瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 T_T,机子中毒了，各位大大帮忙进来看下，谢谢啊

12   1  /  2  页   跳转页

[求助] T_T,机子中毒了，各位大大帮忙进来看下，谢谢啊

收藏
爱与痛的我
头像
初生襁褓狮
  • 帖子:11
  • 注册: 2011-06-30
  • 来自:
发表于： 2011-06-30 19:36 | 显示全部 短消息 资料
字号： 小 中 大 1楼

T_T,机子中毒了，各位大大帮忙进来看下，谢谢啊

不知道怎么回事，机子就中毒了，360和瑞星都报有毒，可清除掉后，一会儿又会继续报毒，然后我用冰仞查了一下，发现是PID同为848的SVCHOST.EXE调用了WMIPRVSE.EXE，然后WMIPRVSE.EXE又调用了CMD。EXE，紧接着CMD。EXE又调用了FTP。EXE进行传输，再调用FIREFOXUPDATER.EXE，到了这步我就不知道该做什么了，哪位大大能教教我，拜托了T_T

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
分享到：
gototop
 
爱与痛的我
头像
初生襁褓狮
  • 帖子:11
  • 注册: 2011-06-30
  • 来自:
发表于： 2011-06-30 22:16 | 显示全部 短消息 资料
字号： 小 中 大 2楼

回复：T_T,机子中毒了，各位大大帮忙进来看下，谢谢啊

我拿冰刃扫了一下，结果如下
端口：

协议      本地地址                远程地址                状态                进程ID    进程名
TCP      0.0.0.0 : 445          0.0.0.0 : 0            LISTENING          4        NT OS Kernel
TCP      192.168.1.3 : 139      0.0.0.0 : 0            LISTENING          4        NT OS Kernel
UDP      192.168.1.3 : 137      * : *                                      4        NT OS Kernel
UDP      192.168.1.3 : 138      * : *                                      4        NT OS Kernel
UDP      0.0.0.0 : 445          * : *                                      4        NT OS Kernel
RAW      ---                    ---                    ---                4        NT OS Kernel
UDP      0.0.0.0 : 1027          * : *                                      1720      D:\新建文件夹 (2)\safemon\360tray.exe
UDP      127.0.0.1 : 1025        * : *                                      1720      D:\新建文件夹 (2)\safemon\360tray.exe
UDP      0.0.0.0 : 3600          * : *                                      1720      D:\新建文件夹 (2)\safemon\360tray.exe
TCP      117.39.32.110 : 2106    27.19.158.2 : 3348      ESTABLISHED        2940      C:\WINDOWS\Temp\svchost.exe
TCP      117.39.32.110 : 135    117.39.37.59 : 3474    ESTABLISHED        896      C:\WINDOWS\System32\SVCHOST.EXE
TCP      117.39.32.110 : 2041    117.39.37.59 : 2729    ESTABLISHED        996      C:\WINDOWS\System32\SVCHOST.EXE
TCP      117.39.32.110 : 2041    117.39.37.59 : 2358    ESTABLISHED        996      C:\WINDOWS\System32\SVCHOST.EXE
TCP      117.39.32.110 : 135    117.39.37.59 : 3464    ESTABLISHED        896      C:\WINDOWS\System32\SVCHOST.EXE
TCP      0.0.0.0 : 135          0.0.0.0 : 0            LISTENING          896      C:\WINDOWS\System32\SVCHOST.EXE
TCP      0.0.0.0 : 2041          0.0.0.0 : 0            LISTENING          996      C:\WINDOWS\System32\SVCHOST.EXE
TCP      0.0.0.0 : 33673        0.0.0.0 : 0            LISTENING          1332      C:\WINDOWS\System32\SVCHOST.EXE
UDP      192.168.1.3 : 123      * : *                                      996      C:\WINDOWS\System32\SVCHOST.EXE
UDP      192.168.1.3 : 1900      * : *                                      1188      C:\WINDOWS\System32\SVCHOST.EXE
UDP      127.0.0.1 : 123        * : *                                      996      C:\WINDOWS\System32\SVCHOST.EXE
UDP      117.39.32.110 : 123    * : *                                      996      C:\WINDOWS\System32\SVCHOST.EXE
UDP      127.0.0.1 : 1900        * : *                                      1188      C:\WINDOWS\System32\SVCHOST.EXE
UDP      117.39.32.110 : 1900    * : *                                      1188      C:\WINDOWS\System32\SVCHOST.EXE
UDP      0.0.0.0 : 33674        * : *                                      1332      C:\WINDOWS\System32\SVCHOST.EXE
UDP      127.0.0.1 : 1284        * : *                                      2136      C:\Program Files\Rising\Rav\RsTray.exe
TCP      0.0.0.0 : 6059          0.0.0.0 : 0            LISTENING          976      C:\Program Files\Rising\Rav\RavMonD.exe
UDP      127.0.0.1 : 1927        * : *                                      3508      C:\Program Files\Internet Explorer\IEXPLORE.EXE
UDP      0.0.0.0 : 1918          * : *                                      3508      C:\Program Files\Internet Explorer\IEXPLORE.EXE
TCP      117.39.32.110 : 2321    222.73.45.135 : 21      TIME_WAIT          0        ----
TCP      117.39.32.110 : 135    117.39.37.59 : 2621    TIME_WAIT          0        ----


感觉TEMP下的文件比较可疑，您能帮我分析下嘛？
gototop
 
爱与痛的我
头像
初生襁褓狮
  • 帖子:11
  • 注册: 2011-06-30
  • 来自:
发表于： 2011-07-01 13:45 | 显示全部 短消息 资料
字号： 小 中 大 3楼

回复: T_T,机子中毒了，各位大大帮忙进来看下，谢谢啊



引用:
原帖由 networkedition 于 2011-7-1 10:17:00 发表
C:\WINDOWS\Temp\svchost.exe找到压缩发来。
下载sreng工具扫描日志压缩发来。
http://www.kztechs.com/sreng/download.html


附件附件:

文件名:1.rar
下载次数:253
文件类型:application/octet-stream
文件大小:
上传时间:2011-7-1 13:44:40
描述:rar

附件附件:

下载次数:365
文件类型:text/plain
文件大小:
上传时间:2011-7-1 13:44:40
描述:txt
gototop
 
爱与痛的我
头像
初生襁褓狮
  • 帖子:11
  • 注册: 2011-06-30
  • 来自:
发表于： 2011-07-01 14:30 | 显示全部 短消息 资料
字号： 小 中 大 4楼

回复: T_T,机子中毒了，各位大大帮忙进来看下，谢谢啊



引用:
原帖由 networkedition 于 2011-7-1 14:05:00 发表
附件的svchost.exe和sreng日志未见异常。将瑞星的日志db文件压缩发来。鼠标右键点击绿伞——查看日志——备份日志，将日志文件db导出压缩发来。

附件附件:

文件名:瑞星.rar
下载次数:258
文件类型:application/octet-stream
文件大小:
上传时间:2011-7-1 14:29:38
描述:rar
gototop
 
爱与痛的我
头像
初生襁褓狮
  • 帖子:11
  • 注册: 2011-06-30
  • 来自:
发表于： 2011-07-01 15:05 | 显示全部 短消息 资料
字号： 小 中 大 5楼

回复: T_T,机子中毒了，各位大大帮忙进来看下，谢谢啊



引用:
原帖由 networkedition 于 2011-7-1 15:00:00 发表
C:\WINDOWS\SYSTEM32\CCOM.EXE这个如果有也找到压缩发来。


这两个文件一出来就被瑞星干掉了
gototop
 
爱与痛的我
头像
初生襁褓狮
  • 帖子:11
  • 注册: 2011-06-30
  • 来自:
发表于： 2011-07-01 17:22 | 显示全部 短消息 资料
字号： 小 中 大 6楼

回复: T_T,机子中毒了，各位大大帮忙进来看下，谢谢啊



引用:
原帖由 networkedition 于 2011-7-1 15:15:00 发表
关闭系统还原再杀毒试试，这两个文件反复查杀都有么？



关闭后杀毒查出来两个病毒ccom1.exe>>custom-65-804
gototop
 
爱与痛的我
头像
初生襁褓狮
  • 帖子:11
  • 注册: 2011-06-30
  • 来自:
发表于： 2011-07-01 17:31 | 显示全部 短消息 资料
字号： 小 中 大 7楼

回复: T_T,机子中毒了，各位大大帮忙进来看下，谢谢啊



引用:
原帖由 networkedition 于 2011-7-1 17:25:00 发表
看一下瑞星病毒隔离区里有没有这两个文件，如果有恢复压缩跟帖上传。

附件附件:

文件名:病毒.rar
下载次数:212
文件类型:application/octet-stream
文件大小:
上传时间:2011-7-1 17:30:52
描述:rar
gototop
 
爱与痛的我
头像
初生襁褓狮
  • 帖子:11
  • 注册: 2011-06-30
  • 来自:
发表于： 2011-07-01 17:36 | 显示全部 短消息 资料
字号： 小 中 大 8楼

回复: T_T,机子中毒了，各位大大帮忙进来看下，谢谢啊



引用:
原帖由 networkedition 于 2011-7-1 17:25:00 发表
看一下瑞星病毒隔离区里有没有这两个文件，如果有恢复压缩跟帖上传。



还有很多反复查杀不掉的病毒在隔离区中，home.vbs    firefoxupdater.exe  1.exe  qq.vbs  lee.exe  one.exe
bai.vbs等等，需要上传吗？
gototop
 
爱与痛的我
头像
初生襁褓狮
  • 帖子:11
  • 注册: 2011-06-30
  • 来自:
发表于： 2011-07-01 18:19 | 显示全部 短消息 资料
字号： 小 中 大 9楼

回复: T_T,机子中毒了，各位大大帮忙进来看下，谢谢啊



引用:
原帖由 爱与痛的我 于 2011-7-1 17:36:00 发表


引用:
原帖由 networkedition 于 2011-7-1 17:25:00 发表
看一下瑞星病毒隔离区里有没有这两个文件，如果有恢复压缩跟帖上传。



还有很多反复查杀不掉的病毒在隔离区中，home.vbs    firefoxupdater.exe  1.exe  qq.vbs  lee.exe  one.exe
bai.vbs等等，



我截了两张图片，您看下有用吗？谢谢！
gototop
 
爱与痛的我
头像
初生襁褓狮
  • 帖子:11
  • 注册: 2011-06-30
  • 来自:
发表于： 2011-07-02 09:32 | 显示全部 短消息 资料
字号： 小 中 大 10楼

回复: T_T,机子中毒了，各位大大帮忙进来看下，谢谢啊



引用:
原帖由 networkedition 于 2011-7-1 10:17:00 发表
C:\WINDOWS\Temp\svchost.exe找到压缩发来。
下载sreng工具扫描日志压缩发来。
http://www.kztechs.com/sreng/download.html


文件找到了

附件附件:

下载次数:219
文件类型:application/octet-stream
文件大小:
上传时间:2011-7-2 9:32:02
描述:rar
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT