�。『币姷膹�(qiáng)悍病毒，大家看看該怎麼處理？

fanyf

�。『币姷膹�(qiáng)悍病毒，大家看看該怎麼處理？


各位高手：
非常感謝您留心我這份系統(tǒng)診斷報(bào)告，小菜鳥十萬(wàn)火急等待您的幫助！

該診斷報(bào)告由360安全衛(wèi)士提供 http://www.360safe.com
診斷時(shí)間: 2006-11-10 11:19:24
診斷平臺(tái): Microsoft Windows 2000 Service Pack 4
IE版本: Internet Explorer V6.0.2800.1106 Build:62800.1106
計(jì)算機(jī)物理內(nèi)存:510MB - 當(dāng)前可用內(nèi)存:181MB

100 - 未知 - Process: tomcat5.exe [Service Runner] - "C:\Program Files\Apache Software Foundation\Tomcat 5.0\bin\tomcat5.exe" //RS//Tomcat5
100 - 未知 - Process: jusched.exe [] - "C:\Program Files\Java\j2re1.4.2_12\bin\jusched.exe"
R0 - 未知 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page=http://www.joyo.com/
O4 - 未知 - HKLM\..\Run: [WinStar] [] C:\WINNT\IEXPL0RE.exe
O8 - 未知 - Extra context menu item: 上傳到QQ網(wǎng)絡(luò)硬盤 - C:\Program Files\Tencent\QQ\AddToNetDisk.htm
O8 - 未知 - Extra context menu item: 添加到QQ自定義面板 - C:\Program Files\Tencent\QQ\AddPanel.htm
O8 - 未知 - Extra context menu item: 添加到QQ表情 - C:\Program Files\Tencent\QQ\AddEmotion.htm
O8 - 未知 - Extra context menu item: 用QQ彩信發(fā)送該圖片 - C:\Program Files\Tencent\QQ\SendMMS.htm
O9 - 未知 - Extra button: 信息檢索(HKLM) - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - 未知 - Extra button: 騰訊QQ(HKLM) - C:\Program Files\Tencent\QQ\QQ.EXE
O10 - 未知 - Winsock LSP: [MFClDLL] [{D3C23621-85E1-4DF3-9AB6-23D9C073A7EB}]C:\WINNT\system32\aelupsvc32.dll
O10 - 未知 - Winsock LSP: [MFClDLL] [{4D1E99ED-116A-485A-8FD4-1D7EF27BD907}]C:\WINNT\system32\aelupsvc32.dll
O11 - 未知 - Options Group: Java (Sun)
O16 - 未知 - DPF: {CAFEEFAC-0014-0002-0012-ABCDEFFEDCBA} (Java Plug-in 1.4.2_12) - http://java.sun.com/products/plu ... 42-windows-i586.cab
O21 - 未知 - Protocol Icons: HKCR\http\shell\open\command - "C:\PROGRA~1\INTERN~1\IEXPLORE.EXv" -nohome
O21 - 未知 - Protocol Icons: HKCR\ftp\shell\open\command - "C:\PROGRA~1\INTERN~1\IEXPLORE.EXv" %1
O21 - 未知 - Protocol Icons: HKCR\https\shell\open\command - "C:\PROGRA~1\INTERN~1\IEXPLORE.EXv" -nohome
O21 - 未知 - Protocol Icons: HKCR\htmlfile\shell\open\command - "C:\PROGRA~1\INTERN~1\IEXPLORE.EXv" -nohome
O21 - 未知 - Protocol Icons: HKCR\htmlfile\DefaultIcon - C:\PROGRA~1\INTERN~1\IEXPLORE.EXv,1
O23 - 未知 - Service: MSSEARCH [基于結(jié)構(gòu)化和半結(jié)構(gòu)化數(shù)據(jù)的內(nèi)容以及屬性生成全文索引，以便可以對(duì)數(shù)據(jù)進(jìn)行快速的單詞搜索] - "C:\Program Files\Common Files\System\MSSearch\Bin\mssearch.exe"
O23 - 未知 - Service: MSSQLSERVER [MSSQLSERVER] - C:\PROGRA~1\MICROS~3\MSSQL\binn\sqlservr.exe
O23 - 未知 - Service: SOCEESe [管理系統(tǒng)的安全目錄，存儲(chǔ)關(guān)鍵的安全信息。] -
O23 - 未知 - Service: SQLSERVERAGENT [SQLSERVERAGENT] - C:\PROGRA~1\MICROS~3\MSSQL\binn\sqlagent.exe
O23 - 未知 - Service: Tomcat5 [Apache Tomcat 5.0.28 Server - http://jakarta.apache.org/tomcat/] - "C:\Program Files\Apache Software Foundation\Tomcat 5.0\bin\tomcat5.exe" //RS//Tomcat5
O23 - 未知 - Service: TrkSvr [保存文件在域中卷之間移動(dòng)的信息。] - C:\WINNT\system32\services.exe

=======================================

100 - 安全 - Process: smss.exe [該進(jìn)程為會(huì)話管理子系統(tǒng)用以初始化系統(tǒng)變量，ms-dos驅(qū)動(dòng)名稱類似lpt1以及com，調(diào)用win32殼子系統(tǒng)和運(yùn)行在windows登陸過程。] - \SystemRoot\System32\smss.exe
100 - 安全 - Process: csrss.exe [客戶端服務(wù)子系統(tǒng)，用以控制windows圖形相關(guān)子系統(tǒng)。] - C:\WINNT\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxReques
100 - 安全 - Process: winlogon.exe [windows nt用戶登陸程序。] - winlogon.exe
100 - 安全 - Process: services.exe [用于管理windows服務(wù)系統(tǒng)進(jìn)程。] - C:\WINNT\system32\services.exe
100 - 安全 - Process: lsass.exe [本地安全權(quán)限服務(wù)控制windows安全機(jī)制。] - C:\WINNT\system32\lsass.exe
100 - 安全 - Process: ati2evxx.exe [ati顯卡相關(guān)后臺(tái)程序。] - C:\WINNT\system32\Ati2evxx.exe
100 - 安全 - Process: svchost.exe [service host process是一個(gè)標(biāo)準(zhǔn)的動(dòng)態(tài)連接庫(kù)主機(jī)處理服務(wù)。] - C:\WINNT\system32\svchost -k rpcss
100 - 安全 - Process: svchost.exe [service host process是一個(gè)標(biāo)準(zhǔn)的動(dòng)態(tài)連接庫(kù)主機(jī)處理服務(wù)。] - C:\WINNT\system32\svchost.exe -k netsvcs
100 - 安全 - Process: SPOOLSV.EXE [windows打印任務(wù)控制程序，用以打印機(jī)就緒。] - C:\WINNT\system32\spoolsv.exe
100 - 安全 - Process: msdtc.exe [microsoft distributed transaction coordinator控制多個(gè)服務(wù)器的傳輸，被安裝在microsoft personal web server和microsoft sql server。] - C:\WINNT\system32\msdtc.exe
100 - 安全 - Process: llssrv.exe [windows自帶的許可證日志記錄服務(wù)。] - C:\WINNT\System32\llssrv.exe
100 - 安全 - Process: FrameworkService.exe [Network Associates公司的E-policy反病毒套裝的一部分。 ] - "C:\Program Files\Network Associates\Common Framework\FrameworkService.exe" /ServiceStart
100 - 安全 - Process: Mcshield.exe [mcafee virusscan是一個(gè)反病毒軟件用以掃描你的文件和email中的病毒。] - "C:\Program Files\Network Associates\VirusScan\Mcshield.exe"
100 - 安全 - Process: VsTskMgr.exe [network associates公司出品的相關(guān)殺毒軟件的一部分。] - "C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe"
100 - 安全 - Process: naPrdMgr.exe [mcafee epolicy orchestrator網(wǎng)絡(luò)安全程序。] - C:\PROGRA~1\NETWOR~1\COMMON~1\naPrdMgr.exe -Embedding
100 - 安全 - Process: sqlservr.exe [microsoft sql server用于架設(shè)sql服務(wù)。] - C:\PROGRA~1\MICROS~3\MSSQL\binn\sqlservr.exe
100 - 安全 - Process: regsvc.exe [遠(yuǎn)程注冊(cè)表服務(wù)用于訪問在遠(yuǎn)程計(jì)算機(jī)的注冊(cè)表。] - C:\WINNT\system32\regsvc.exe
100 - 安全 - Process: mstask.exe [windows計(jì)劃任務(wù)用于設(shè)定繼承在什么時(shí)間或者什么日期備份或者運(yùn)行。] - C:\WINNT\system32\MSTask.exe
100 - 安全 - Process: winmgmt.exe [windows management service透過windows management instrumentation data (wmi)技術(shù)處理來(lái)自應(yīng)用客戶端的請(qǐng)求。] - C:\WINNT\System32\WBEM\WinMgmt.exe
100 - 安全 - Process: svchost.exe [service host process是一個(gè)標(biāo)準(zhǔn)的動(dòng)態(tài)連接庫(kù)主機(jī)處理服務(wù)。] - C:\WINNT\system32\svchost.exe -k wugroup
100 - 安全 - Process: dfssvc.exe [管理分布于局域網(wǎng)或廣域網(wǎng)的邏輯卷的程序。] - C:\WINNT\system32\Dfssvc.exe
100 - 安全 - Process: mssearch.exe [microsoft sql server全文搜索服務(wù)相關(guān)程序。] - "C:\Program Files\Common Files\System\MSSearch\Bin\mssearch.exe"
100 - 安全 - Process: svchost.exe [service host process是一個(gè)標(biāo)準(zhǔn)的動(dòng)態(tài)連接庫(kù)主機(jī)處理服務(wù)。] - C:\WINNT\System32\svchost.exe -k tapisrv
100 - 安全 - Process: ati2evxx.exe [ati顯卡相關(guān)后臺(tái)程序。] - Ati2evxx.exe -Client
100 - 安全 - Process: shstat.exe [美國(guó)網(wǎng)絡(luò)聯(lián)盟(nai)公司出品的virusscan病毒掃描清理軟件的一部分。] - "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
100 - 安全 - Process: UpdaterUI.exe [network associates公司出品的反病毒相關(guān)軟件的一部分。] - "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
100 - 安全 - Process: TBMon.exe [network associates公司出品的計(jì)算機(jī)錯(cuò)誤報(bào)告信息服務(wù)相關(guān)程序。] - "C:\Program Files\Common Files\Network Associates\TalkBack\TBMon.exe"
100 - 安全 - Process: CTFMON.EXE [office xp輸入法圖標(biāo)。] - "C:\WINNT\system32\CTFMON.EXE"
100 - 安全 - Process: sqlmangr.exe [sql server服務(wù)管理器軟件。] - "C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe" /n
100 - 安全 - Process: wuauclt.exe [windows操作系統(tǒng)后臺(tái)程序，用于系統(tǒng)升級(jí)。] - "C:\WINNT\system32\wuauclt.exe"
100 - 安全 - Process: explorer.exe [windows program manager或者windows explorer用于控制windows圖形shell，包括開始菜單、任務(wù)欄，桌面和文件管理。] - C:\WINNT\explorer.exe
100 - 安全 - Process: IEXPLORE.EXE [microsoft internet explorer瀏覽器用于瀏覽網(wǎng)頁(yè)。] - "C:\Program Files\Internet Explorer\IEXPLORE.EXE"
100 - 安全 - Process: msimn.exe [microsoft outlook express郵件客戶端軟件。] - "C:\Program Files\Outlook Express\msimn.exe"
100 - 安全 - Process: CheckTool.exe [360Tools Microsoft 基礎(chǔ)類應(yīng)用程序] - "C:\Documents and Settings\Administrator\桌面\360安全衛(wèi)士系統(tǒng)診斷工具CheckTool\360安全衛(wèi)士系統(tǒng)診斷工具CheckTool\CheckTool.exe"
R1 - 安全 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page=C:\WINNT\system32\blank.htm
R1 - 安全 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page=C:\WINNT\system32\blank.htm
---------------------------------------------------------------------------------------------------------------------------

附加說明我的處理過程如下：
1。一開始是同事電腦奇慢，叫我?guī)兔μ幚�，我發(fā)現(xiàn)他沒裝防毒軟件。我用了RogueCleaner_PConline、360安全衛(wèi)士把流氓軟件先清理了一下（其中有雅虎助手）。

2。之后用sreng2.2.6.605（System Repair Engineer）檢查，發(fā)現(xiàn)注冊(cè)表中還有一些可疑表項(xiàng)，其中有一項(xiàng)HKLM\..\Run: [WinStar] [] C:\WINNT\IEXPL0RE.exe，(剛發(fā)現(xiàn)單詞里的是零“0”，不是字母“O”)，刪除該鍵后就立即又有了；C:\WINNT\IEXPL0RE.exe文件也不能刪除；后臺(tái)進(jìn)程里也有幾個(gè)IEXPLORE.exe，且有一個(gè)無(wú)法正常終止；

3。檢查C:\Program Files\Internet Explorer\發(fā)現(xiàn)有些亂七八糟的文件，如：有四個(gè)以IEXPLORE開頭的文件，其中IEXPLORE.exe和IEXPLORE.dat不能刪除。

4。此時(shí)發(fā)現(xiàn)還有一個(gè)新問題是，360安全衛(wèi)士不能用了，文件都被刪除了，用360修復(fù)軟件提示沒有問題，但重新安裝360，安裝包就是無(wú)法運(yùn)行，想啟動(dòng)IceSword也不能啟動(dòng)（這些軟件在別的電腦上可以正常運(yùn)行）

5。由于在安全模式下也無(wú)法刪除可疑文件，于是我下載使用KillBox和木馬劍客ForceKill刪除了C:\Program Files\Internet Explorer\下幾個(gè)可疑文件和C:\WINNT\IEXPL0RE.exe，還有一個(gè)可疑隱藏文件C:\WINNT\system.exe。木馬劍客ForceKill在C:\WINNT\下建立了兩個(gè)文件夾以防止再建立IEXPL0RE.exe和system.exe文件。

6。重啟動(dòng)后系統(tǒng)總是打開C:\WINNT\IEXPL0RE.exe文件夾。注冊(cè)表中可疑表項(xiàng)HKLM\..\Run: [WinStar] [] C:\WINNT\IEXPL0RE.exe刪除后還是立即又有了，不知道是哪個(gè)程序文件修改的；所以我下載安裝了注冊(cè)表監(jiān)視工具ResplendentRegistrar3.30，在監(jiān)視狀態(tài)下再次刪除該表項(xiàng)，刪除后還是立即又有了。但是在注冊(cè)表監(jiān)視工具里只記錄到我用REGEDIT刪除該表項(xiàng)的操作，沒有記錄到其它程序建立該表項(xiàng)的動(dòng)作。（郁悶啊）

7。安裝了mcafee virusscan企業(yè)版8.0，升級(jí)了最新病毒碼和引擎，發(fā)現(xiàn)了一些病毒，都清理了，但是該注冊(cè)表項(xiàng)刪除又立刻重建的現(xiàn)象依然存在。

8。用sreng2.2、HijackThis1991、360安全衛(wèi)士系統(tǒng)診斷工具CheckTool檢查日志分析過，沒發(fā)現(xiàn)其他可疑文件。
現(xiàn)在不知道怎麼辦好了， 各位大俠幫忙分析一下吧。

注：上面日志中出現(xiàn)了O21 - 未知 - Protocol Icons: HKCR\http\shell\open\command - "C:\PROGRA~1\INTERN~1\IEXPLORE.EXv" -nohome

先前我把IEXPLORE.EXE的名字改過IEXPLORE.EXv，但是不知道這里怎麼也會(huì)有這樣的表項(xiàng)。

      現(xiàn)在的問題是“注冊(cè)表中可疑表項(xiàng)HKLM\..\Run: [WinStar] [] C:\WINNT\IEXPL0RE.exe刪除后還是立即又有了，不知道是哪個(gè)程序文件修改的”，這個(gè)重建注冊(cè)表項(xiàng)的病毒文件始終沒有發(fā)現(xiàn)。

[ 本帖最后由 fanyf 于 2006-11-29 13:22 編輯 ]

F.D.Roosevelt

建議退出當(dāng)前受感染的系統(tǒng)，換地方好好清理
瑞星有 Linux 版本，只是做成了光盤啟動(dòng)

zo8zo

把你的MCAFEE升級(jí)到最新病毒庫(kù)，然后重啟進(jìn)入安全模式殺毒，之后用360安全衛(wèi)士清除惡意插件，如果有清不掉的用超級(jí)兔子里的惡意軟件清除工具，要是還清不了，就在360安全衛(wèi)士中找到那個(gè)軟件的文件名以及注冊(cè)表項(xiàng)，用WINPE或DOS+NTFS啟動(dòng)機(jī)器把剛才找到的文件刪掉，應(yīng)該就可以了
記得有個(gè)帖子寫道，國(guó)產(chǎn)殺毒軟件象全真七子，一起上才能還差不多，呵呵

網(wǎng)絡(luò)世界

我覺得重裝系統(tǒng)后，用防毒軟件保守系統(tǒng)。最重要的是，電腦主人要自律 ^_^

fanyf

原帖由 F.D.Roosevelt 于 2006-11-11 17:06 發(fā)表
建議退出當(dāng)前受感染的系統(tǒng)，換地方好好清理
瑞星有 Linux 版本，只是做成了光盤啟動(dòng)

不明白你說什么，“建議退出當(dāng)前受感染的系統(tǒng)，換地方好好清理”是什么意思？

fanyf

原帖由 zo8zo 于 2006-11-12 08:59 發(fā)表
把你的MCAFEE升級(jí)到最新病毒庫(kù)，然后重啟進(jìn)入安全模式殺毒，之后用360安全衛(wèi)士清除惡意插件，如果有清不掉的用超級(jí)兔子里的惡意軟件清除工具，要是還清不了，就在360安全衛(wèi)士中找到那個(gè)軟件的文件名以及注冊(cè)表項(xiàng)，用WINPE或DOS+NTFS啟動(dòng)機(jī)器把剛才找到的文件刪掉，應(yīng)該就可以了
記得有個(gè)帖子寫道，國(guó)產(chǎn)殺毒軟件象全真七子，一起上才能還差不多，呵呵...

估計(jì)你沒有仔細(xì)看，也沒有看完帖子，MCAFEE我已經(jīng)用過了，安全模式也試過了，360安全衛(wèi)士也用了。

用WINPE對(duì)刪除防病毒軟件無(wú)法刪除的文件是一個(gè)可以考慮的解決辦法；DOS+NTFS啟動(dòng)機(jī)器操作有點(diǎn)復(fù)雜，再說現(xiàn)在誰(shuí)還用軟驅(qū)啊。

但是我現(xiàn)在的問題是“注冊(cè)表中可疑表項(xiàng)HKLM\..\Run: [WinStar] [] C:\WINNT\IEXPL0RE.exe刪除后還是立即又有了，不知道是哪個(gè)程序文件修改的”

這個(gè)重建注冊(cè)表項(xiàng)的病毒文件始終沒有發(fā)現(xiàn)。

kelly1011

Bitgating系列防火墻設(shè)備是chinsec面向大中型IDC用戶開發(fā)的新一代專業(yè)抗DDOS防火墻設(shè)備。
Bitgating系列防火墻結(jié)合數(shù)據(jù)挖掘技術(shù)和深度的狀態(tài)檢測(cè)技術(shù)，通過對(duì)連接過程和流量進(jìn)行細(xì)粒度的監(jiān)測(cè)，可以準(zhǔn)確而高效的實(shí)現(xiàn)對(duì)惡意流量的動(dòng)態(tài)過濾，實(shí)現(xiàn)防范大流量的基于各種協(xié)議各種DDOS攻擊，包括SYN Flood攻擊、ACK攻擊、ICMP和UDP Flood攻擊等，有效保證網(wǎng)絡(luò)的穩(wěn)定運(yùn)行。對(duì)于大型用戶，您還可以選擇集群方案來(lái)防范大規(guī)模的DDOS攻擊。
即將推出！敬請(qǐng)關(guān)注！
www.chinsec.com