瑞星卡卡安全论坛

今天。接到“臥龍傳説”網友提供的一個樣本。目前爲止，這是我見到的隱蔽性最好的木馬。希望引起大家注意。

這個木馬隱蔽性很好。我用TPF2005的Activity Monitor沒有監控到註冊表啓動加載項的添加（那兩個啓動加載項是我自己根據文件名在註冊表中搜索出來的）。00024914.dll和00024914.sys兩個木馬文件在普通WINDOWS模式下為隱藏。
1、創建文件：
在system32文件夾在夾中創建7.exe、00024914.dll；在system32\driver\文件夾中創建00024914.sys。

2、插入進程：此木馬插入iexplore.exe進程。

3、註冊表改動：

在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\添加：

Schedule（指向c:\windows\system32\7.exe）

在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\分之添加：

HIDEME（指向c:\windows\system32\00024914.sys）

查殺：

1、結束iexplore.exe進程。
2、刪除上述三個木馬文件。其中：00024914.dll和00024914.sys在普通WINDOWS模式下為隱藏，根本找不到。須用IceSword找到/刪除之。
3、刪除木馬在註冊表中添加的啓動加載項。

SSM能发现吗?

【回复“我是天才陈叙”的帖子】
現在在家裏，電腦中沒裝SSM。我估計SSM也能發現。

呵呵，在安全版已经看过此篇了，，，
这个木马是挺厉害的，，，
可别有人拿它来做恶，，，，那···

不知道,卡巴是不是报这个病毒样本,报什么名字?

支持：）

附件: 5228422005107210950.jpg

引用:

【命运里の金色的贴子】不知道,卡巴是不是报这个病毒样本,报什么名字? ...........................

卡巴司機報。但名字——我忘記了。

【回复“baohe”的帖子】
不知是否有样本?

引用:

【花落花又开的贴子】【回复“baohe”的帖子】 不知是否有样本? ...........................

有啊。你要？

rsvirus@163.com谢谢:)

PS:baohe好象不是本人.

引用:

【花落花又开的贴子】rsvirus@163.com谢谢:) PS:baohe好象不是本人. ...........................

發了。收郵件去吧。

今天，中文輸入法讓女兒搞亂了。只能輸入繁體字。很彆扭。

引用:

【baohe的贴子】 發了。收郵件去吧。 今天，中文輸入法讓女兒搞亂了。只能輸入繁體字。很彆扭。 ...........................

汗,大概没加密,收不到.

就觉得说话怪怪地...

引用:

【花落花又开的贴子】 汗,大概没加密,收不到. 就觉得说话怪怪地... ...........................

RAR包

【回复“花落花又开”的帖子】
再發一個加密的（解壓密碼：virus）
yahoo郵箱的諾頓好像是個擺設。剛才那位，直接發了一個exe，那諾頓居然說“附件無毒”。

引用:

【baohe的贴子】【回复“花落花又开”的帖子】 再發一個加密的（解壓密碼：virus） yahoo郵箱的諾頓好像是個擺設。剛才那位，直接發了一個exe，那諾頓居然說“附件無毒”。 ...........................

汗,yahoo的邮箱我实在不敢恭维,好不容易申请了,进入就是“该页无法显示”。。哎

这个真的是baohe~~~?

好久没来这里。斑竹的风采依旧，顺便给自己冲冲电

谢谢BAOHE版主

我的怎么没有
在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\分之添加：

HIDEME（指向c:\windows\system32\00024914.sys）
这个

但是我HJ日志23项里已经没有那个病毒服务了

引用:

【卧龙传说的贴子】我的怎么没有 在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\分之添加： HIDEME（指向c:\windows\system32\00024914.sys） 这个 ...........................

應該有啊。
樣本可是來自你那裏啊

那个木马独孤豪侠试过了！SSM报了！！

引用:

【baohe的贴子】 應該有啊。 樣本可是來自你那裏啊 ...........................

有这个分支,RegSnap没发现...无语.

唯一有点用的就是:
新建文件
00024914.dll 大小: 26,840，日期/时间: 2005年10月7日 21:50:56
7.exe 大小: 21,574，日期/时间: 2005年10月6日 15:03:28
--------------
位置总数: 2

-------
hijackthis失败

SREng发现加载一项服务.

SSM没开- -#

over.

我新来的,也想要份样本.

谢谢.ioccccc@163.com

请大虾们给看下,哪个是 病毒 啊?      向你们鞠躬了!


HijackThis_zww汉化版扫描日志 V1.99.1


当前运行的进程：         
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
d:\瑞星\rising\rfw\rfwsrv.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
D:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
D:\PROGRA~1\RISING\RAV\RAVMON.EXE
D:\瑞星\Rising\Rfw\rfwmain.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
D:\PROGRAM FILES\RISING\RAV\CCENTER.EXE
C:\WINDOWS\system32\RUNDLL32.exe
D:\PROGRAM FILES\RISING\RAV\Ravmond.exe
C:\Program Files\System Safety Monitor\SSMService.exe
C:\Program Files\System Safety Monitor\sysSafe.exe
D:\PROGRAM FILES\RISING\RAV\RavStub.exe
C:\Program Files\3721\Dlaccel\YDownloader.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\conime.exe
C:\WINDOWS\System32\svchost.exe
D:\软件备份\棋魂\2535952005811174944\HijackThis1991zww.exe

R3 - URLSearchHook: MyURLSearchHook Class - {982CB676-38F0-4D9A-BB72-D9371ABE

876E} - C:\PROGRA~1\P4P\ToolBar.dll
O2 - BHO: ThunderIEHelper Class - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:

\WINDOWS\System32\xunleibho_v6.dll
O2 - BHO: SohuDAIEHelper - {0CA51D02-7739-43EA-8D9A-1E8AD4327B03} - C:\Program

Files\P4P\SoDAIE.dll
O2 - BHO: Anti Fish - {38928D50-8A48-44C2-945F-D2F23F771410} - C:\Program Files\

3721\Assist\Angling.dll
O2 - BHO: 360so BHOHelper - {472101C2-1109-43f4-9112-31F33E3F2127} - C:

\PROGRA~1\360so\360so.dll
O3 - IE工具栏增项: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C:

\WINDOWS\System32\msdxm.ocx
O3 - IE工具栏增项: (no name) - {BB936323-19FA-4521-BA29-ECA6A121BC78} - (no file)
O3 - IE工具栏增项: 捜狗直通车 - {DBBB7978-AF21-4EF4-9AD1-B2F4BC75696C} - C:

\PROGRA~1\P4P\ToolBar.dll
O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /

RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002ASync] C:\WINDOWS\System32

\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP

.EXE /IMEName
O4 - 启动项HKLM\\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.

dll,NvStartup
O4 - 启动项HKLM\\Run: [nwiz] nwiz.exe /install
O4 - 启动项HKLM\\Run: [RavTimer] D:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
O4 - 启动项HKLM\\Run: [RavMon] D:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - 启动项HKLM\\Run: [RfwMain] "D:\瑞星\Rising\Rfw\rfwmain.exe" -Startup
O4 - 启动项HKLM\\Run: [Corel Painter 8f] C:\Program Files\Common

Files\Corel\Registration\EN\Registration.exe /title="Corel Painter 8" /date=052905 serial=PF08

CUM-0516190-DCN
O4 - 启动项HKLM\\Run: [DLFW-BHQ] \\Unit-9z18l891lh\ziliao\GJProxy_C.exe
O4 - 启动项HKLM\\Run: [360Main.exe] C:\PROGRA~1\360so\360Main.exe
O4 - 启动项HKLM\\Run: [dl_accel] C:\Program Files\3721\Dlaccel\YDownloader.exe
O4 - 启动项HKLM\\Run: [ExFilter] Rundll32.exe "C:\PROGRA~1\CNNIC\Cdn\cdnspie.

dll,ExecFilter solo"
O4 - 启动项HKLM\\RunOnce: [KB826939] rundll32.exe apphelp.dll,ShimFlushCache
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [WinRoll] C:\Program Files\WinRoll\winroll.exe
O4 - HKCU\..\Run: [Yz Shadow] C:\Program Files\YzShadow\YzShadow.exe
O4 - HKCU\..\Run: [ObjectDock] C:\Program Files\ObjectDock\ObjectDock.exe
O4 - Global Startup: Microsoft Office.lnk = ?SystemRoot%\Installer\{00000804-78E1-11D2-B

60F-006097C998E7}\misc.exe
O8 - IE右键菜单中的新增项目: !搜一搜 - res://C:\WINDOWS\downlo~1\CnsMinEx.dll/1003
O8 - IE右键菜单中的新增项目: &使用下载加速专家下载 - C:\Program Files\3721

\Dlaccel\geturl.htm
O8 - IE右键菜单中的新增项目: 使用搜狗直通车下载 - C:\PROGRA~1\P4P\dl.htm
O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - C:\Program

Files\Tencent\qq\AddPanel.htm
O8 - IE右键菜单中的新增项目: 添加到QQ表情 - C:\Program Files\Tencent\qq\AddEmotion.

htm
O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - C:\Program

Files\Tencent\qq\SendMMS.htm
O9 - 浏览器额外的按钮: 手机短信 - {00000000-0000-0001-0001-596BAEDD1289} - http

://sms.3721.com/ie/index.htm (file missing)
O9 - 浏览器额外的按钮: 浩方对战平台 - {0A155D3C-68E2-4215-A47A-E800A446447A} -

C:\Program Files\浩方对战平台\GameClient.exe
O9 - 浏览器额外的按钮: 唯刊.VIKA - {2BB49E59-100F-4ca6-9127-E0E3FF76F98E} - C:

\Program Files\VIKA\vkclient.exe.lnk (file missing)
O9 - 浏览器额外的“工具”菜单项: 唯刊.VIKA - {2BB49E59-100F-4ca6-9127-E0E3FF76F98

E} - C:\Program Files\VIKA\vkclient.exe.lnk (file missing)
O9 - 浏览器额外的按钮: Yahoo 1G电邮 - {507F9113-CD77-4866-BA92-0E86DA3D0B97} -

http://cn.mail.yahoo.com/promo/rd1 (file missing)
O9 - 浏览器额外的按钮: 寻宝乐趣多 - {59BC54A2-56B3-44a0-93E5-432D58746E26} -

http://hot.3721.com/rd/shop_btn.htm (file missing)
O9 - 浏览器额外的按钮: 上网助手 - {5D73EE86-05F1-49ed-B850-E423120EC338} - http

://assistant.3721.com/index.htm?fb=Cns (file missing)
O9 - 浏览器额外的按钮: SoQ - {8F67DCF3-B1DF-4A39-A787-3775784BF737} - http://

www.soq.com (file missing)
O9 - 浏览器额外的按钮: 情景聊天 - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - http

://cn.rd.yahoo.com/home/messenger/bjk/clientbtn/?http://cn.messenger.yahoo.com/ (file missing)
O9 - 浏览器额外的按钮: (no name) - {ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} - http

://assistant.3721.com/security1.htm?fb=Cns (file missing)
O9 - 浏览器额外的“工具”菜单项: 修复浏览器 - {ECF2E268-F28C-48d2-9AB7-8F69C11

CCB71} - http://assistant.3721.com/security1.htm?fb=Cns (file missing)
O9 - 浏览器额外的按钮: (no name) - {FD00D911-7529-4084-9946-A29F1BDF4FE5} - http

://assistant.3721.com/clean1.htm?fb=Cns (file missing)
O9 - 浏览器额外的“工具”菜单项: 清理上网记录 - {FD00D911-7529-4084-9946-A29F1BDF

4FE5} - http://assistant.3721.com/clean1.htm?fb=Cns (file missing)
O11 - Options group: [!CNS]  网络实名
O16 - DPF: {E4E2F180-CB8B-4DE9-ACBB-DA745D3BA153} (Rising Web Scan Object) -

http://download.rising.com.cn/register/pcver/autoupgradepad/Ver2005/OL2005.cab
O20 - AppInit_DLLs: APIHookDll.dll
O20 - Winlogon Notify: System Safety Monitor - C:\WINDOWS\SYSTEM32\SSMWinlogonEx.

dll
O23 - NT 服务: Windows Installer help (MSIServerhelp) - Unknown owner - C:

\WINDOWS\msiexechelp.exe
O23 - NT 服务: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:

\WINDOWS\System32\nvsvc32.exe
O23 - NT 服务: P4P Service - Unknown owner - C:\Program Files\P4P\p2psvr.exe (file

missing)
O23 - NT 服务: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology

Corporation Limited - d:\瑞星\rising\rfw\rfwsrv.exe
O23 - NT 服务: Rising Process Communication Center (RsCCenter) - rising - D:\PROGRAM

FILES\RISING\RAV\CCENTER.EXE
O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - D:

\PROGRAM FILES\RISING\RAV\Ravmond.exe
O23 - NT 服务: System Safety Monitor (SSM) - System Safety - C:\Program Files\System

Safety Monitor\SSMService.exe

报给瑞星乐吗，让网警哥哥加进墙里哈

引用:

【见义勇为的贴子】请大虾们给看下,哪个是 病毒 啊?      向你们鞠躬了! HijackThis_zww汉化版扫描日志 V1.99.1 当前运行的进程：          C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\System32\svchost.exe d:\瑞星\rising\rfw\rfwsrv.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\Explorer.EXE D:\PROGRA~1\RISING\RAV\RAVTIMER.EXE D:\PROGRA~1\RISING\RAV\RAVMON.EXE D:\瑞星\Rising\Rfw\rfwmain.exe C:\WINDOWS\System32\nvsvc32.exe C:\Program Files\Internet Explorer\IEXPLORE.EXE D:\PROGRAM FILES\RISING\RAV\CCENTER.EXE C:\WINDOWS\system32\RUNDLL32.exe D:\PROGRAM FILES\RISING\RAV\Ravmond.exe C:\Program Files\System Safety Monitor\SSMService.exe C:\Program Files\System Safety Monitor\sysSafe.exe D:\PROGRAM FILES\RISING\RAV\RavStub.exe C:\Program Files\3721\Dlaccel\YDownloader.exe C:\WINDOWS\System32\ctfmon.exe C:\WINDOWS\System32\conime.exe C:\WINDOWS\System32\svchost.exe D:\软件备份\棋魂\2535952005811174944\HijackThis1991zww.exe R3 - URLSearchHook: MyURLSearchHook Class - {982CB676-38F0-4D9A-BB72-D9371ABE 876E} - C:\PROGRA~1\P4P\ToolBar.dll O2 - BHO: ThunderIEHelper Class - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C: \WINDOWS\System32\xunleibho_v6.dll O2 - BHO: SohuDAIEHelper - {0CA51D02-7739-43EA-8D9A-1E8AD4327B03} - C:\Program Files\P4P\SoDAIE.dll O2 - BHO: Anti Fish - {38928D50-8A48-44C2-945F-D2F23F771410} - C:\Program Files\ 3721\Assist\Angling.dll O2 - BHO: 360so BHOHelper - {472101C2-1109-43f4-9112-31F33E3F2127} - C: \PROGRA~1\360so\360so.dll O3 - IE工具栏增项: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} - C: \WINDOWS\System32\msdxm.ocx O3 - IE工具栏增项: (no name) - {BB936323-19FA-4521-BA29-ECA6A121BC78} - (no file) O3 - IE工具栏增项: 捜狗直通车 - {DBBB7978-AF21-4EF4-9AD1-B2F4BC75696C} - C: \PROGRA~1\P4P\ToolBar.dll O4 - 启动项HKLM\\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil / RemAdvDef /Migration32 O4 - 启动项HKLM\\Run: [PHIME2002ASync] C:\WINDOWS\System32 \IME\TINTLGNT\TINTSETP.EXE /SYNC O4 - 启动项HKLM\\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP .EXE /IMEName O4 - 启动项HKLM\\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl. dll,NvStartup O4 - 启动项HKLM\\Run: [nwiz] nwiz.exe /install O4 - 启动项HKLM\\Run: [RavTimer] D:\PROGRA~1\RISING\RAV\RAVTIMER.EXE O4 - 启动项HKLM\\Run: [RavMon] D:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM O4 - 启动项HKLM\\Run: [RfwMain] "D:\瑞星\Rising\Rfw\rfwmain.exe" -Startup O4 - 启动项HKLM\\Run: [Corel Painter 8f] C:\Program Files\Common Files\Corel\Registration\EN\Registration.exe /title="Corel Painter 8" /date=052905 serial=PF08 CUM-0516190-DCN O4 - 启动项HKLM\\Run: [DLFW-BHQ] \\Unit-9z18l891lh\ziliao\GJProxy_C.exe O4 - 启动项HKLM\\Run: [360Main.exe] C:\PROGRA~1\360so\360Main.exe O4 - 启动项HKLM\\Run: [dl_accel] C:\Program Files\3721\Dlaccel\YDownloader.exe O4 - 启动项HKLM\\Run: [ExFilter] Rundll32.exe "C:\PROGRA~1\CNNIC\Cdn\cdnspie. dll,ExecFilter solo" O4 - 启动项HKLM\\RunOnce: [KB826939] rundll32.exe apphelp.dll,ShimFlushCache O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [WinRoll] C:\Program Files\WinRoll\winroll.exe O4 - HKCU\..\Run: [Yz Shadow] C:\Program Files\YzShadow\YzShadow.exe O4 - HKCU\..\Run: [Dock] C:\Program Files\Dock\Dock.exe O4 - Global Startup: Microsoft Office.lnk = ?SystemRoot%\Installer\{00000804-78E1-11D2-B 60F-006097C998E7}\misc.exe O8 - IE右键菜单中的新增项目: !搜一搜 - res://C:\WINDOWS\downlo~1\CnsMinEx.dll/1003 O8 - IE右键菜单中的新增项目: &使用下载加速专家下载 - C:\Program Files\3721 \Dlaccel\geturl.htm O8 - IE右键菜单中的新增项目: 使用搜狗直通车下载 - C:\PROGRA~1\P4P\dl.htm O8 - IE右键菜单中的新增项目: 添加到QQ自定义面板 - C:\Program Files\Tencent\qq\AddPanel.htm O8 - IE右键菜单中的新增项目: 添加到QQ表情 - C:\Program Files\Tencent\qq\AddEmotion. htm O8 - IE右键菜单中的新增项目: 用QQ彩信发送该图片 - C:\Program Files\Tencent\qq\SendMMS.htm O9 - 浏览器额外的按钮: 手机短信 - {00000000-0000-0001-0001-596BAEDD1289} - http ://sms.3721.com/ie/index.htm (file missing) O9 - 浏览器额外的按钮: 浩方对战平台 - {0A155D3C-68E2-4215-A47A-E800A446447A} - C:\Program Files\浩方对战平台\GameClient.exe O9 - 浏览器额外的按钮: 唯刊.VIKA - {2BB49E59-100F-4ca6-9127-E0E3FF76F98E} - C: \Program Files\VIKA\vkclient.exe.lnk (file missing) O9 - 浏览器额外的“工具”菜单项: 唯刊.VIKA - {2BB49E59-100F-4ca6-9127-E0E3FF76F98 E} - C:\Program Files\VIKA\vkclient.exe.lnk (file missing) O9 - 浏览器额外的按钮: Yahoo 1G电邮 - {507F9113-CD77-4866-BA92-0E86DA3D0B97} - http://cn.mail.yahoo.com/promo/rd1 (file missing) O9 - 浏览器额外的按钮: 寻宝乐趣多 - {59BC54A2-56B3-44a0-93E5-432D58746E26} - http://hot.3721.com/rd/shop_btn.htm (file missing) O9 - 浏览器额外的按钮: 上网助手 - {5D73EE86-05F1-49ed-B850-E423120EC338} - http ://assistant.3721.com/index.htm?fb=Cns (file missing) O9 - 浏览器额外的按钮: SoQ - {8F67DCF3-B1DF-4A39-A787-3775784BF737} - http:// www.soq.com (file missing) O9 - 浏览器额外的按钮: 情景聊天 - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - http ://cn.rd.yahoo.com/home/messenger/bjk/clientbtn/?http://cn.messenger.yahoo.com/ (file missing) O9 - 浏览器额外的按钮: (no name) - {ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} - http ://assistant.3721.com/security1.htm?fb=Cns (file missing) O9 - 浏览器额外的“工具”菜单项: 修复浏览器 - {ECF2E268-F28C-48d2-9AB7-8F69C11 CCB71} - http://assistant.3721.com/security1.htm?fb=Cns (file missing) O9 - 浏览器额外的按钮: (no name) - {FD00D911-7529-4084-9946-A29F1BDF4FE5} - http ://assistant.3721.com/clean1.htm?fb=Cns (file missing) O9 - 浏览器额外的“工具”菜单项: 清理上网记录 - {FD00D911-7529-4084-9946-A29F1BDF 4FE5} - http://assistant.3721.com/clean1.htm?fb=Cns (file missing) O11 - Options group: [!CNS]  网络实名 O16 - DPF: {E4E2F180-CB8B-4DE9-ACBB-DA745D3BA153} (Rising Web Scan ) - http://download.rising.com.cn/register/pcver/autoupgradepad/Ver2005/OL2005.cab O20 - AppInit_DLLs: APIHookDll.dll O20 - Winlogon Notify: System Safety Monitor - C:\WINDOWS\SYSTEM32\SSMWinlogonEx. dll O23 - NT 服务: Windows Installer help (MSIServerhelp) - Unknown owner - C: \WINDOWS\msiexechelp.exe O23 - NT 服务: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C: \WINDOWS\System32\nvsvc32.exe O23 - NT 服务: P4P Service - Unknown owner - C:\Program Files\P4P\p2psvr.exe (file missing) O23 - NT 服务: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Corporation Limited - d:\瑞星\rising\rfw\rfwsrv.exe O23 - NT 服务: Rising Process Communication Center (RsCCenter) - rising - D:\PROGRAM FILES\RISING\RAV\CCENTER.EXE O23 - NT 服务: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - D: \PROGRAM FILES\RISING\RAV\Ravmond.exe O23 - NT 服务: System Safety Monitor (SSM) - System Safety - C:\Program Files\System Safety Monitor\SSMService.exe ...........................

Windows Installer help (MSIServerhelp) - Unknown owner -

C:\WINDOWS\msiexechelp.exe  可疑

哈哈~~~我来说一句，SSM报~~他的样本第一份是在QQ上传给我的，我运行后SSM就把他拦了，所以装了SSM的朋友杀这个毒很轻松~~根本不用做什么~~只要把他创建的几个文件删除就完事！（在哪创的SSM会报）这个木马在改注册表里SSM死活不让他改~~

哈哈，看来以后还是把SSM开上为好！！

懒龙，你的这个毒杀了没？