS\3og4rk.sys然后删了.

第5、6步中列表一片空白

还有,开机时是C:\WINDOWS\system32\drivers\2o5r8.dll加载时访问被拒绝
本帖被评分 1 次
gototop
 

回复 8F lalalolo 的帖子



引用:
开机时是C:\WINDOWS\system32\drivers\2o5r8.dll加载时访问被拒绝
这表示病毒文件已被删除,但注册表项(驱动程序的注册表项)残留。



引用:
第5、6步中列表一片空白
我试下,是否因冰刃的设置引起。
打酱油的……
gototop
 

回复: 关于Rootkit.win32.undef.hh这个病毒.总是杀不掉

原因查明,确实为冰刃“禁止进线程创建”设置造成。

建议从4楼第4步骤开始,继续完成未完成的操作,之后冰刃的“禁止进线程创建”都不要勾选了;如果勾选了,请撤消。
打酱油的……
gototop
 
12   1  /  2  页   跳转
页面顶部
Powered by Discuz!NT