瑞星卡卡安全论坛

我中了个传奇木马  每次重起 瑞星就会提示 文件已经删除。。。

请问到底怎么彻底删除？？？请大虾指导。。。。。

文件名，病毒名，病毒路径，HJ日志！一个都没有？？？？？

Trojan.PSW.LMir.iob

文件名 是cq3dll.dll    路径是 win下面的system32

请各位 大虾帮帮忙。。。。

http://forum.ikaka.com/topic.asp?board=28&artid=6979213 一楼，下载HJ扫描工具，扫描系统后把结果贴上来。

楼上  的 大侠呢？？？？

1.在任务管理器里结束RUNDLL32.EXE和Explorer.exe进程
2.删除文件C:\rundll32.exe,C:\WINNT\System32\cq3dll.dll,C:\gamecq3.txt
3.删除注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
增加数据项："loadMecq3" 数据值为："C:\RUNDLL32.EXE"

哦 我试试    谢谢楼上的。。

我倒 偶是菜鸟  最后那个注册表  偶不会。。。。请写出具体 操作步骤 好吗？？？谢谢

独孤大侠  那个什么日志 那里  不能下点 附件无法显示

开始-运行输入regedit,打开注册表编辑器,打开到HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run ,找到下面的loadMecq3,把他删除

好象可以下了 我下来看看

HijackThis_zww汉化版扫描日志 V1.99.1
保存于      12:30:41, 日期 2005-9-24
操作系统：  Windows XP SP1 (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 SP1 (6.00.2800.1106)

当前运行的进程：         
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
g:\program files\rising\rfw\rfwsrv.exe
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\Explorer.EXE
g:\program files\rising\rfw\RfwMain.exe
D:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
D:\WINDOWS\System32\nvsvc32.exe
G:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
G:\PROGRAM FILES\RISING\RAV\Ravmond.exe
D:\WINDOWS\System32\svchost.exe
G:\PROGRAM FILES\RISING\RAV\RavStub.exe
D:\WINDOWS\VM_STI.EXE
G:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
G:\PROGRA~1\RISING\RAV\RAVMON.EXE
D:\WINDOWS\system32\rundll32.exe
D:\Program Files\Common Files\Real\Update_OB\realsched.exe
D:\WINDOWS\System32\conime.exe
G:\Program Files\Tencent\qq\QQ.exe
G:\Program Files\Tencent\qq\TIMPlatform.exe
D:\Program Files\Internet Explorer\iexplore.exe
G:\2535952005811174944\HijackThis1991zww.exe

O2 - BHO: ThunderIEHelper Class - {0005A87D-D626-4B3A-84F9-1D9571695F55} - D:\WINDOWS\System32\xunleibho_v4.dll
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162} - G:\Program Files\Tencent\qq\QQIEHelper.dll
O2 - BHO: Accoona Search Assistant - {944864A5-3916-46E2-96A9-A2E84F3F1208} - D:\Program Files\Accoona\ASearchAssist.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - G:\PROGRA~1\FLASHGET\jccatch.dll
O2 - BHO: 卡卡安全助手 - {AFF6E516-CBE5-4F8A-9C2F-38A68013E766} - D:\WINDOWS\System32\kakatool.dll (file missing)
O2 - BHO: NTIECatcher Class - {C56CB6B0-0D96-11D6-8C65-B2868B609932} - (no file)
O2 - BHO: InsIII - {DDDE2452-AF9E-4577-AE6C-465DBCB54D49} - D:\WINDOWS\System32\opngl32.dll
O3 - IE工具栏增项: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O3 - IE工具栏增项: 卡卡安全助手 - {DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} - D:\WINDOWS\System32\kakatool.dll (file missing)
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "D:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - 启动项HKLM\\Run: [nwiz] nwiz.exe /install
O4 - 启动项HKLM\\Run: [internat.exe] internat.exe
O4 - 启动项HKLM\\Run: [BigDogPath] D:\WINDOWS\VM_STI.EXE USB PC Camera 301P
O4 - 启动项HKLM\\Run: [RavTimer] G:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
O4 - 启动项HKLM\\Run: [RavMon] G:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - 启动项HKLM\\Run: [RfwMain] "g:\Program Files\rising\Rfw\rfwmain.exe" -Startup
O4 - 启动项HKLM\\Run: [IMSCMig] D:\PROGRA~1\COMMON~1\MICROS~1\IME\IMSC40A\IMSCMIG.EXE /Preload
O4 - 启动项HKLM\\Run: [StormCodec_Helper] "G:\Program Files\Ringz Studio\Storm Codec\StormSet.exe" /S /opti
O4 - 启动项HKLM\\Run: [helper.dll] D:\WINDOWS\system32\rundll32.exe D:\PROGRA~1\3721\helper.dll,Rundll32
O4 - 启动项HKLM\\Run: [YDTMain.exe] D:\PROGRA~1\ydt\YDTMain.exe
O4 - 启动项HKLM\\Run: [XDeskCal] G:\Program Files\鱼鱼软件\桌面日历秀\XDeskCal.exe
O4 - 启动项HKLM\\Run: [loadMecq3] c:\rundll32.exe
O4 - 启动项HKLM\\Run: [TkBellExe] "D:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKCU\..\Run: [3721] C:\$NtUninstallQ5926809$\3721.bat
O4 - Startup: nbip.lnk = ?
O8 - IE右键菜单中的新增项目: 使用网际快车下载 - G:\Program Files\FlashGet\jc_link.htm
O8 - IE右键菜单中的新增项目: 使用网际快车下载全部链接 - G:\Program Files\FlashGet\jc_all.htm
O8 - IE右键菜单中的新增项目: 导出到 Microsoft Office Excel(&X) - res://G:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - G:\Program Files\Tencent\qq\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - G:\Program Files\Tencent\qq\AddEmotion.htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - G:\Program Files\Tencent\qq\SendMMS.htm
O8 - IE右键菜单中的新增项目: 用比特精灵下载(&B) - g:\program files\bitspirit\bsurl.htm
O9 - 浏览器额外的按钮: 浩方对战平台 - {0A155D3C-68E2-4215-A47A-E800A446447A} - G:\Program Files\Holdfast\GameDotNet\GameClient.exe
O9 - 浏览器额外的按钮: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - G:\Program Files\Tencent\qq\QQ.EXE
O9 - 浏览器额外的“工具”菜单项: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - G:\Program Files\Tencent\qq\QQ.EXE
O9 - 浏览器额外的按钮: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - G:\Program Files\Tencent\qq\QQIEHelper.dll
O9 - 浏览器额外的“工具”菜单项: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - G:\Program Files\Tencent\qq\QQIEHelper.dll
O10 - 未知的文件在 Winsock LSP: h:\
O10 - 未知的文件在 Winsock LSP: h:\
O16 - DPF: {1F831FA1-42FC-11D4-95A6-0080AD30DCE1} (InstaFred) - http://pointa.autodesk.com/portal/lang/chs/InstFred.Ocx
O16 - DPF: {3D8F74EE-8692-4F8F-B8D2-7522E732519E} (WebActivater Control) - http://game.qq.com/QQGame2.cab
O16 - DPF: {737D14F8-4090-11D4-AE0E-0010830243BD} (SysVerChk Control) - http://pointa.autodesk.com/portal/lang/neutral/SysVerChk.ocx
O16 - DPF: {78AF2F24-A9C3-11D3-BF8C-0060B0FCC122} (AcDcToday 控件) - file://G:\Program Files\AutoCAD 2002\AcDcToday.ocx
O16 - DPF: {817C90B5-1688-42BE-9044-58422DB088B2} (PortalCom R01) - http://10.16.11.6/PortalAX.cab
O16 - DPF: {8D9E0B29-563C-4226-86C1-5FF2AE77E1D2} (AxSubmitControl Class) - https://mybank.icbc.com.cn/icbc/perbank/AXSafeControls.CAB
O16 - DPF: {A8A0582B-725E-455E-8D23-6C3B012E8B78} - http://61.138.223.4/clntocx/3cxplayer1.cab
O16 - DPF: {AE563722-B4F5-11D4-A415-00108302FDFD} (NOXLATE-BANR) - http://pointa.autodesk.com/portal/lang/chs/InstBanr.Ocx
O16 - DPF: {F281A59C-7B65-11D3-8617-0010830243BD} (AcPreview 控件) - file://G:\Program Files\AutoCAD 2002\AcPreview.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{9B52972C-F486-4343-8DE8-30E2D50E4A32}: NameServer = 202.96.104.27 202.96.104.16
O20 - AppInit_DLLs: APIHookDll.dll
O23 - NT 服务: C-DillaSrv - C-Dilla Ltd - D:\WINDOWS\System32\DRIVERS\CDANTSRV.EXE
O23 - NT 服务: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - D:\WINDOWS\System32\nvsvc32.exe
O23 - NT 服务: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Corporation Limited - g:\program files\rising\rfw\rfwsrv.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - rising - G:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - G:\PROGRAM FILES\RISING\RAV\Ravmond.exe

你按我说的做就可以删除,不需要看日志的

哦。。。谢谢  大虾！！！

晕  我在进程里结束 那两项 之后  桌面 上什么都没了 任务栏也没了  我怎么进行 下一步 啊

任务管理器-文件-新建任务,输入explorer(因为这个被dll挂勾了,所以要结束下在新建),然后做第2步

找到了你说要删除 文件的 第一个。。
第2个  没找到 启动的时候 被 瑞星  删了 
那第三个呢？？？？
顺便我下 我装的是双系统 C是98 D是XP  现在用XP

找不到 C:\WINNT\System32\cq3dll.dll,  C:\gamecq3.txt

引用:

【凌づ天的贴子】找到了你说要删除 文件的 第一个。。 第2个  没找到 启动的时候 被 瑞星  删了  那第三个呢？？？？ 顺便我下 我装的是双系统 C是98 D是XP  现在用XP ...........................

如果你电脑里没有传奇这个游戏,那么没有第3个文件的

有啊 。。我在玩的。。

第2个文件被瑞星杀了,当然找不到,现在在把注册表清理下就可以了

第3个 不管了？？

哦 ！我去把注册表里那个 LOADMECQ3  给删了

引用:

【凌づ天的贴子】有啊 。。我在玩的。。 ...........................

第3个是记录帐号和密码的文件,你试下在“文件夹选项”的“查看”面板中勾选“显示系统文件”、“显示所有的文件和文件夹”两项，点击“确定”按钮,在找


这个病毒会把这个文件自动发到指定的邮箱

还有这种可能性就是因为每次启动都被杀软删除了dll文件,发做不起来,所以没有那个文件

那个文件一定在C盘没有子文件夹吗？

还有那个文件如果 发到指定邮箱的 话  发过后  那个文件还会保留吗？？

引用:

【凌づ天的贴子】那个文件一定在C盘没有子文件夹吗？ 还有那个文件如果 发到指定邮箱的 话  发过后  那个文件还会保留吗？？ ...........................

你这个应该在C盘,因为你别的病毒文件也在C盘,发到指定邮箱的话,这我也不清楚,不放心的话,改下密码,反正现在病毒主文件都被删除,即使这个记录的文件还在,也没什么用了

谢谢！！这位高手了。。。。我重起过了  瑞星 没有提示 有病毒了。。。呵呵    谢谢！！！

【回复“凌づ天”的帖子】不客气

引用:

【凌づ天的贴子】找到了你说要删除 文件的 第一个。。 第2个  没找到 启动的时候 被 瑞星  删了  那第三个呢？？？？ 顺便我下 我装的是双系统 C是98 D是XP  现在用XP ...........................

挺精彩的，命运里の金色鼓掌一下！



楼主这种情况，双系统可以到98下直接运行瑞星查杀的:-)