瑞星卡卡安全论坛技术交流区系统软件 寿宁、网警请进:好象是找到病毒的根据地了

12   1  /  2  页   跳转

寿宁、网警请进:好象是找到病毒的根据地了

寿宁、网警请进:好象是找到病毒的根据地了

今天起的较早,开机后输入winlogon搜索,果然又发现了阴魂不散的32c57d49.pf文件。删除后打开注册表编辑器,输入envsec搜索,再次找到包含fe7zf.exe等13个注册项,删除后再次输入envsec搜索,查找到NextInstance,其键值位置在system--Root--LEGACY_ENVSEC,双击展开它后,出来6个键值。我用笔记录后想删除LEGACY_ENVSEC,却无法删除掉。
根据这6个键值名称,返回打开资源管理器,先后输入这6个键值名称进行搜索。
输入service找到7个文件,其中3个日期为2005年的文件怀疑是病毒文件(我是今年7月4日装机,10月23日上午请人用GHOST恢复了一次系统)
输入class找到260个文件,其中IEDown class文件怀疑是病毒文件。
输入其他4个键值名称搜索后,没有任何结果。
现在我还没有进行任何删除操作,恭请二位老大给予具体指导。
请看帖的朋友先不要回帖,让我贴完7张图片再发表意见讨论,以保持贴图的连续性。
谢谢!

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-11-16 11:25:39
描述:



最后编辑2005-11-18 14:43:09
分享到:
gototop
 

NO:2

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-11-16 11:26:49
描述:



gototop
 

3.

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-11-16 11:27:47
描述:



gototop
 

4.

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-11-16 11:30:01
描述:



gototop
 

5.

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-11-16 11:31:30
描述:



gototop
 

6.

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-11-16 11:32:28
描述:



gototop
 

7.legacy_envsec键值已导出。上传时提示格式不对。(忘了制作JPG图片了。)
不知网警是否还需要上述的这些可疑病毒文件否。
gototop
 

根据注册表中fe7zf.exe的键值ACTOR提供的C:\WINDOWS\SRCHARSST\CHARS\ROVER.ACS路径,应该是找到病毒的大本营了。根据其子键值5603、5604的文件路径,在同一个srchasst\mui\0804文件夹中也找到了一名为lclmm.xml的文档文件,双击后显示的画面中有5603、5604字样。不过当将整个0804文件夹删除到回收站后,系统的文件搜索功能就不能使用了。只好留下lclmm.xml,其他几十个就还原回老家了。

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-11-17 8:30:10
描述:



gototop
 

再来一张!

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-11-17 8:33:57
描述:



gototop
 

最后一张图!

附件附件:

下载次数:0
文件类型:image/pjpeg
文件大小:
上传时间:2005-11-17 8:34:52
描述:



gototop
 
12   1  /  2  页   跳转
页面顶部
Powered by Discuz!NT