瑞星卡卡安全论坛

不知道中了什么病毒，在winnt目录下生成1.com，finder.com，services.exe，exeroute.exe等文件，如果删除1.com，finder.com这些文件，windows的文件将不能执行。执行瑞星和木马克星都会自动关闭的，请问怎么解决。

您好，为了方便帮您解决问题，请您使用hijackthis把扫描的日志贴到贴子上来。

运行HijackThis，先点[扫描系统并保存日志]或[Do a system scan and save a logfile]按钮，扫描完成后，LOG将会在自动弹出的记事本中
显示，再从记事本里复制/粘贴到贴子里。如果LOG比较长，一贴发不完，你可以分成几个部分发在回贴里。

记得好象是个传奇木马

等等！

HijackThis_zww汉化版扫描日志 V1.99.1
保存于      14:27:19, 日期 2005-9-15
操作系统：  Windows 2000 SP4 (WinNT 5.00.2195)
浏览器：    Internet Explorer v6.00 SP1 (6.00.2800.1106)

当前运行的进程：         
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\system32\DRIVERS\CDANTSRV.EXE
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.exe
C:\WINNT\services.exe
C:\WINNT\system32\internat.exe
C:\WINNT\soundman.exe
C:\PROGRA~1\SYMANT~2\VPTray.exe
D:\安全工具\HijackThis1991zww.exe

R3 - URLSearchHook: (no name) - {BC207F7D-3E63-4ACA-99B5-FB5F8428200C} - (no file)
F2 - REG:system.ini: Shell=Explorer.exe 1
O1 - Hosts: 88.148.1.169 gzep07mad
O1 - Hosts: 88.148.1.170 gzep07mld
O1 - Hosts: 88.148.12.201 eipsvr
O2 - BHO: HelperObject Class - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Program Files\TechSmith\SnagIt 7\SnagItBHO.dll
O3 - IE工具栏增项: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O3 - IE工具栏增项: 金山快译(&K) - {6C3797D2-3FEF-4cd4-B654-D3AE55B4128C} - C:\PROGRA~1\Kingsoft\FastAIT\IEBand.dll
O3 - IE工具栏增项: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Program Files\TechSmith\SnagIt 7\SnagItIEAddin.dll
O4 - 启动项HKLM\\Run: [SoundMan] soundman.exe
O4 - 启动项HKLM\\Run: [Synchronization Manager] mobsync.exe /logon
O4 - 启动项HKLM\\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - 启动项HKLM\\Run: [vptray] C:\PROGRA~1\SYMANT~2\VPTray.exe
O4 - 启动项HKLM\\Run: [Torjan Program] C:\WINNT\services.exe
O4 - 启动项HKLM\\RunServices: [Torjan Program] C:\WINNT\services.exe
O4 - HKCU\..\Run: [Internat.exe] internat.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - IE右键菜单中的新增项目: &Download by NetAnts - C:\PROGRA~1\NETANTS\NAGet.htm
O8 - IE右键菜单中的新增项目: Download &All by NetAnts - C:\PROGRA~1\NETANTS\NAGetAll.htm
O9 - 浏览器额外的按钮: NetAnts - {57E91B47-F40A-11D1-B792-444553540000} - C:\PROGRA~1\NETANTS\NetAnts.exe
O9 - 浏览器额外的“工具”菜单项: &NetAnts - {57E91B47-F40A-11D1-B792-444553540000} - C:\PROGRA~1\NETANTS\NetAnts.exe
O9 - 浏览器额外的按钮: 卓越 - {8DE0FCD4-5EB5-11D3-AD25-00002100131B} - C:\PROGRA~1\Kingsoft\XDict\IEPlugin.dll
O9 - 浏览器额外的按钮: 金山词霸 - {C8CE29C5-7589-11D3-B81B-0080C8DC5DC8} - C:\PROGRA~1\Kingsoft\XDict\IEPlugin.dll
O9 - 浏览器额外的按钮: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - 浏览器额外的“工具”菜单项: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O15 - “受信任的站点”中添加项: eip.gzps.com
O15 - 添加的受信任的 IP 地址范围: 88.148.76.13
O16 - DPF: {02B0EAC8-535A-44DF-AD52-59BC17C1EE5B} (wxos.wxos_control) - http://88.148.76.13/wcmx/wxos.CAB
O16 - DPF: {1E2394AD-810C-42A1-932A-D45088C826D0} (TechEase ActiveX Interface Control) - http://eipsvr/sync/codebase/techease/TEAI.ocx
O16 - DPF: {56A7DC70-E102-4408-A34A-AE06FEF01586} (天下搜索) - http://iebar.t2t2.com/iebar.cab
O16 - DPF: {6036DF53-BB68-4AE2-9299-9427B63DB064} (Xlxj Control) - http://88.148.36.165/fcxj/xlxjProj.cab
O16 - DPF: {A0802A00-C5A2-4D77-B21C-73C101C0E166} (Trend.TrendControl) - http://88.148.76.13/wcmx/Trend.CAB
O16 - DPF: {BC207F7D-3E63-4ACA-99B5-FB5F8428200C} - http://bar.baidu.com/update/IESearch.cab
O16 - DPF: {D3B088E2-2573-4185-9DF9-63BFE30C2E80} (actf_zr Control) - http://88.148.36.165/fcxj/actf_zrProj1.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = gzps.com
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = gzps.com
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = gzps.com
O20 - AppInit_DLLs: APIHookDll.dll
O20 - Winlogon Notify: NavLogon - C:\WINNT\system32\NavLogon.dll
O23 - NT 服务: C-DillaSrv - C-Dilla Ltd - C:\WINNT\system32\DRIVERS\CDANTSRV.EXE
O23 - NT 服务: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - NT 服务: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - NT 服务: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINNT\system32\nvsvc32.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - rising - C:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - C:\PROGRAM FILES\RISING\RAV\Ravmond.exe
O23 - NT 服务: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe

求助 !

继续求助 !

【回复“gzz111”的帖子】
O1 - Hosts: 88.148.1.169 gzep07mad
O1 - Hosts: 88.148.1.170 gzep07mld
O1 - Hosts: 88.148.12.201 eipsvr
O4 - 启动项HKLM\\Run: [Torjan Program] C:\WINNT\services.exe
O4 - 启动项HKLM\\RunServices: [Torjan Program] C:\WINNT\services.exe
O15 - “受信任的站点”中添加项: eip.gzps.com
O15 - 添加的受信任的 IP 地址范围: 88.148.76.13


关闭所有应用程序，修复上面这几项，重启。再删除 C:\WINNT\services.exe

这个C:\WINNT\services.exe真TMD欺负人！！居然在注册表中写明Torjan Program（木马程序）。明摆着是在羞辱中招者！！NND！！！

呵呵班竹也会说TMD和NND呀。哈哈~~~~~~~~~~~~~

删除过了，过后她又出来了。

O4 - 启动项HKLM\\Run: [Torjan Program] C:\WINNT\services.exe
O4 - 启动项HKLM\\RunServices: [Torjan Program] C:\WINNT\services.exe
这个好象很难清除干净啊！

这个好象想把dxdiag.exe,regedit.exe,msconfig.exe都该成.com了！

我也遇到同样问题，30号版的瑞星查不到病毒，在中毒系统始终打不开瑞星实时监控。
求助！

顶

我已成功解除，我的是WIN98系统。

1、病毒存在以下目录

a根目录：
autorun.inf
b windows目录：
1.com
finder.com
ExERoute.exe
iexplore.com
services.exe


2、清除方法
a用进程杀手删除services.exe进程及文件
b到以上目录删除相关的病毒文件
c恢复EXE 程序的关联。。将以下内容做成.reg 文件导入注册表：
WIN98的内容如下：
REGEDIT4

[HKEY_CLASSES_ROOT\.exe]
@="exefile"
"Content Type"="application/x-msdownload"

[HKEY_CLASSES_ROOT\exefile]
@="应用程序"
"EditFlags"=hex:38,07,00,00

[HKEY_CLASSES_ROOT\exefile\DefaultIcon]
@="%1"

[HKEY_CLASSES_ROOT\exefile\shell]
@=""

[HKEY_CLASSES_ROOT\exefile\shell\open]
"EditFlags"=hex:00,00,00,00

[HKEY_CLASSES_ROOT\exefile\shell\open\command]
@="\"%1\" %*"

注：在操作过程中千万不要双击盘符，否则病毒会重复制。。操作完成请立即重启系统。以上的注册表程序只适用于WIN98 ，不适用于WIN2000和WIN XP 如用WIN2000和WIN XP系统的可给我E-mail: zslkt@21cn.com 我可提供注册表程式（也可自己在网上找。。在此感谢提供注册表程序的网友）

1、病毒存在以下目录

C:\autorun.inf
%Programfiles%\Internet Explorer\iexplore.com
%Programfiles%\Common Files\iexplore.pif
%Windows%\1.com
%Windows%\csrss.exe(services.exe)
%Windows%\ExERoute.exe
%Windows%\explorer1.com
%Windows%\finder.com
%Windows%\MSWINSCK.OCX（VB库文件，可以不删除）
%Windows%\Debug\DebugProgram.exe
%System%\command.pif
%System%\dxdiag.com
%System%\finder.com
%System%\msconfig.com
%System%\regedit.com
%System%\rundll32.com