瑞星卡卡安全论坛

Logfile of HijackThis v1.99.1
Scan saved at 10:59:51, on 2005-9-22
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\SNDVOL32.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\conime.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Winamp\Winamp.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rar$EX00.811\HijackThis.exe

R3 - URLSearchHook: 上网助手 - {1B0E7716-898E-48cc-9690-4E338E8DE1D3} - C:\PROGRA~1\3721\Assist\assist.dll
O2 - BHO: ThunderIEHelper Class - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:\WINDOWS\System32\xunleibho_v4.dll
O2 - BHO: 上网助手 - {1B0E7716-898E-48cc-9690-4E338E8DE1D3} - C:\PROGRA~1\3721\Assist\assist.dll
O2 - BHO: Wbho Class - {40E3A34A-3282-41F8-AD2C-051BAB96AD4A} - C:\WINDOWS\System32\Usign.dll (file missing)
O3 - Toolbar: 上网助手 - {1B0E7716-898E-48cc-9690-4E338E8DE1D3} - C:\PROGRA~1\3721\Assist\assist.dll
O3 - Toolbar: 金山毒霸 - {A9BE2902-C447-420A-BB7F-A5DE921E6138} - d:\KAV6\KAIEPlus.DLL (file missing)
O3 - Toolbar: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\CTFMON.EXE
O4 - HKCU\..\RunServices: [smss] C:\WINDOWS\smss.exe
O8 - Extra context menu item: &使用迅雷下载 - E:\迅雷下载器\geturl.htm
O8 - Extra context menu item: &使用迅雷下载全部链接 - E:\迅雷下载器\getAllurl.htm
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/077051610989ff09b016/netzip/RdxIE601_cn.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{104511DF-963B-473A-A69E-550D429403DA}: NameServer = 202.101.224.69 202.101.226.68
O17 - HKLM\System\CS1\Services\Tcpip\..\{104511DF-963B-473A-A69E-550D429403DA}: NameServer = 202.101.224.69 202.101.226.68
O20 - AppInit_DLLs: APIHookDll.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

【回复“芙蓉千朵”的帖子】
O4 - HKCU\..\RunServices: [smss] C:\WINDOWS\smss.exe

木马一只。

请将C:\WINDOWS\smss.exe
打包，发到:baohelin@yahoo.com.cn。帮您想办法。

请及时升级系统和IE

附件: 2460222005922110428.jpg

引用:

【艾玛的贴子】请及时升级系统和IE ...........................

升级？多数人都知道。
但是，现在多少D版XP用户在发愁啊！升不了或不敢升！

斑竹，我已经把SMSS打包发给你了，麻烦你帮忙看一下，谢谢哈，什么时候能回复我呢？中了木马好急哦！

555斑竹不理我。。。

引用:

【芙蓉千朵的贴子】555斑竹不理我。。。 ...........................

收到你发的smss。但文件怪异——smss.exe_ipamor！我把后缀改为.exe后运行，系统报——不是有效的win32文件。无法运行。没办法。你再找找吧，找到发过来。

引用:

【baohe的贴子】 收到你发的smss。但文件怪异——smss.exe_ipamor！我把后缀改为.exe后运行，系统报——不是有效的win32文件。无法运行。没办法。你再找找吧，找到发过来。 ...........................

楼主发的是木马克星改名过的文件当然不行啦！

引用:

【baohe的贴子】 升级？多数人都知道。 但是，现在多少D版XP用户在发愁啊！升不了或不敢升！ ...........................

升级并未被关闭，但是下载不到正版用户得到的增值软件（如MS的GAMES、中国日历等等

microsoft有很多只得借鉴的地方，盗版升级也不是很麻烦，crsky到处都是办法，还有很多大学的update也是公然盗版。其实真正打全补丁并且安装了杀毒软件的系统，很少感染病毒

是呀，可我用WINDOWS子带的搜索功能只能找出这个文件，还有一个是在WINDOWS下的SYSTEM32里的，这个算吗？

好了，我把SYSTEM32里的打包发给你了，劳驾再帮我看一下，谢谢

引用:

【芙蓉千朵的贴子】好了，我把SYSTEM32里的打包发给你了，劳驾再帮我看一下，谢谢 ...........................

SYSTEM32里的是正常系统文件，给我也没用。
显示隐藏文件，找C:\WINDOWS里面的，发来。

除此之外，在WINDOWS文件夹里就找不到别的文件名为SMSS的文件了！！除了WINDOWS自带的搜索方式，还有别的什么方法查找文件吗？

引用:

【芙蓉千朵的贴子】除此之外，在WINDOWS文件夹里就找不到别的文件名为SMSS的文件了！！除了WINDOWS自带的搜索方式，还有别的什么方法查找文件吗？ ...........................

这样吧：

请打开注册表编辑器。

然后，依次点击：HKEY_CURRENT_USER、Software、Microsoft、Windows、
CurrentVersion、RunServices，

在左栏中找到smss，删除。

立即重启系统，再在c:\windows下找smss.exe。

没有这个项啊。。。。。。

引用:

【芙蓉千朵的贴子】没有这个项啊。。。。。。 ...........................

O4 - HKCU\..\RunServices: [smss] C:\WINDOWS\smss.exe

这是你主帖日志中的。
难道那个日志不是你的？

再换一个办法：

在注册表中搜索包含C:\WINDOWS\smss.exe的键值。

搜到后——删。

重启系统，再找 C:\WINDOWS\smss.exe

请斑竹帮我看看还有病毒吗??我中过灰鸽子


Logfile of HijackThis v1.99.1
Scan saved at 18:40:40 上午, on 2005-9-22
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\WINDOWS\VM_STI.EXE
D:\应用程序\瑞星\RAV\RAVTIMER.EXE
D:\应用程序\瑞星\RAV\RAVMON.EXE
C:\WINDOWS\system32\dla\tfswctrl.exe
D:\影音播放器\暴风影音\Storm Downloader\StormDownloader.exe
C:\Program Files\CNNIC\Cdn\cdnup.exe
C:\WINDOWS\system32\ctfmon.exe
D:\应用程序\ADSL超频奇兵 V3.07\ADSLx2.exe
D:\应用程序\瑞星\RAV\CCENTER.EXE
D:\应用程序\瑞星\RAV\Ravmond.exe
C:\WINDOWS\system32\svchost.exe
D:\应用程序\瑞星\RAV\RavStub.exe
C:\WINDOWS\system32\conime.exe
C:\Program Files\Internet Explorer\iexplore.exe
D:\应用程序\瑞星\RAV\Rav.exe
C:\Program Files\Sandai Technologies Inc\Thunder\Thunder.exe
F:\我的文档\新建文件夹\155847200541134207\HijackThis.exe

O2 - BHO: ThunderIEHelper Class - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:\WINDOWS\system32\xunleibho_v5.dll
O2 - BHO: (no name) - {2E7D3330-EB94-4518-B0FE-E05379A5C1DA}? - (no file)
O2 - BHO: CNNIC_IDN - {35980F6E-A137-4E50-953D-813BB8556899} - C:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\MMSASS~1.DLL
O2 - BHO: std software - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} - C:\WINDOWS\system32\stdup.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\zh-cn\msntb.dll
O2 - BHO: NTIECatcher Class - {C56CB6B0-0D96-11D6-8C65-B2868B609932} - D:\应τ用贸程绦序騖\NetTransport 2\NetTransport 2\NTIEHelper.dll (file missing)
O3 - Toolbar: (no name) - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0}? - (no file)
O3 - Toolbar: (no name) - {2E7D3330-EB94-4518-B0FE-E05379A5C1DA}? - (no file)
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [BigDogPath] C:\WINDOWS\VM_STI.EXE ZSMC USB PC Camera
O4 - HKLM\..\Run: [RavTimer] D:\应用程序\瑞星\RAV\RAVTIMER.EXE
O4 - HKLM\..\Run: [RavMon] D:\应用程序\瑞星\RAV\RAVMON.EXE -SYSTEM
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [UpdateManager] "C:\Program Files\Common Files\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [MINI_BFYY] D:\影音播放器\暴风影音\Storm Downloader\StormDownloader.exe
O4 - HKLM\..\Run: [CdnCtr] C:\Program Files\CNNIC\Cdn\cdnup.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Startup: ADSL超频奇兵 V3.07.lnk = ?
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item:  >> 彩信发送 << - res://C:\PROGRA~1\MMSASS~1\MMSASS~1.DLL/mms.htm
O8 - Extra context menu item: &使用暴风下载器下载 - D:\影音播放器\暴风影音\Storm Downloader\geturl.htm
O8 - Extra context menu item: &使用迅雷下载 - C:\Program Files\Sandai Technologies Inc\Thunder\geturl.htm
O8 - Extra context menu item: &使用迅雷下载全部链接 - C:\Program Files\Sandai Technologies Inc\Thunder\getAllurl.htm
O8 - Extra context menu item: 中国搜索(&Z) - C:\WINDOWS\I_SearchIE.htm
O8 - Extra context menu item: 使用影音传送带下载 - D:\应用程序\NetTransport 2\NetTransport 2\NTAddLink.html
O8 - Extra context menu item: 使用影音传送带下载全部链接 - D:\应用程序\NetTransport 2\NetTransport 2\NTAddList.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra 'Tools' menuitem: Sun Java 控制台 - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_03\bin\npjpi142_03.dll
O9 - Extra button: 网址大全 - {1FBA04EE-3024-11D2-8F1F-0000F87ABD18} - http://www.coc.cc (file missing)
O9 - Extra button: 网址大全 - {1FBA04EE-3024-11D2-8F1F-0000F87ABD18}? - http://www.coc.cc (file missing)
O9 - Extra button: 中文上网 - {35980F6E-A137-4E50-953D-813BB8556899} - C:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O9 - Extra 'Tools' menuitem: 中文上网 - {35980F6E-A137-4E50-953D-813BB8556899} - C:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O9 - Extra button: (no name) - {35980F6E-A137-4E50-953D-813BB8556899}? - (no file)
O9 - Extra button: 常用网址 - {36B39F01-7B48-44AD-A165-5849CD8EF562}? - C:\WINDOWS\system32\SHDOCVW.DLL
O9 - Extra button: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\MMSASS~1.DLL
O9 - Extra 'Tools' menuitem: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1\MMSASS~1\MMSASS~1.DLL
O9 - Extra button: kele8 - {84920E5F-3788-49cd-A274-E365578DF174} - http://www.kele8.com/ (file missing)
O9 - Extra 'Tools' menuitem: kele8 - {84920E5F-3788-49cd-A274-E365578DF174} - http://www.kele8.com/ (file missing)
O9 - Extra button: 网际飞音 - {8E4E4123-AAC7-42CA-AF1B-68CE70B8D385} - D:\Program Files\Donor\donor.exe
O9 - Extra 'Tools' menuitem: 网际飞音(&D) - {8E4E4123-AAC7-42CA-AF1B-68CE70B8D385} - D:\Program Files\Donor\donor.exe
O9 - Extra button: 易趣购物 - {DE60714F-AC17-427e-861A-FD60CBDF119A}? - http://click2.ad4all.net/url2/urlmanage/url.asp?id=1 (file missing)
O9 - Extra 'Tools' menuitem: 易趣购物 - {DE60714F-AC17-427e-861A-FD60CBDF119A}? - http://click2.ad4all.net/url2/urlmanage/url.asp?id=1 (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683}? - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683}? - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\cdnns.dll
O11 - Options group: [CDNCLIENT]  中文上网
O16 - DPF: {8D9E0B29-563C-4226-86C1-5FF2AE77E1D2} (AxSubmitControl Class) - https://mybank.icbc.com.cn/icbc/perbank/AxSafeControls.cab
O16 - DPF: {ABA7CC7F-019D-47DB-A0D2-B3C2B3AC1B44} (Fc2Boot Class) - http://210.51.5.80/fun/system/fc2boot.cab
O16 - DPF: {D57A1919-CB3C-461C-8F34-A87A1CD9127E} (My99Launch Control) - http://www.99lover.com/launcher/99launch_1000.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{1ED76899-DA1B-435C-ADC9-83D6CAB74C36}: NameServer = 218.30.19.40 61.134.1.4
O17 - HKLM\System\CS1\Services\Tcpip\..\{1ED76899-DA1B-435C-ADC9-83D6CAB74C36}: NameServer = 218.30.19.40 61.134.1.4
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - rising - D:\应用程序\瑞星\RAV\CCENTER.EXE
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - D:\应用程序\瑞星\RAV\Ravmond.exe