怎么瑞星的最新版本检测不到这个木马病毒啊？？求助！ bbs.ikaka.com

joshhailang - 2005-7-20 18:44:00

我的机发现运行很慢，而且还会跳出很多广告窗口，只要一打开IE就会有这个现象，我怀疑中了木马，用一个Windows木马清道夫未注册版检测到了下面那些文件被感染了，怎么才能清除掉啊，求各位帮个忙，一个电脑小菜鸟！
木马病毒文件列表导出于 2005/7/20 / 17:25

C:\WINDOWS\System32\aclayer.dll
C:\WINDOWS\Downloaded Program Files\CnsMinIO.dll
C:\WINDOWS\Downloaded Program Files\cnsio.dll
C:\Program Files\DESKTO~1\Cast\dmipn.dll
C:\WINDOWS\System32\upengine.dll
C:\Program Files\Desktop Media\Cast\dmdaemon.dll
C:\Program Files\Desktop Media\Cast\dmipn.dll
C:\Program Files\Desktop Media\Cast\license.txt
C:\Program Files\Desktop Media\Cast\UnInstall.exe
C:\WINDOWS\temp\dddsetup.exe
C:\WINDOWS\tasks\DDD_Install_Program.job
C:\WINDOWS\SET3.tmp
C:\WINDOWS\SETA.tmp
C:\DOCUME~1\LHH~1.HAO\LOCALS~1\Temp\ddd23.tmp.exe
C:\DOCUME~1\LHH~1.HAO\LOCALS~1\Temp\ddd2setup.exe
C:\DOCUME~1\LHH~1.HAO\LOCALS~1\Temp\dddsetup.exe
C:\WINDOWS\System32\WebMisc.dll
c:\EXPLORER.EXE
C:\WINDOWS\System32\mbprot.dll
C:\WINDOWS\System32\WebMisc.dat
C:\WINDOWS\System32\alitb\bar.dll
C:\WINDOWS\System32\alitb\common.ini
C:\WINDOWS\System32\alitb\default0.ico
C:\WINDOWS\System32\alitb\FilterSite.txt
C:\WINDOWS\System32\alitb\KeyWordsFile.txt
C:\WINDOWS\System32\alitb\toolbar0.ini
C:\WINDOWS\System32\alitb\_key.cab
C:\WINDOWS\System32\alitb\_key.md5
C:\WINDOWS\System32\alitb\_reg_.tmp
C:\WINDOWS\System32\navigation.dll
C:\WINDOWS\Q330994.exe

JayFaye - 2005-7-20 18:45:00

这个Log是不是简单了一点

苹果6 - 2005-7-20 18:51:00

你是什么系统呀？

garnett21 - 2005-7-20 19:42:00

【回复“joshhailang”的帖子】病毒太多，建议还是用最新版的杀毒软件到安全模式杀吧。手工清除太麻烦了！！

endurer - 2005-7-20 20:38:00

建议楼主试试第3楼garnett21朋友说的方法。

如果问题还没能解决，可以把这个log改成一个删除这些文件的bat文件，到安全模式下，终止可疑的进程，再运行bat文件看看。

joshhailang - 2005-7-20 20:52:00

各位老大，还是没办法啊，瑞星找都找不到到啊！晕了！对电脑我又只仅知道皮毛，所以都好难搞定啊，是不是中了特洛伊木马啊，我在网上找了都找不到杀这个木马的工具，大哥们帮帮小弟，不胜感激，瑞星太让我失望了，还是最新版本！！！17.36.22的，郁闷啊！！！！谢谢大哥们了

joshhailang - 2005-7-20 20:54:00

希望各位大侠指点一个杀木马的地址下载一个专杀木马的就好了~！在此多谢了！

endurer - 2005-7-20 21:13:00

C:\WINDOWS\Downloaded Program Files\CnsMinIO.dll
C:\WINDOWS\Downloaded Program Files\cnsio.dll

这两个文件是3721的东东

楼主可以先试试下面的方法：

1。打开记事本

2。把下面的命令复制/粘贴到记事本：

attrib -h -r -s C:\WINDOWS\System32\aclayer.dll
attrib -h -r -s "C:\Program Files\DESKTO~1\Cast\*.*"
attrib -h -r -s C:\WINDOWS\System32\upengine.dll
attrib -h -r -s C:\WINDOWS\temp\dddsetup.exe
attrib -h -r -s C:\WINDOWS\tasks\DDD_Install_Program.job
attrib -h -r -s C:\WINDOWS\SET3.tmp
attrib -h -r -s C:\WINDOWS\SETA.tmp
attrib -h -r -s C:\DOCUME~1\LHH~1.HAO\LOCALS~1\Temp\ddd23.tmp.exe
attrib -h -r -s C:\DOCUME~1\LHH~1.HAO\LOCALS~1\Temp\ddd2setup.exe
attrib -h -r -s C:\DOCUME~1\LHH~1.HAO\LOCALS~1\Temp\dddsetup.exe
attrib -h -r -s C:\WINDOWS\System32\WebMisc.dll
attrib -h -r -s c:\EXPLORER.EXE
attrib -h -r -s C:\WINDOWS\System32\mbprot.dll
attrib -h -r -s C:\WINDOWS\System32\WebMisc.dat
attrib -h -r -s C:\WINDOWS\System32\alitb\*.*
attrib -h -r -s C:\WINDOWS\System32\navigation.dll
del C:\WINDOWS\System32\aclayer.dll
del "C:\Program Files\DESKTO~1\Cast\*.*" /y
del "C:\WINDOWS\Downloaded Program Files\cnsio.dll"
del C:\WINDOWS\System32\upengine.dll
del C:\WINDOWS\temp\dddsetup.exe
del C:\WINDOWS\tasks\DDD_Install_Program.job
del C:\WINDOWS\SET3.tmp
del C:\WINDOWS\SETA.tmp
del C:\DOCUME~1\LHH~1.HAO\LOCALS~1\Temp\ddd23.tmp.exe
del C:\DOCUME~1\LHH~1.HAO\LOCALS~1\Temp\ddd2setup.exe
del C:\DOCUME~1\LHH~1.HAO\LOCALS~1\Temp\dddsetup.exe
del C:\WINDOWS\System32\WebMisc.dll
del c:\EXPLORER.EXE
del C:\WINDOWS\System32\mbprot.dll
del C:\WINDOWS\System32\WebMisc.dat
del C:\WINDOWS\System32\alitb\*.* /y
del C:\WINDOWS\System32\navigation.dll
rd "C:\Program Files\DESKTO~1\Cast"
rd C:\WINDOWS\System32\alitb

3。用记事本的菜单：文件--》另存为...

把文件存放位置设为桌面
把文件类型改为所有文件(*.*)
输入文件名: deltro.bat
点击“确认”按钮。

4。以安全模式启动（进入安全模式的方法:重新启动电脑, 开机自动检测完后, 按[F8]键(可以一直按到启动菜单出来为止), 选择安全模式(Safe Mode)进入Windows。）

5。双击桌面上的deltro.bat

如果问题还不能解决，请下载并使用HijackThis1.99.1扫描log贴上来，方便大家分析。

有关操作方法可参考：
【推荐】反浏览器劫持的一些常用操作
http://forum.ikaka.com/topic.asp?board=67&artid=6490491

joshhailang - 2005-7-20 21:17:00

谢谢先了，我去也

joshhailang - 2005-7-20 21:48:00

7楼的大哥，我在安全模式下面运行了那个文件之后没有发现和以前不一样，因为我用瑞星杀了几个毒，但是用木马清道夫扫描的时候它说有我在刚开始发上来的那些文件有木马，所以我很不放心，是不是说明我电脑里已经有木马的存在了呢？还麻烦您帮我看看下面我按您说的扫描出来的结果，谢谢了啊！不知道我电脑里的木马怎么才能清除了，呵呵，现在上网都有点怕怕的了
Logfile of HijackThis v1.99.1
Scan saved at 21:40:47, on 2005-7-20
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
C:\PROGRAM FILES\RISING\RAV\RavStub.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\crypserv.exe
C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
C:\WINDOWS\System32\SuService.exe
C:\PROGRA~1\SkyNet\FireWall\pfw.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\rundll32.exe
C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
C:\PROGRA~1\RISING\RAV\RAVMON.EXE
C:\WINDOWS\System32\ctfmon.exe
D:\install software\TT\TTraveler.exe
D:\Èí¼þ°ü\248783200522382732\HijackThis.exe

R3 - Default URLSearchHook is missing
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll
O2 - BHO: AssistII - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\Program Files\3721\Assist\asbar.dll
O3 - Toolbar: ÉÏÍøÖúÊÖ - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\Program Files\3721\Assist\asbar.dll
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [SKYNET Personal FireWall] C:\PROGRA~1\SkyNet\FireWall\pfw.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [helper.dll] C:\WINDOWS\system32\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32
O4 - HKLM\..\Run: [RavTimer] C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
O4 - HKLM\..\Run: [RavMon] C:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O8 - Extra context menu item: Ê¹ÓÃÍø¼Ê¿ì³µÏÂÔØ - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: Ê¹ÓÃÍø¼Ê¿ì³µÏÂÔØÈ«²¿Á´½Ó - C:\Program Files\FlashGet\jc_all.htm
O9 - Extra button: ÊÖ»ú¶ÌÐÅ - {00000000-0000-0001-0001-596BAEDD1289} - http://sms.3721.com/ie/index.htm (file missing)
O9 - Extra button: Yahoo 1GµçÓÊ - {507F9113-CD77-4866-BA92-0E86DA3D0B97} - http://cn.mail.yahoo.com/promo/rd1 (file missing)
O9 - Extra button: Ñ°±¦ÀÖÈ¤¶à - {59BC54A2-56B3-44a0-93E5-432D58746E26} - http://hot.3721.com/rd/shop_btn.htm (file missing)
O9 - Extra button: ÉÏÍøÖúÊÖ - {5D73EE86-05F1-49ed-B850-E423120EC338} - http://assistant.3721.com/index.htm?fb=Cns (file missing)
O9 - Extra button: Çé¾°ÁÄÌì - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - http://cn.rd.yahoo.com/home/messenger/bjk/clientbtn/?http://cn.messenger.yahoo.com/ (file missing)
O9 - Extra button: (no name) - {ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} - http://assistant.3721.com/security1.htm?fb=Cns (file missing)
O9 - Extra 'Tools' menuitem: ÐÞ¸´ä¯ÀÀÆ÷ - {ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} - http://assistant.3721.com/security1.htm?fb=Cns (file missing)
O9 - Extra button: (no name) - {FD00D911-7529-4084-9946-A29F1BDF4FE5} - http://assistant.3721.com/clean1.htm?fb=Cns (file missing)
O9 - Extra 'Tools' menuitem: ÇåÀíÉÏÍø¼ÇÂ¼ - {FD00D911-7529-4084-9946-A29F1BDF4FE5} - http://assistant.3721.com/clean1.htm?fb=Cns (file missing)
O11 - Options group: [!CNS] ÍøÂçÊµÃû
O14 - IERESET.INF: START_PAGE_URL=http://www.microsoft.com/
O18 - Protocol: dic - {C21F5C32-F57A-4A0D-8E0A-B672691C52D0} - C:\Program Files\Kingsoft\Powerword 2003\XDictExB.dll (file missing)
O18 - Protocol: mbox - {7DEE9D05-FA0A-4416-A6F3-6537D0EAB6A6} - C:\WINDOWS\System32\mbprot.dll (file missing)
O18 - Protocol: ncbi8 - {2B576DD3-0B3E-4718-BCBF-B15E4FB8009D} - E:\ÉúÎïÑ§Èí¼þ\New Folder\Ncbi.dll
O23 - Service: Crypkey License - Kenonic Controls Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - rising - C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
O23 - Service: Supplicant Service - Unknown owner - C:\WINDOWS\System32\SuService.exe

joshhailang - 2005-7-20 22:01:00

[endurer]大哥：我又用那个木马清道夫检测到了下面文件有木马病毒，它也没提示是什么木马，可我又不知道是什么木马，不过之前我用卡巴斯机的时候好象有一次提到了特洛伊马木马，不知道是不是，如果是的话该怎么办呢？

木马病毒文件列表导出于 2005/7/20 / 21:55

C:\WINDOWS\Downloaded Program Files\CnsMinIO.dll
C:\WINDOWS\Downloaded Program Files\cnsio.dll
C:\Program Files\DESKTO~1\Cast\dmipn.dll
C:\Program Files\Desktop Media\Cast\dmdaemon.dll
C:\Program Files\Desktop Media\Cast\dmipn.dll
C:\Program Files\Desktop Media\Cast\license.txt
C:\Program Files\Desktop Media\Cast\UnInstall.exe
C:\WINDOWS\System32\alitb\bar.dll
C:\WINDOWS\System32\alitb\common.ini
C:\WINDOWS\System32\alitb\default0.ico
C:\WINDOWS\System32\alitb\FilterSite.txt
C:\WINDOWS\System32\alitb\KeyWordsFile.txt
C:\WINDOWS\System32\alitb\toolbar0.ini
C:\WINDOWS\System32\alitb\_key.cab
C:\WINDOWS\System32\alitb\_key.md5
C:\WINDOWS\System32\alitb\_reg_.tmp
C:\WINDOWS\Q330994.exe

瑞星卡卡安全论坛