瑞星卡卡安全论坛

开机是会不断弹出一个对话诓显示“发现病毒……病毒文件被删除  病毒名：win32.troj.rootkit1.7168  被感染文件rdriv.sys”  并不能关闭  日志为Logfile of HijackThis v1.99.1
Scan saved at 21:17:53, on 2005-9-4
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\KAV2005\KWatch.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\KAV2005\KPfwSvc.EXE
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\rundll32.exe
C:\KAV2005\KAVStart.exe
C:\WINDOWS\System32\ctfmon.exe
C:\KAV2005\KavPFW.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Real\RealPlayer\RealPlay.exe
C:\KAV2005\KMailMon.EXE
C:\Program Files\锐捷网络\Ruijie Supplicant\8021x.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\Taneipc\LOCALS~1\Temp\Rar$EX00.625\HijackThis.exe

R3 - URLSearchHook: 上网助手 - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\Program Files\3721\Assist\asbar.dll
O2 - BHO: QQBrowserHelperObject Class - {54EBD53A-9BC1-480B-966A-843A333CA162} - C:\Program Files\Tencent\QQ\QQIEHelper.dll
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O2 - BHO: AssistII - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\Program Files\3721\Assist\asbar.dll
O2 - BHO: NTIECatcher Class - {C56CB6B0-0D96-11D6-8C65-B2868B609932} - C:\Program Files\Xi\NetTransport 2\NTIEHelper.dll
O2 - BHO: IE - {D157330A-9EF3-49F8-9A67-4141AC41ADD4} - C:\WINDOWS\DOWNLO~1\CnsHook.dll
O3 - Toolbar: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: (no name) - {B580CF65-E151-49C3-B73F-70B13FCA8E86} - (no file)
O3 - Toolbar: 上网助手 - {BB936323-19FA-4521-BA29-ECA6A121BC78} - C:\Program Files\3721\Assist\asbar.dll
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [helper.dll] C:\WINDOWS\system32\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32
O4 - HKLM\..\Run: [CnsMin] Rundll32.exe C:\WINDOWS\DOWNLO~1\CnsMin.dll,Rundll32
O4 - HKLM\..\Run: [KavStart] "C:\KAV2005\KAVStart.exe" -startup
O4 - HKLM\..\RunOnce: [CnsMinReg] regsvr32 /s C:\WINDOWS\DOWNLO~1\CnsMin.dll
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [KavPFW] "C:\KAV2005\KavPFW.exe"
O8 - Extra context menu item: !搜一搜 - res://C:\WINDOWS\DOWNLO~1\CnsMinEx.dll/1003
O8 - Extra context menu item: !搜一搜(&S) - res://C:\Program Files\yisou\yisou.dll/232
O8 - Extra context menu item: 使用影音传送带下载 - C:\Program Files\Xi\NetTransport 2\NTAddLink.html
O8 - Extra context menu item: 使用影音传送带下载全部链接 - C:\Program Files\Xi\NetTransport 2\NTAddList.html
O8 - Extra context menu item: 使用网际快车下载 - C:\下载工具\JetCar-v1.65\JetCar-v1.65\jc_link.htm
O8 - Extra context menu item: 使用网际快车下载全部链接 - C:\下载工具\JetCar-v1.65\JetCar-v1.65\jc_all.htm
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: 添加到QQ自定义面板 - C:\Program Files\Tencent\QQ\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - C:\Program Files\Tencent\QQ\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - C:\Program Files\Tencent\QQ\SendMMS.htm
O8 - Extra context menu item: 用比特精灵下载(&B) - F:\新建文件夹 (2)\BitSpirit\bsurl.htm
O8 - Extra context menu item: 百度Flash搜索 - res://C:\WINDOWS\DOWNLO~1\BaiDuBar.dll/FLASHSEARCH.HTM
O8 - Extra context menu item: 百度mp3搜索 - res://C:\WINDOWS\DOWNLO~1\BaiDuBar.dll/BAIDUMP3.HTM
O8 - Extra context menu item: 百度信息快递搜索 - res://C:\WINDOWS\DOWNLO~1\BaiDuBar.dll/BAIDUIE.HTM
O8 - Extra context menu item: 百度图片搜索 - res://C:\WINDOWS\DOWNLO~1\BaiDuBar.dll/BAIDUIMG.HTM
O8 - Extra context menu item: 百度搜索 - res://C:\WINDOWS\DOWNLO~1\BaiDuBar.dll/BAIDUSEARCH.HTM
O8 - Extra context menu item: 百度新闻搜索 - res://C:\WINDOWS\DOWNLO~1\BaiDuBar.dll/BAIDUNEWS.HTM
O9 - Extra button: 手机短信 - {00000000-0000-0001-0001-596BAEDD1289} - http://sms.3721.com/ie/index.htm?pid=202206_1006 (file missing)
O9 - Extra button: 豪杰超级解霸V8 - {367E0A21-8601-4986-9C9A-153BF5ACA118} - C:\WINDOWS\System32\shdocvw.dll
O9 - Extra 'Tools' menuitem: 豪杰超级解霸V8 - {367E0A21-8601-4986-9C9A-153BF5ACA118} - C:\WINDOWS\System32\shdocvw.dll
O9 - Extra button: Yahoo 1G电邮 - {507F9113-CD77-4866-BA92-0E86DA3D0B97} - http://cn.mail.yahoo.com/promo/rd1 (file missing)
O9 - Extra button: 寻宝乐趣多 - {59BC54A2-56B3-44a0-93E5-432D58746E26} - http://hot.3721.com/rd/shop_btn.htm (file missing)
O9 - Extra button: 上网助手 - {5D73EE86-05F1-49ed-B850-E423120EC338} - http://assistant.3721.com/index.htm?fb=Cns (file missing)
O9 - Extra button: 信息检索 - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - C:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - C:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra button: 易趣购物 - {DE60714F-AC17-427e-861A-FD60CBDF119A} - http://adfarm.mediaplex.com/ad/ck/4080-23171-9517-209?cn=song;icon;hp&mpro=http://www.ebay.com.cn (file missing)
O9 - Extra 'Tools' menuitem: 易趣购物 - {DE60714F-AC17-427e-861A-FD60CBDF119A} - http://adfarm.mediaplex.com/ad/ck/4080-23171-9517-209?cn=song;icon;hp&mpro=http://www.ebay.com.cn (file missing)
O9 - Extra button: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - C:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra 'Tools' menuitem: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - C:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra button: 情景聊天 - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - http://cn.rd.yahoo.com/home/messenger/bjk/clientbtn/?http://cn.messenger.yahoo.com/ (file missing)
O9 - Extra button: (no name) - {ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} - http://assistant.3721.com/security1.htm?fb=Cns (file missing)
O9 - Extra 'Tools' menuitem: 修复浏览器 - {ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} - http://assistant.3721.com/security1.htm?fb=Cns (file missing)
O9 - Extra button: (no name) - {FD00D911-7529-4084-9946-A29F1BDF4FE5} - http://assistant.3721.com/clean1.htm?fb=Cns (file missing)
O9 - Extra 'Tools' menuitem: 清理上网记录 - {FD00D911-7529-4084-9946-A29F1BDF4FE5} - http://assistant.3721.com/clean1.htm?fb=Cns (file missing)
O11 - Options group: [!CNS]  上网助手-地址栏搜索
O17 - HKLM\System\CCS\Services\Tcpip\..\{C7C2A324-D394-47E4-AEBA-8ECC66C21918}: NameServer = 202.116.160.33,202.116.160.41
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: Kingsoft Personal Firewall Service (KPfwSvc) - Kingsoft Corporation - C:\KAV2005\KPfwSvc.EXE
O23 - Service: Kingsoft Antivirus KWatch Service (KWatchSvc) - Kingsoft Corporation - C:\KAV2005\KWatch.EXE
O23 - Service: wincheck (spdcheck) - Unknown owner - C:\WINDOWS\spdcheck.exe

【回复“叉烧”的帖子】
把C:\WINDOWS\spdcheck.exe打包传上来

O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
高手们，这条是什么？我的XP系统刚开始也有，后来我使用HijackThis扫描后将其清理了。我然后担心是系统必需的，就使用HijackThis恢复。本来显示恢复成功，但重新扫描的日志里面并没有。所以，请教：这条我的日志里面没有，对系统有没有损害或影响？谢谢！

既然修复后机器没有异常,
应该就是没有问题把

我打包了 请见附件

附件: 576129200594215333.rar

引用:

【叉烧的贴子】我打包了 请见附件 ...........................

不对！你传的是开机预读文件（.pf）。我要的是.exe文件。

【回复“baohe”的帖子】
版主，O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
这条是什么？我的XP系统刚开始也有，后来我使用HijackThis扫描后将其清理了。我然后担心是系统必需的，就使用HijackThis恢复。本来显示恢复成功，但重新扫描的日志里面并没有。所以，请教：这条我的日志里面没有，对系统有没有损害或影响？谢谢！

那目录下没有。
是不是被隐藏了？

引用:

【叉烧的贴子】那目录下没有。 是不是被隐藏了？ ...........................

按下图设置好“文件夹选项”。然后，在安全模式下找那个文件。试试。

附件: 155847200594220445.jpg

不好意思。突然断网～～
偶照你的话做啦，可是只有搜出4个.EXE...pf文件
没你说的C:\WINDOWS\spdcheck.exe那个啊？
C:\WINDOWS\spdcheck倒是有，是不是这个吗？

引用:

【叉烧的贴子】不好意思。突然断网～～ 偶照你的话做啦，可是只有搜出4个.EXE...pf文件 没你说的C:\WINDOWS\spdcheck.exe那个啊？ C:\WINDOWS\spdcheck倒是有，是不是这个吗？ ...........................

就是要这个C:\WINDOWS\spdcheck（扩展名.exe隐藏了而已）。

我找到了

附件: 576129200594223625.rar

你传的都是什么啊？还是没传对

引用:

【叉烧的贴子】我找到了 ...........................

晕死！！还是一大堆.pf文件！没用啊！！！

附件: 155847200594224340.jpg

呵呵，这是帮偶同学看的，所以上传有些麻烦～～
辛苦斑竹啦
一天之内，瘫痪数台～
能告诉偶们是出了什么问题吗？

^_^，版主，还是先回答我的问题吧。那个东西是起什么作用的？日志被我清理了没有危害吧？谢谢

引用:

【叉烧的贴子】呵呵，这是帮偶同学看的，所以上传有些麻烦～～ 辛苦斑竹啦 一天之内，瘫痪数台～ 能告诉偶们是出了什么问题吗？ ...........................

我怀疑那个文件是木马。但是，没有样本，只是猜测而已。观察样本，才能找到确切的根据。
以后，不要轻易将病毒样本扔掉，记住。

唉，偶们有搜啊，但C:\WINDOWS\spdcheck.exe哪有啊？！
唉，算了。偶们都属于电脑短路型的，搞不定，硬是搞不定～～～
偶同学说她已经决定放弃～
或者用QQ远程帮帮她～～～
唉～～～

【回复“adu818”的帖子】
那是个显卡驱动程序的.dll文件。

我已经这样做了见附件 但是还是不行！到底该怎么办？？


附件: 576129200594232158.jpg

这是我搜索的结果见附件 查不到你说的文件

附件: 576129200594232612.jpg

引用:

【叉烧的贴子】我已经这样做了见附件 但是还是不行！到底该怎么办？？ ...........................

难怪你找不到！！

附件: 155847200594232904.jpg

哎哟，还在纠缠这件事。唉，看来水平比我还菜。不过，谢谢版主，我将显卡程序重装了一遍，20项这个东西又有了。谢谢！

不是我眼花啦？
我不是去掉了吗？
隐藏某某的扩展名，19楼我那里显示的啊～～
偶对比了三遍，偶肯定去掉啦～
不会错吧～

引用:

【叉烧的贴子】不是我眼花啦？ 我不是去掉了吗？ 隐藏某某的扩展名，19楼我那里显示的啊～～ 偶对比了三遍，偶肯定去掉啦～ 不会错吧～ ...........................

我晕死！！我那个图就是下载的你19楼那个图！！你再仔细看看吧。别这么慌慌张张的！

版主辛苦！我已倒。

是的，偶很菜。
偶承认。
^_^|||
说句实话，偶是昨天偶尔中了病毒，才想到来这种网站看看。
偶觉得从前那种整天靠升级杀毒的日子，对于整天被病毒攻击的偶来说太被动了
于是偶想化被动为主动
偶决定以后会常常看看关于病毒的书的
楼上的，偶想高手也是从小白一步一步成长的
小白会回去恶补的
唉，觉得有些丢脸～～～－_－\\\

没什么。大家都是一步步学习、一步步提高的。共同谢谢版主。

引用:

【叉烧的贴子】是的，偶很菜。 偶承认。 ^_^||| 说句实话，偶是昨天偶尔中了病毒，才想到来这种网站看看。 偶觉得从前那种整天靠升级杀毒的日子，对于整天被病毒攻击的偶来说太被动了 于是偶想化被动为主动 偶决定以后会常常看看关于病毒的书的 楼上的，偶想高手也是从小白一步一步成长的 小白会回去恶补的 唉，觉得有些丢脸～～～－_－\\\ ...........................

我在这儿等一晚上了，就等你这个样本。你就是找不到。我很遗憾。

不过，你的系统垃圾太多，比如上网助手、百度搜索、搜一搜等等，使用超级兔子清理一下吧。垃圾多了，自然毛病多。