瑞星卡卡安全论坛

我的机器总是查出这个病毒 .每次杀掉之后 ,下次重起过几分钟 ,又出现 ,然后机器变得特别慢.我用的xp ,任务管理器都打不开. 他总是出现在windows/system32/ 文件名是npfmntor.exe 删掉以后 .下次又来了.....我晕啊....怎么办.........


谢谢各位老大...帮忙想个办法 .

病毒分类 WINDOWS下的PE病毒 病毒名称 Backdoor.Rbot.awo 　
别 名 　 病毒长度
依赖系统 传播途径 　
行为类型 WINDOWS下的木马程序 感 染 　
病毒发作 瑞 星 版 本 号
　 17.35.41


HijackThis_zww汉化版扫描日志 V1.99.1
保存于 23:06:28, 日期 2005-8-21
操作系统： Windows XP SP1 (WinNT 5.01.2600)
浏览器： Internet Explorer v6.00 SP1 (6.00.2800.1106)

当前运行的进程：
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Permeo\Security Driver\nbproxy.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\srvany.exe
C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
C:\WINDOWS\system32\resetservice.exe
C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\Program Files\Intel\Intel(R) Active Monitor\imonnt.exe
C:\PROGRAM FILES\RISING\RAV\RavStub.exe
C:\Program Files\Intel\Intel(R) Active Monitor\imontray.exe
C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
C:\PROGRA~1\RISING\RAV\RAVMON.EXE
C:\WINDOWS\System32\SafeSignCertReg.exe
C:\Program Files\Permeo\Security Driver\EBIcon.exe
C:\Documents and Settings\R\桌面\GMon.exe
C:\Program Files\ttt\bin\tttconfig.exe
C:\Program Files\ttt\bin\ttt.exe
C:\Program Files\ttt\bin\ttt.exe
E:\myie\Maxthon.exe
C:\Documents and Settings\R\桌面\HijackThis1991zww.exe

O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FLASHGET\jccatch.dll
O3 - IE工具栏增项: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - IE工具栏增项: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\fgiebar.dll
O4 - 启动项HKLM\\Run: [IMONTRAY] C:\Program Files\Intel\Intel(R) Active Monitor\imontray.exe
O4 - 启动项HKLM\\Run: [RavTimer] C:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
O4 - 启动项HKLM\\Run: [RavMon] C:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - 启动项HKLM\\Run: [CertificateRegistration] SafeSignCertReg.exe
O4 - 启动项HKLM\\RunOnce: [RavStub] "C:\PROGRAM FILES\RISING\RAV\ravstub.exe" /RUNONCE
O4 - Global Startup: Permeo Security Driver Startup.lnk = C:\Program Files\Permeo\Security Driver\EBIcon.exe
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - C:\PROGRA~1\FLASHGET\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - C:\PROGRA~1\FLASHGET\jc_all.htm
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - E:\Tencent\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - E:\Tencent\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - E:\Tencent\SendMMS.htm
O9 - 浏览器额外的按钮: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - 浏览器额外的“工具”菜单项: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - 浏览器额外的按钮: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O9 - 浏览器额外的“工具”菜单项: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\flashget.exe
O10 - Broken Internet access because of LSP provider 'c:\program files\nec\e-border client\s5spi.dll' missing
O16 - DPF: {0EB487C8-E9AC-43A6-8C4C-083999B0622F} (InfosecCertInstall Class) - https://mybank.icbc.com.cn/icbc/perbank/certInStall.dll
O16 - DPF: {62B938C4-4190-4F37-8CF0-A92B0A91CC77} (InfoSecNetSign Class) - https://mybank.icbc.com.cn/icbc/NetSign.dll
O16 - DPF: {8D9E0B29-563C-4226-86C1-5FF2AE77E1D2} (AxSubmitControl Class) - https://mybank.icbc.com.cn/icbc/perbank/AxSafeControls.cab
O20 - Winlogon Notify: reset5 - C:\WINDOWS\SYSTEM32\reset5.dll
O23 - NT 服务: Intel(R) Active Monitor (imonNT) - Intel Corp. - C:\Program Files\Intel\Intel(R) Active Monitor\imonnt.exe
O23 - NT 服务: Security Driver NetBT Proxy (nbproxy) - Permeo Technologies, Inc. - C:\Program Files\Permeo\Security Driver\nbproxy.exe
O23 - NT 服务: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - NT 服务: Reset 5 - Unknown owner - C:\WINDOWS\system32\srvany.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - rising - C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
O23 - NT 服务: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

【回复“白露为霜”的帖子】
首先为您的系统打全补丁.

其次运行hijackthis修复:

O20 - Winlogon Notify: reset5 - C:\WINDOWS\SYSTEM32\reset5.dll

O23 - NT 服务: Reset 5 - Unknown owner - C:\WINDOWS\system32\srvany.exe

停止服务:开始--控制面版--管理工具--服务--找到Reset 5属性--改成已禁用

显示隐藏文件,找到以下删除(如果有的话):

C:\Program Files\ttt\bin\tttconfig.exe
C:\Program Files\ttt\bin\ttt.exe
C:\Program Files\ttt\bin\ttt.exe
C:\WINDOWS\SYSTEM32\reset5.dll
C:\WINDOWS\system32\srvany.exe


操作完以上步骤后,解锁任务管理器:开始菜单→运行→gpedit.msc→用户配置/管理模板/系统/Ctrl+Alt+Del选项→移除任务管理器，双击，选择已禁止

花斑竹说的很明确啊.

引用:

【花落花又开的贴子】【回复“白露为霜”的帖子】 首先为您的系统打全补丁. 其次运行hijackthis修复: O20 - Winlogon Notify: reset5 - C:\WINDOWS\SYSTEM32\reset5.dll O23 - NT 服务: Reset 5 - Unknown owner - C:\WINDOWS\system32\srvany.exe 停止服务:开始--控制面版--管理工具--服务--找到Reset 5属性--改成已禁用 显示隐藏文件,找到以下删除(如果有的话): C:\Program Files\ttt\bin\tttconfig.exe C:\Program Files\ttt\bin\ttt.exe C:\Program Files\ttt\bin\ttt.exe C:\WINDOWS\SYSTEM32\reset5.dll C:\WINDOWS\system32\srvany.exe 操作完以上步骤后,解锁任务管理器:开始菜单→运行→gpedit.msc→用户配置/管理模板/系统/Ctrl+Alt+Del选项→移除任务管理器，双击，选择已禁止 ...........................

先谢谢你的建议....

该打的补丁我都打上了..

还有


C:\Program Files\ttt\bin\tttconfig.exe
C:\Program Files\ttt\bin\ttt.exe
C:\Program Files\ttt\bin\ttt.exe

这三个,是一个sock5代理软件的执行程序 ....也是正常的.

另外两个,,我试了试,,好像没影响 ...病毒还是会出现.


最后......为什么要禁止任务管理器  ?  这个能防止病毒发作嘛 ?