瑞星卡卡安全论坛

好几个dellhost进程出现，占大量内存，CPU却不受影响，只有一个dllhost进程不能结束，其他的都可以结束，但是，结束后，又出现了，不是是不是中病毒了？

建议楼主把杀毒软件升级到最新，查杀病毒看看。

如果问题还不能解决，请下载并使用HijackThis1.99.1扫描log贴上来，方便大家分析。

有关操作方法可参考：
【推荐】反浏览器劫持的一些常用操作
http://forum.ikaka.com/topic.asp?board=67&artid=6490491

dellhost?用hijackthis1.99.1把日志扫描上来.

结束不了dllhost.exe应该是系统的进程.

附件:hijackthis1.99.1

附件: 4842302005720211515.rar

好的，

？

附件: 4370052005720212238.bmp

楼主不要贴图,把扫描完保存的文本文档的内容复制到贴子上来

Logfile of HijackThis v1.97.2
Scan saved at 21:22:15, on 2005-07-20
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\Dfssvc.exe
C:\WINNT\System32\svchost.exe
d:\program files\kingdee\kdhr\sitefile\hrservices\kdhrservices.exe
C:\WINNT\System32\IBMHPASV.EXE
D:\Program Files\Kingdee\KDIMTS\iMTSService.exe
C:\WINNT\System32\llssrv.exe
C:\WINNT\System32\sfmsvc.exe
d:\PROGRA~1\MICROS~1\MSSQL\binn\sqlservr.exe
C:\WINNT\system32\ntfrs.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\System32\locator.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\tcpsvcs.exe
C:\Program Files\Apache Software Foundation\Tomcat 5.0\bin\tomcat5.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\wins.exe
C:\WINNT\System32\inetsrv\inetinfo.exe
C:\WINNT\System32\ismserv.exe
C:\WINNT\System32\msdtc.exe
C:\Program Files\Common Files\System\MSSearch\Bin\mssearch.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\rundll32.exe
C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\WINNT\System32\svchost.exe
c:\program files\rising\rfw\rfwsrv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\dllhost.exe
C:\WINNT\system32\dllhost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINNT\System32\mdm.exe
C:\WINNT\System32\mspaint.exe
C:\WINNT\system32\dllhost.exe
C:\WINNT\system32\dllhost.exe
C:\WINNT\system32\dllhost.exe
C:\WINNT\system32\dllhost.exe
C:\WINNT\system32\dllhost.exe
D:\工具\新建文件夹\HijackThis.exe

R3 - URLSearchHook:
O2 - BHO: AssistII - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\PROGRA~1\3721\assist\asbar.dll
O3 - Toolbar: ????? - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: ????? - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\PROGRA~1\3721\assist\asbar.dll
O4 - HKLM\..\Run: [ExFilter] Rundll32.exe C:\WINNT\system32\hookdll.dll,ExecFilter solo
O4 - HKLM\..\Run: [helper.dll] C:\WINNT\system32\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32
O4 - HKLM\..\Run: [RfwMain] "C:\Program Files\Rising\Rfw\rfwmain.exe" -Startup
O4 - HKLM\..\RunOnce: [3721C:\PROGRA~1\3721\autolive.dll211843] regsvr32 /s C:\PROGRA~1\3721\autolive.dll
O4 - Startup: NTUSER.DAT
O4 - Startup: ntuser.dat.LOG
O4 - Startup: ntuser.ini
O4 - Global Startup: ntuser.pol
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/278d56f979097f57ce00/netzip/RdxIE601_cn.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38468.8137384259
O16 - DPF: {D27CDB6E-AE6D-0000-0000-000000000000} - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = hetaogroup
O17 - HKLM\System\CCS\Services\Tcpip\..\{4D797B4B-027F-4718-A585-EFB7A1997679}: NameServer = 202.99.224.8
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = hetaogroup
O17 - HKLM\System\CS1\Services\Tcpip\..\{4D797B4B-027F-4718-A585-EFB7A1997679}: NameServer = 202.99.224.8
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = hetaogroup
O17 - HKLM\System\CS2\Services\Tcpip\..\{4D797B4B-027F-4718-A585-EFB7A1997679}: NameServer = 202.99.224.8
O18 - Protocol: about - {3050F406-98B5-11CF-BB82-00AA00BDCE0B} - %SystemRoot%\system32\mshtml.dll

刚刚没注意,楼主版本太低了.最好用1.99.1的.
修复:
R3 - URLSearchHook:
O4 - Startup: NTUSER.DAT
O4 - Startup: ntuser.dat.LOG
O4 - Startup: ntuser.ini
O4 - Global Startup: ntuser.pol
-------------------------------------------
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = hetaogroup此项请楼主确定是否正常,不正常予以修复.

O4 - Startup: ntuser.dat.LOG
O4 - Startup: ntuser.ini
O4 - Global Startup: ntuser.pol
这三项修复失败

转到安全模式下再扫个LOG贴上来!

日志不完整？
dllhost.exe是 COM+ 的主进程。正常下应该位于system32目录里面和system32\dllcache目录里面。而system32\wins目录里面是不会有dllhost.exe文件的。

去看看Ｃ:\windows\system32\wins 里面有没有dllhost.exe这个文件，如果没有应该没问题，是正常的文件，如果有说明你中毒了
  病毒文件dllhost.exe大小为10K左右， 正常的是6K左右

楼主使用的HijackThis版本太低了...


以下修复工作中有关操作方法可参考：
【推荐】反浏览器劫持的一些常用操作
http://forum.ikaka.com/topic.asp?board=67&artid=6490491

以安全模式启动

请关闭所有浏览器窗口和文件夹窗口，重新使用HijackThis扫描,在下列建议修复的项目前打上勾，然后点[修复](Fix)（如果你清楚某项是安全的，可以不处理）：

R3 - URLSearchHook:

O4 - HKLM\..\Run: [ExFilter] Rundll32.exe C:\WINNT\system32\hookdll.dll,ExecFilter solo

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present



如果问题还不能解决，请下载并使用HijackThis1.99.1在安全模式下扫描log贴上来，方便大家分析。

HijackThis1.99.1可以到反浏览器劫持版置顶贴
[必读]本版说明及常用小软件下载
http://forum.ikaka.com/topic.asp?board=67&artid=5188931

中下载

这是安全模式下的扫描结果：
Logfile of HijackThis v1.97.2
Scan saved at 21:46:07, on 2005-07-20
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\userinit.exe
C:\WINNT\Explorer.EXE
D:\工具\新建文件夹\HijackThis.exe

R3 - URLSearchHook:
O2 - BHO: AssistII - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\PROGRA~1\3721\assist\asbar.dll
O3 - Toolbar: ????? - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O3 - Toolbar: ????? - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\PROGRA~1\3721\assist\asbar.dll
O4 - HKLM\..\Run: [ExFilter] Rundll32.exe C:\WINNT\system32\hookdll.dll,ExecFilter solo
O4 - HKLM\..\Run: [helper.dll] C:\WINNT\system32\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32
O4 - HKLM\..\Run: [RfwMain] "C:\Program Files\Rising\Rfw\rfwmain.exe" -Startup
O4 - HKLM\..\RunOnce: [3721C:\PROGRA~1\3721\autolive.dll211843] regsvr32 /s C:\PROGRA~1\3721\autolive.dll
O4 - Startup: NTUSER.DAT
O4 - Startup: ntuser.dat.LOG
O4 - Startup: ntuser.ini
O4 - Global Startup: ntuser.pol
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/278d56f979097f57ce00/netzip/RdxIE601_cn.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38468.8137384259
O16 - DPF: {D27CDB6E-AE6D-0000-0000-000000000000} - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = hetaogroup
O17 - HKLM\System\CCS\Services\Tcpip\..\{4D797B4B-027F-4718-A585-EFB7A1997679}: NameServer = 202.99.224.8
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = hetaogroup
O17 - HKLM\System\CS1\Services\Tcpip\..\{4D797B4B-027F-4718-A585-EFB7A1997679}: NameServer = 202.99.224.8
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = hetaogroup
O17 - HKLM\System\CS2\Services\Tcpip\..\{4D797B4B-027F-4718-A585-EFB7A1997679}: NameServer = 202.99.224.8

请先按第11楼的回复修复看看。


如果问题还不能解决，请使用HijackThis 1.99.1扫描。

引用:

【endurer的贴子】请使用HijackThis 1.99.2扫描。 ...........................

请问下现在有1.99.2了吗?有的话请给个地址谢谢:)

【回复“花落花又开”的帖子】
谢谢指正。

【回复“endurer”的帖子】

不好意思,我还以为真有...

刚刚查了一下.无.