瑞星卡卡安全论坛

我的xp sp2+r系统，最近两天上网时均发现cpu是100％的使用率，不上网时什么事情都没有，故判断是典型的网络蠕虫。用最最新的瑞星杀毒软件也无可奈何（当然是正版的），不管是在什么安全模式还是DOS下，均无法发现该病毒，所以上网时依旧是老牛拉破车。请高手指点更高明的方法解救小弟！多谢！！

以前经常出现过，并且打开网页速度贼慢，系统重装

感谢兄弟的指点，不过我已经重新安装系统了，现在问题依旧，不会要我格硬盘吧？！还请各位高手不吝赐教！！！

忘记说了一些东西，我的进程里有6个svchost.exe，出现问题的时候都是一个用户名为network service的svchost.exe占用90％以上的CPU使用率，总共有两个network service的用户名，不知是否正常？多谢了！！！

下面我将扫描日记附上，请帮忙看看！
Logfile of HijackThis v1.98.2
Scan saved at 20:00:25, on 2005-8-6
Platform: Windows XP SP 2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

正在运行的进程:         
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
C:\Program Files\rising\Rfw\rfwsrv.exe
C:\PROGRAM FILES\RISING\RAV\RavStub.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
C:\Program Files\rising\Rfw\RfwMain.exe
D:\WINDOWS\soundman.exe
D:\WINDOWS\system32\khooker.exe
D:\Program Files\CNNIC\Cdn\cdnup.exe
D:\WINDOWS\System32\Ctfmon.exe
C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
C:\PROGRA~1\RISING\RAV\RAVMON.EXE
D:\WINDOWS\system32\conime.exe
C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
D:\WINDOWS\system32\svchost.exe
D:\Program Files\Dr.COM 宽带客户端\ishare_user.exe
D:\WINDOWS\system32\taskmgr.exe
C:\Program Files\rising\Rav\RsAgent.exe
D:\WINDOWS\msagent\AgentSvr.exe
D:\WINDOWS\system32\wuauclt.exe
D:\Program Files\Internet Explorer\iexplore.exe
D:\WINDOWS\system32\PYINTAU.EXE
E:\下载的文件\HijackThis\HijackThis V1.98.2汉化版.exe

O2 - BHO: CNNIC_IDN - {35980F6E-A137-4E50-953D-813BB8556899} - D:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "D:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] D:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] D:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [SoundMan] soundman.exe
O4 - HKLM\..\Run: [SiS KHooker] D:\WINDOWS\system32\khooker.exe
O4 - HKLM\..\Run: [CdnCtr] D:\Program Files\CNNIC\Cdn\cdnup.exe
O4 - HKLM\..\Run: [] D:\WINDOWS\System32\Ctfmon.exe
O4 - HKLM\..\Run: [RavTimer] C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
O4 - HKLM\..\Run: [RavMon] C:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - HKLM\..\Run: [RfwMain] "C:\Program Files\rising\Rfw\rfwmain.exe" -Startup
O4 - HKLM\..\Run: [MSPY2002] D:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\RunServices: [RavMon] D:\Program Files\rising\rav\RavMon.exe /AUTO
O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Program Files\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: 添加到QQ自定义面板 - D:\Program Files\Tencent\qq\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - D:\Program Files\Tencent\qq\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - D:\Program Files\Tencent\qq\SendMMS.htm
O9 - Extra button: 中文上网 - {35980F6E-A137-4E50-953D-813BB8556899} - D:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O9 - Extra 'Tools' menuitem: 中文上网 - {35980F6E-A137-4E50-953D-813BB8556899} - D:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: d:\windows\system32\cdnns.dll
O10 - Unknown file in Winsock LSP: d:\windows\system32\tcpipdog0.dll
O10 - Unknown file in Winsock LSP: d:\windows\system32\tcpipdog0.dll
O10 - Unknown file in Winsock LSP: d:\windows\system32\tcpipdogr0.dll
O10 - Unknown file in Winsock LSP: d:\windows\system32\tcpipdogr0.dll
O11 - Options group: [CDNCLIENT]  中文上网

有没有愿意赐教的高手啊？小弟快急死了！！

大家都给小弟出出主意吧！快急死人啦！

【回复“秋风56”的帖子】
用1.99.1版的把日志扫上来.

感谢兄弟！！现将刚刚扫描的日记贴上

HijackThis_zww汉化版扫描日志 V1.99.1
保存于      19:33:42, 日期 2005-8-7
操作系统：  Windows XP SP2 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP2 (6.00.2900.2180)

当前运行的进程：         
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
C:\Program Files\rising\Rfw\rfwsrv.exe
C:\PROGRAM FILES\RISING\RAV\RavStub.exe
D:\WINDOWS\system32\spoolsv.exe
C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\Explorer.EXE
C:\Program Files\rising\Rfw\RfwMain.exe
D:\WINDOWS\soundman.exe
D:\WINDOWS\system32\khooker.exe
D:\Program Files\CNNIC\Cdn\cdnup.exe
D:\WINDOWS\System32\Ctfmon.exe
C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
D:\WINDOWS\system32\wuauclt.exe
C:\PROGRA~1\RISING\RAV\RAVMON.EXE
C:\Program Files\rising\Rav\RsAgent.exe
D:\WINDOWS\msagent\AgentSvr.exe
D:\WINDOWS\system32\taskmgr.exe
D:\Program Files\Dr.COM 宽带客户端\ishare_user.exe
D:\Program Files\Internet Explorer\iexplore.exe
D:\WINDOWS\system32\PYINTAU.EXE
D:\Program Files\Internet Explorer\iexplore.exe
D:\Program Files\HijackThis1991汉化版\HijackThis1991zww.exe

O2 - BHO: CNNIC_IDN - {35980F6E-A137-4E50-953D-813BB8556899} - D:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "D:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002ASync] D:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002A] D:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [SoundMan] soundman.exe
O4 - 启动项HKLM\\Run: [SiS KHooker] D:\WINDOWS\system32\khooker.exe
O4 - 启动项HKLM\\Run: [CdnCtr] D:\Program Files\CNNIC\Cdn\cdnup.exe
O4 - 启动项HKLM\\Run: [] D:\WINDOWS\System32\Ctfmon.exe
O4 - 启动项HKLM\\Run: [RavTimer] C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
O4 - 启动项HKLM\\Run: [RavMon] C:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - 启动项HKLM\\Run: [RfwMain] "C:\Program Files\rising\Rfw\rfwmain.exe" -Startup
O4 - 启动项HKLM\\Run: [MSPY2002] D:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - 启动项HKLM\\RunServices: [RavMon] D:\Program Files\rising\rav\RavMon.exe /AUTO
O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Program Files\Microsoft Office\Office\OSA9.EXE
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - D:\Program Files\Tencent\qq\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - D:\Program Files\Tencent\qq\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - D:\Program Files\Tencent\qq\SendMMS.htm
O9 - 浏览器额外的按钮: 中文上网 - {35980F6E-A137-4E50-953D-813BB8556899} - D:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O9 - 浏览器额外的“工具”菜单项: 中文上网 - {35980F6E-A137-4E50-953D-813BB8556899} - D:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O9 - 浏览器额外的按钮: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O9 - 浏览器额外的“工具”菜单项: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Program Files\Messenger\msmsgs.exe
O10 - 未知的文件在 Winsock LSP: d:\windows\system32\cdnns.dll
O10 - 未知的文件在 Winsock LSP: d:\windows\system32\tcpipdog0.dll
O10 - 未知的文件在 Winsock LSP: d:\windows\system32\tcpipdog0.dll
O10 - 未知的文件在 Winsock LSP: d:\windows\system32\tcpipdogr0.dll
O10 - 未知的文件在 Winsock LSP: d:\windows\system32\tcpipdogr0.dll
O11 - Options group: [CDNCLIENT]  中文上网
O23 - NT 服务: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Corporation Limited - C:\Program Files\rising\Rfw\rfwsrv.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - rising - C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - C:\PROGRAM FILES\RISING\RAV\Ravmond.exe

【回复“秋风56”的帖子】
您装代理上网了?
O10 - 未知的文件在 Winsock LSP: d:\windows\system32\tcpipdog0.dll
O10 - 未知的文件在 Winsock LSP: d:\windows\system32\tcpipdog0.dll
O10 - 未知的文件在 Winsock LSP: d:\windows\system32\tcpipdogr0.dll
O10 - 未知的文件在 Winsock LSP: d:\windows\system32\tcpipdogr0.dll

日志似乎无异常,请使用杀软查杀,并把病毒名称,路径,杀软处理结果发上来.

O4 - HKLM\..\Run: [SiS KHooker] D:\WINDOWS\system32\khooker.exe
可疑.

昨晚用最新的瑞星杀毒软件杀了三个病毒，1、Backdoor.PcShare.5.s删除成功05-08-06 21:12手动扫描C:\WINDOWS\TEMP\Rar$EX00.1030730.exe本机；2、Backdoor.PcShare.5.s删除成功05-08-06 21:19手动扫描C:\System Volume Information\_restore{D0220307-0100-4DF0-9813-9A64AC0BA5A3}\RP4A0009304.exe本机；3、Backdoor.PcShare.5.s删除成功05-08-06 21:19手动扫描C:\System Volume Information\_restore{D0220307-0100-4DF0-9813-9A64AC0BA5A3}\RP4A0010338.exe本机

引用:

【CAJINCHEN的贴子】O4 - HKLM\..\Run: [SiS KHooker] D:\WINDOWS\system32\khooker.exe 可疑. ...........................

(Silicon Integrated Systems – SiS) SiS 显卡驱动

【回复“秋风56”的帖子】
关闭系统还原,清空C:\WINDOWS\TEMP\内的所有文件.

关闭系统还原:开始--控制面版--系统--系统还原选项卡--关闭在所有驱动器上的系统还原前打钩

先谢过兄弟！我马上实施，还烦兄弟等会看结果！谢了！！

引用:

【秋风56的贴子】昨晚用最新的瑞星杀毒软件杀了三个病毒，1、Backdoor.PcShare.5.s删除成功05-08-06 21:12手动扫描C:\WINDOWS\TEMP\Rar$EX00.1030730.exe本机；2、Backdoor.PcShare.5.s删除成功05-08-06 21:19手动扫描C:\System Volume Information\_restore{D0220307-0100-4DF0-9813-9A64AC0BA5A3}\RP4A0009304.exe本机；3、Backdoor.PcShare.5.s删除成功05-08-06 21:19手动扫描C:\System Volume Information\_restore{D0220307-0100-4DF0-9813-9A64AC0BA5A3}\RP4A0010338.exe本机 ...........................

Backdoor.PcShare.5.s。这个木马在HijacThis日志中根本看不到。
请关闭系统还原，在安全模式下清空TEMP文件夹和系统还原文件夹。然后，在DOS再查杀一遍。

谢过baohe！刚刚按“花落花又开”兄弟的方法先办了一道，结果还是一样的问题，现再按老兄的方法再看看，还烦等会给看看处理结果！！谢了！

baohe老兄，我已经按你的步骤处理了，结果还是不行啊，中毒症状就是多打开几次网页病毒马上就发作，cpu的使用率100％，进程中有6个映像名称都是svchost.exe，其中的两个用户名都是NETWORK SERVICE，在这其中的一个占用的cpu使用率达到了95％以上，也没有办法结束该进程；用最新的瑞星也没有办法扫描得出来啊，什么安全模式、DOS下都试了，还是没用，不会要我格硬盘吧？！还请老兄救救小弟！！！

引用:

【秋风56的贴子】baohe老兄，我已经按你的步骤处理了，结果还是不行啊，中毒症状就是多打开几次网页病毒马上就发作，cpu的使用率100％，进程中有6个映像名称都是svchost.exe，其中的两个用户名都是NETWORK SERVICE，在这其中的一个占用的cpu使用率达到了95％以上，也没有办法结束该进程；用最新的瑞星也没有办法扫描得出来啊，什么安全模式、DOS下都试了，还是没用，不会要我格硬盘吧？！还请老兄救救小弟！！！ ...........................

现在杀软报毒否？如果报，病毒所在路径？

我要重新启动了，现在CPU又是100％的占用率，打这几个字都花了几分钟，可能发送信息也要让我发疯！！！

请楼主把进程的截图贴上来..怀疑是有狸猫换太子之嫌

我都快疯掉了！！早先到现在一上网就100％的CPU使用率，都无法进来看看兄弟们的招数。我都重新启动了十几次啦！！报告baohe老兄，今晚用最新的瑞星杀毒软件没有报毒啊，在安全模式下、DOS下都试了的。唉，我都想格掉系统盘重新安装了，但是那么软件！心在滴血啊！！

引用:

【秋风56的贴子】我都快疯掉了！！早先到现在一上网就100％的CPU使用率，都无法进来看看兄弟们的招数。我都重新启动了十几次啦！！报告baohe老兄，今晚用最新的瑞星杀毒软件没有报毒啊，在安全模式下、DOS下都试了的。唉，我都想格掉系统盘重新安装了，但是那么软件！心在滴血啊！！ ...........................

没有系统的GHOST备份吗？

没有系统的GHOST备份

我刚刚用数码相机拍了一张进程图，但是该相片刚刚1.08M，发不上来，现把图像搞小了点，发上来给兄弟们给分析一下，请指点！

附件: 553939200587233456.jpg

还有没有愿意指点的兄弟们啊？我都快丧失信心了，要有时间就干脆把硬盘给格了！

刚刚出差回来，马上就升级瑞星，再查杀病毒，结果还是什么都没有查到！老毛病依旧，不上网屁事没有，一上网就100％的CPU使用率，我真对瑞星产生了怀疑了，到底牛皮是不是吹的？！