瑞星卡卡安全论坛

C:/DOCUMENTS AND SETTINGS/MSDIRECTX.SYS中发现的病毒BLACKDOOR/ROOTKIT.FU
重装系统系统能否解决该问题？！！（我估计没那么容易啊）
                          倒霉透顶ing，才装系统24小时！

不需要  只是一个后门 小程序 没事的 没啥大碍 装上杀毒
好好查一遍

如下图，它不停出现！！！！！！！！！

附件: 55418720058300100.JPG

你家是KV2005正版的??
    如果是正版 的  请你升级到最新的病毒库  然后在杀
在把自己的机子打上防火墙没防火墙 就关闭危险端口

【回复“病毒对我唱征服”的帖子】
建议你用HijackThis1.99.1扫个日志贴上来看看。除了这个.sys文件外，还有一个.exe文件。不结束那个.exe进程、删除那个.exe，这个.sys是删除不了的。即使搞掉了那个.exe文件，也要用IceSword，才能删除这个.sys。

第一，我也不想重装系统。第二，它是个隐行杀手，不晓得在哪（要是查得到就不到这儿来请教高手了）！第三，这不是小问题（看清主题）目前大家讨论的要点！

3楼的骑猪者：“你家是KV2005正版的??
如果是正版 的 请你升级到最新的病毒库 然后在杀
在把自己的机子打上防火墙没防火墙 就关闭危险端口”
我用的是正版KV2005杀毒，目前升级到8月2日的病毒库。（此刻刚到8月3日，到是该升级了，汗~）

引用:

【病毒对我唱征服的贴子】第一，我也不想重装系统。第二，它是个隐行杀手，不晓得在哪（要是查得到就不到这儿来请教高手了）！第三，这不是小问题（看清主题）目前大家讨论的要点！ ...........................

这东东根本就不是什么新鲜玩意儿。是个夹带rootkit的后门变种。建议扫个HijackThis日志贴上来，或许有助于解决你的问题。

【回复“baohe”的帖子】
楼猪这些高手都在为你帮忙``你什么态度没看见让你扫描日志```讲了那么多条件你以为你中毒很了不起是不是```

“扫个HijackThis日志”
              是啥子玩意？软件？速回~3Q~！

没法说了 来吧 附件保证无毒 我是 小白TOW 一般都认识我 HijackThis1991就在附件里 自己下吧

附件: 55421320058301630.rar

baoheMM，偶8是来这听训滴~我一直在不停谢谢高手们啊~~
  刚才没看见他们的回复，我在照他们的办法做啊~表来挑衅我这只菜鸟啊~3Q~

【回复“病毒对我唱征服”的帖子】
帅哥你学过语文吗? 你知道什么语气才是挑衅? 这是劝告 勉的太笨惹高手生气不帮你知道不

引用:

【病毒对我唱征服的贴子】baoheMM，偶8是来这听训滴~我一直在不停谢谢高手们啊~~   刚才没看见他们的回复，我在照他们的办法做啊~表来挑衅我这只菜鸟啊~3Q~ ...........................

两位MM，不要争了。解决问题——最重要。

谢谢~！我已经扫好了~
                    帮忙看一下~3Q~！
当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\xpjava.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\KV2005\KVMonXP.kxp
C:\WINDOWS\system32\rundll32.exe
C:\PROGRA~1\3721\assistse.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\KVFW\kvfw.exe
C:\PROGRA~1\KV2005\KVSrvXP.exe
C:\WINDOWS\system32\pctspk.exe
C:\Program Files\KV2005\TrojDie.kxp
C:\Program Files\KV2005\KRegEx.exe
C:\WINDOWS\System32\taskmgr.exe
C:\Program Files\Tencent\TT\TTraveler.exe
C:\Program Files\Windows NT\Accessories\wordpad.exe
C:\WINDOWS\System32\svchost.exe
C:\Documents and Settings\无与伦比\桌面\55421320058301630\HijackThis1991zww.exe
C:\WINDOWS\System32\DllHost.exe

R3 - URLSearchHook: 上网助手 - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\PROGRA~1\3721\Assist\asbar.dll
F2 - REG:system.ini: UserInit=userinit.exe,xpjava.exe
O2 - BHO: AssistII - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\PROGRA~1\3721\Assist\asbar.dll
O3 - IE工具栏增项: 上网助手 - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\PROGRA~1\3721\Assist\asbar.dll
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [IMEKRMIG6.1] C:\WINDOWS\ime\imkr6_1\IMEKRMIG.EXE
O4 - 启动项HKLM\\Run: [MSPY2002] rem C:\WINDOWS\System32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002ASync] rem C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002A] rem C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [桌面图标文字自动透明] C:\Program Files\Wom\WinMem.exe XP
O4 - 启动项HKLM\\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - 启动项HKLM\\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - 启动项HKLM\\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - 启动项HKLM\\Run: [KvMonXP] C:\Program Files\KV2005\KVMonXP.kxp /auto
O4 - 启动项HKLM\\Run: [helper.dll] C:\WINDOWS\system32\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32
O4 - 启动项HKLM\\Run: [assistse] "C:\PROGRA~1\3721\assistse.exe"
O4 - 启动项HKLM\\Run: [CnsMin] Rundll32.exe C:\WINDOWS\downlo~1\CnsMin.dll,Rundll32
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [KvXP] C:\PROGRA~1\KV2005\KvXP.kxp /ScanBoot
O4 - HKCU\..\Run: [KVFW] C:\Program Files\KVFW\kvfw.exe -silent
O9 - 浏览器额外的按钮: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - 浏览器额外的“工具”菜单项: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O10 - 未知的文件在 Winsock LSP: c:\windows\system32\kvwspxp_1.dll
O10 - 未知的文件在 Winsock LSP: c:\windows\system32\kvwspxp_1.dll
O10 - 未知的文件在 Winsock LSP: c:\windows\system32\kvwspxp_1.dll
O11 - Options group: [!CNS]  上网助手-地址栏搜索
O17 - HKLM\System\CCS\Services\Tcpip\..\{8F67A5BF-D5B8-44E9-9853-486DC420A4B2}: NameServer = 202.98.96.68 61.139.2.69
O18 - 列举现有的协议: about - {3050F406-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\System32\mshtml.dll
O18 - 列举现有的协议: cdl - {3DD53D40-7B8B-11D0-B013-00AA0059CE02} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: dvd - {12D51199-0DB5-46FE-A120-47A3D7D937CC} - C:\WINDOWS\System32\msvidctl.dll
O18 - 列举现有的协议: file - {79EAC9E7-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: ftp - {79EAC9E3-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: gopher - {79EAC9E4-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: http - {79EAC9E2-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: https - {79EAC9E5-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: ipp - (no CLSID) - (no file)
O18 - 列举现有的协议: its - {9D148291-B9C8-11D0-A4CC-0000F80149F6} - C:\WINDOWS\System32\itss.dll
O18 - 列举现有的协议: javascript - {3050F3B2-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\System32\mshtml.dll
O18 - 列举现有的协议: local - {79EAC9E7-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: mailto - {3050F3DA-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\System32\mshtml.dll
O18 - 列举现有的协议: mhtml - {05300401-BCBC-11D0-85E3-00C04FD85AB4} - C:\WINDOWS\System32\inetcomm.dll
O18 - 列举现有的协议: mk - {79EAC9E6-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - 列举现有的协议: ms-its - {9D148291-B9C8-11D0-A4CC-0000F80149F6} - C:\WINDOWS\System32\itss.dll
O18 - 列举现有的协议: msdaipp - (no CLSID) - (no file)
O18 - 列举现有的协议: res - {3050F3BC-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\System32\mshtml.dll
O18 - 列举现有的协议: sysimage - {76E67A63-06E9-11D2-A840-006008059382} - C:\WINDOWS\System32\mshtml.dll
O18 - 列举现有的协议: tv - {CBD30858-AF45-11D2-B6D6-00C04FBBDE6E} - C:\WINDOWS\System32\msvidctl.dll
O18 - 列举现有的协议: vbscript - {3050F3B2-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\System32\mshtml.dll
O18 - 列举现有的协议: vnd.ms.radio - {3DA2AA3B-3D96-11D2-9BD2-204C4F4F5020} - C:\WINDOWS\System32\msdxm.ocx
O18 - 列举现有的协议: wia - {13F3EA8B-91D7-4F0A-AD76-D2853AC8BECE} - C:\WINDOWS\System32\wiascr.dll
O23 - NT 服务: KVSrvXP - JiangMin New Tech Ltd. - C:\PROGRA~1\KV2005\KVSrvXP.exe
O23 - NT 服务: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe

汗S~谢谢大姐姐了~~~偶只是个 小 妹 妹！！！！！！

【回复“病毒对我唱征服”的帖子】
C:\WINDOWS\System32\xpjava.exe
C:\WINDOWS\system32\pctspk.exe

这两个是什么？你自己知道吗？

WAITING高手分析结果~3Q FOR GGandJJ~！这么晚了，辛苦你们咯！

引用:

【病毒对我唱征服的贴子】WAITING高手分析结果~3Q FOR GGandJJ~！这么晚了，辛苦你们咯！ ...........................

请回答16楼的问题

就是它们，就是它们！！！！它们俩就是我在捉的病毒，按照杀毒软件上提供的路径去寻找，它们不在（我开了显示隐藏文件和系统文件），但就是找不到他们，本想手动删除的~！咋办勒？

引用:

【病毒对我唱征服的贴子】就是它们，就是它们！！！！它们俩就是我在捉的病毒，按照杀毒软件上提供的路径去寻找，它们不在（我开了显示隐藏文件和系统文件），但就是找不到他们，本想手动删除的~！咋办勒？ ...........................

如果你能确定，请参考下面这个帖子的思路：

rootkit木马查杀实录
http://forum.ikaka.com/topic.asp?board=28&artid=6787830

注意：我说的是参考其思路；不要生搬硬套那些具体的路径/文件名。

用搜索找不到xpjava.exe
但找到了pctspk.exe，是否要删掉？

用 IceSword 找

附件: 55421320058304751.rar

引用:

【病毒对我唱征服的贴子】用搜索找不到xpjava.exe 但找到了pctspk.exe，是否要删掉？ ...........................

不要着急。先把心静下来，仔细看看这个帖子——http://forum.ikaka.com/topic.asp?board=28&artid=6787830。
系统染毒时，急躁的情绪无助于问题的解决，反而会干扰你的思路。我写的这些帖子都是自己动手查杀的实际记录。有些人就是不仔细看。没弄懂到底是这么回事，就匆匆忙忙动手。最后，杀不掉（杀不净），就回来抱怨。好像我要成心误导谁似的。

我也不大懂~谢谢指教~！！对于一开始由于有些急躁造成言语过激表示万分歉意~
PS：现在换我老姐老请教（第二只菜菜菜鸟级小人物：P）

引用:

【病毒对我唱征服的贴子】我也不大懂~谢谢指教~！！对于一开始由于有些急躁造成言语过激表示万分歉意~ PS：现在换我老姐老请教（第二只菜菜菜鸟级小人物：P） ...........................

第二次重复：仔细看看这个帖子——http://forum.ikaka.com/topic.asp?board=28&artid=6787830。

不看？我也没办法了。

版主哥哥姐姐，我今天结合你们帖子所说，又按照自己办法先做了些粗浅尝试杀毒。结果是杀毒软件不再报警说有msdirectx.sys的病毒。（奇怪，不知道是不是消灭了。）
    我搜索到以下可能与msdirectx.sys有关的病毒文件：
pctspk.exe
userint.exe
xpjava.exe

    我用上网助手强力修复IE，查杀了3个恶意程序，不知道是否与处理掉msdirectx.sys有联系。
    我找不到xpjava.exe，找到userint.exe，可以简单删掉，但是10秒后自动再生成。找到pctspk.exe，删不掉，借助你们提供的Killbox软件删掉了，注意，就是删掉了这个杀毒软件才不再报警说发现msdirectx.sys携带的病毒。
    我重起后，在C:\WINDOWS\system32里还是依然找到pctspk.exe！但是杀毒软件没有警报说msdirectx.sys携带的病毒还再。
    我现在很迷惑，还继续杀不杀毒，病毒是不是清除了？那些未知的
pctspk.exe（在C:\WINDOWS\system32里）
userint.exe（在C:\WINDOWS\system32里） 
xpjava.exe（这个依然找不到） 
还在呀~~但是没警报了。

对了！另外在注册表中以前老删不掉的msdirectx.SYS，现在也没有了！！！

我仔细看过你们帖子了！对我很有帮助~我打算照你们说的实行下，请问，什么叫“在安全模式下”？

那个我用Killbox软件删掉过一次的pctspk.exe张的这个样子：

附件: 554187200583151740.JPG