瑞星卡卡安全论坛

首页 » 技术交流区 » 反病毒/反流氓软件论坛 » 用SSM清除難纏的.dll後門
baohe - 2005-11-19 18:03:00


今天，拿到網友傳來的一個後門——Trojan.Win32.PcClient.bk。
這個後門感染系統后，在%system%文件夾中創建兩個文件：AUTOEXEC.BAT和00001370.dll。
在註冊表的HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROLSET\SERVICES分支添加啓動加載項messenger。
00001370.dll插入winlogon.exe和iexplore.exe進程。
手工查殺這類後門有一定難度——如果用IceSword強行卸載插入winlogon.exe的00001370.dll，系統立即崩潰/重啓；如果不卸載0001370.dll，重啓后，病毒依然運行，00001370.dll無法刪除。
對付這類典型的.dll後門，SSM是個有用的工具（網上可以找到）。下面是用SSM殺死Trojan.Win32.PcClient.bk的操作步驟：

1/在SSM的“應用程序規則”（application rules）中添加兩條規則，禁止AUTOEXEC.BAT和0001370.dll運行（見圖1）。
2/重啓系統（重啓前檢查SSM的設置，確保其啓動加載）。
3/刪除%system%文件夾中的AUTOEXEC.BAT和0001370.dll（圖2）。
4/去掉後門添加的註冊表項（圖3）。

至此，這個棘手的後門就被徹底幹掉了！

大家可以舉一反三，使用SMM這個免費工具，對付那些難纏的後門/木馬。


圖1


附件: 15584720051119180315.jpg
baohe - 2005-11-19 18:03:00
圖2

附件: 15584720051119180353.jpg
baohe - 2005-11-19 18:04:00
圖3

附件: 15584720051119180430.jpg
影子110 - 2005-11-19 19:11:00
学习~~~

另，AUTOEXEC.BAT（这种后缀是.BAT，，，是批处理文件，还是~~~？？？呵呵，不认识~~这种类型的文件出现在023项时是否正常）
juvenile27 - 2005-11-19 19:45:00
第四个删除相关注册表值不明白怎么去做,看来还有很多东西要学！
神无 - 2005-11-19 19:55:00
学习
夏天去跳海 - 2005-11-19 20:24:00
怎么样才能知道自己的机器中了DLL后门？判断吗。。有点难度哦~
麻烦楼主大人说明下~先谢了
baohe - 2005-11-19 20:32:00
引用:
【夏天去跳海的贴子】怎么样才能知道自己的机器中了DLL后门？判断吗。。有点难度哦~
麻烦楼主大人说明下~先谢了
...........................

这个后门多数杀软都能查到，但不能彻底清除。因为那个.dll文件插入了winlogon.exe进程。
中这个后门：用IceSword查看winlogon.exe和iexplore.exe进程模块，可以发现那个.dll文件。
猎鹰渔民 - 2005-11-19 20:37:00
baohe的帖～第一时间看了，不过没有回～～不好意思～～
PS.这类后门是不是都挺难搞的？
baohe - 2005-11-19 20:40:00
引用:
【猎鹰渔民的贴子】baohe的帖～第一时间看了，不过没有回～～不好意思～～
PS.这类后门是不是都挺难搞的？
...........................

插入winlogon、csrss、lsass等系統進程的dll後門，一般方法難以殺淨。原因在於——這些進程都是基本的系統進程。
大河之舞 - 2005-11-19 22:50:00
爱看楼主的帖子，每次都能学到新的东西！
蓝色陨石 - 2005-11-20 0:16:00
要学的东西很多！谢谢版主。
CAJINCHEN - 2005-11-20 0:18:00
楼主那么喜欢繁体?
花落花又开 - 2005-11-20 1:03:00
【回复“baohe”的帖子】换一个角度,先删注册表呢?
baohe - 2005-11-20 10:33:00
引用:
【花落花又开的贴子】【回复“baohe”的帖子】换一个角度,先删注册表呢?
...........................

先刪註冊表也是可以考慮的。 不過，遇到帶註冊表監控的後門可能會遇到麻煩。
反病毒雄狮 - 2005-11-20 12:58:00
拜托baohe不要用繁体的好不好？
命运里の金色 - 2005-11-20 17:00:00
如果使用tpf里的blacklist禁止运行,效果一样吧
baohe - 2005-11-20 17:04:00
引用:
【命运里の金色的贴子】如果使用tpf里的blacklist禁止运行,效果一样吧
...........................

应该是的。
我之所以不愿谈论TPF2005，原因在于其设置复杂，新手看不懂。此外，TPF2005还有一个版权问题。SSM既简单，又免费。所以，我更愿意给出使用SSM的解决方案。
天山雪狐 - 2005-11-20 17:05:00
繁体字看得太费劲。
命运里の金色 - 2005-11-20 17:12:00
【回复“baohe”的帖子】恩~~
看来以后在这里还是用SSM
甩甩 - 2005-11-20 20:20:00
大哥``
Trojan.PSW.LMir.itb
这个毒怎么杀噢`？
用瑞星杀老以后每次重起都又有了！！
影子110 - 2005-11-21 12:17:00
引用:
【甩甩的贴子】大哥``
Trojan.PSW.LMir.itb
这个毒怎么杀噢`？
用瑞星杀老以后每次重起都又有了！！
...........................

它可能藏在你的临时文件夹和系统还原里
我的电脑》属性》系统还原》关闭所有盘的系统还原》确定
清空临时文件夹：
IE》属性》删除文件（包括脱机文件）》确定
重启后再杀一次毒看看~~
甩甩 - 2005-11-21 13:15:00
噢`
谢谢``我去试一下。
子阳 - 2005-11-21 18:59:00
学习了.
闪电风暴 - 2005-11-21 20:10:00
看不懂，全是繁体。
拿好裁决秒病毒 - 2005-11-21 22:02:00
看来又学习了不少东西，我顶呀
JOHNli - 2005-11-21 22:56:00
各位大虾：

感谢您关注我的这份报告，小菜鸟急需您的帮助！
本扫描/诊断报告由 上网助手IE修复专家生成　

操作系统: Windows 98SE
IE版本号: 5.00.2614.3500

---------------------------------------------------------

以下是我的扫描报告正文：

*** 扫描项列表 ***

下列条目被IE修复专家判断为危险：


下列条目被IE修复专家判断为有风险：


下列条目被IE修复专家判断为未知：

1.R00 - IE首页 - http://www.baidu.com，，
内容：http://www.baidu.com
安全等级：未知

2.O02 - 浏览器辅助对象(BHO) - DuDu下载加速IE相关插件，，
CLSID：{6BDE1669-B490-48E3-B668-456314F2D6C3}
相关文件：C:\Program Files\DuDu\DddClient\DDDIEMON.DLL
安全等级：未知

3.O02 - 浏览器辅助对象(BHO) - MDEobject，，
CLSID：{4136C3F6-7636-49bf-A122-D4DA53B1ADDF}
相关文件：C:\WINDOWS\SYSTEM\meobjsdt.dll
安全等级：未知

4.O02 - 浏览器辅助对象(BHO) - EyeOnBrowser，，
CLSID：{1272F701-349D-4DB3-BBCD-10CBDCD049FE}
相关文件：C:\WINDOWS\Downloaded Program Files\_IS_0518\_IS_WEBH.dll
安全等级：未知

5.O04 - 当前用户自启动目录 - 新浪游戏下载加速器，，
相关文件：C:\Program Files\DuDu\DddClient\DUDUACC.EXE  /m1
安全等级：未知

6.O04 - 自动运行项(Run) - 疑为恶意程序或病毒。，，
相关文件：C:\WINDOWS\SYSTEM\NTdhcp.exe
内容：C:\WINDOWS\SYSTEM\NTdhcp.exe
安全等级：未知

7.O04 - 自动运行项(Run) - Rapdaete，，
相关文件：C:\WINDOWS\SYSTEM\ravsent.exe
内容：C:\WINDOWS\SYSTEM\ravsent.exe
安全等级：未知

8.O04 - 自动运行项(Run) - 一款桌面搜索软件。，，
相关文件：(文件不存在)(隐藏)(系统)C:\PROGRAM FILES\网络猪\SEARCH.EXE
内容：C:\PROGRAM FILES\网络猪\SEARCH.EXE
安全等级：未知

9.O04 - 自动运行项(Run) - xuelf，xuelf，
相关文件：C:\WINDOWS\My Document.exe
内容：C:\WINDOWS\My Document.exe
安全等级：未知

10.O04 - 自动运行项(Run) - avicap32，，
安全等级：未知

11.O04 - 自动运行项(Run) - advapi32，，
相关文件：(文件不存在)(隐藏)(系统)C:\WINDOWS\Downlo~1\_IS_0518\_IS_ISC.DLL
内容：RUNDLL32 C:\WINDOWS\Downlo~1\_IS_0518\_IS_ISC.DLL,isc
安全等级：未知

12.O04 - 自动运行项(Run) - MyIMLite_UpDate，，
安全等级：未知

13.O04 - 自动运行项(Run) - MyIMLite，，
安全等级：未知

14.O04 - 自动运行项(Run) - ISC_UpDate，，
安全等级：未知

15.O04 - 自动运行项(Run) - ISC，，
安全等级：未知

16.O09 - IE菜单项和工具栏按钮 - kele8，，
网页路径：http://www.kele8.com/
安全等级：未知

17.O27 - 文件执行挂钩 - ，，
CLSID：{B48F6409-4740-475B-A474-651F54CCE460}
相关文件：(隐藏)(系统)C:\Program Files\Common Files\Microsoft Shared\MSINFO\MsInfo.Dll
安全等级：未知


下列条目被IE修复专家判断为安全：

18.R00 - IE自定义搜索引擎 - http://seek.3721.com/srchcust.htm，，
内容：http://seek.3721.com/srchcust.htm
安全等级：安全

19.R00 - IE备用搜索引擎 - http://seek.3721.com/srchasst.htm，，
内容：http://seek.3721.com/srchasst.htm
安全等级：安全

20.R03 - 搜索挂接 - 上网助手2005，上网助手2005，
CLSID：{BB936323-19FA-4521-BA29-ECA6A121BC78}
相关文件：C:\Program Files\3721\assist\asbar.dll
内容：coolbar
安全等级：安全

21.O02 - 浏览器辅助对象(BHO) - 上网助手2005，上网助手2005，
CLSID：{BB936323-19FA-4521-BA29-ECA6A121BC78}
相关文件：C:\Program Files\3721\assist\asbar.dll
安全等级：安全

22.O02 - 浏览器辅助对象(BHO) - (反钓鱼专家)，(反钓鱼专家)，
CLSID：{38928D50-8A48-44C2-945F-D2F23F771410}
相关文件：C:\Program Files\3721\assist\Angling.dll
安全等级：安全

23.O03 - IE工具条“链接”的标题 - 链接，，
内容：链接
安全等级：安全

24.O03 - IE第三方工具条 - 上网助手2005，上网助手2005，
CLSID：{BB936323-19FA-4521-BA29-ECA6A121BC78}
相关文件：C:\Program Files\3721\assist\asbar.dll
内容：上网助手
安全等级：安全

25.O04 - 当前用户自启动目录 - QQ即时通讯软件，QQ即时通讯软件，
相关文件：D:\Program Files\Tencent\QQ\QQ.exe
安全等级：安全

26.O04 - 当前用户自启动目录 - 腾讯公司的即时通讯软件，包括行业黄页功能，腾讯公司的即时通讯软件，包括行业黄页功能，
相关文件：D:\Program Files\Tencent\QQ\TMShell.exe /background
安全等级：安全

27.O04 - 自动运行项(Run) - 注册表扫描备份工具，注册表扫描备份工具，
相关文件：C:\WINDOWS\SCANREGW.EXE /autorun
内容：C:\WINDOWS\scanregw.exe /autorun
安全等级：安全

28.O04 - 自动运行项(Run) - 系统任务监视器，系统任务监视器，
相关文件：C:\WINDOWS\TASKMON.EXE
内容：C:\WINDOWS\taskmon.exe
安全等级：安全

29.O04 - 自动运行项(Run) - 输入法在任务栏里的图标，输入法在任务栏里的图标，
相关文件：C:\WINDOWS\SYSTEM\INTERNAT.EXE
内容：internat.exe
安全等级：安全

30.O04 - 自动运行项(Run) - 任务栏上显示小图标的托盘，任务栏上显示小图标的托盘，
相关文件：C:\WINDOWS\SYSTEM\SYSTRAY.EXE
内容：SysTray.Exe
安全等级：安全

31.O04 - 自动运行项(Run) - 计算机电源管理程序，计算机电源管理程序，
相关文件：C:\WINDOWS\SYSTEM\POWRPROF.DLL
内容：Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
安全等级：安全

32.O04 - 自动运行项(Run) - NVIDIA系列显卡的调节工具，NVIDIA系列显卡的调节工具，
相关文件：C:\WINDOWS\SYSTEM\nvcpl.dll
内容：RUNDLL32.EXE C:\WINDOWS\SYSTEM\NvCpl.dll,NvStartup
安全等级：安全

33.O04 - 自动运行项(Run) - NVIDIA显示卡NView向导，NVIDIA显示卡NView向导，
相关文件：C:\WINDOWS\SYSTEM\nwiz.exe /install
内容：nwiz.exe /install
安全等级：安全

34.O04 - 自动运行项(Run) - 基于PPPoE的ADSL拨号软件，，
相关文件：C:\Program Files\北京通信\宽带e线—ADSL\app\EnterNet.exe -AutoStart
内容：C:\PROGRAM FILES\北京通信\宽带E线—ADSL\APP\EnterNet.exe -AutoStart
安全等级：安全

35.O04 - 自动运行项(Run) - 江民防火墙软件，江民防火墙软件，
相关文件：D:\kv2006\KV2005\KVMonXP.kxp /auto
内容：D:\KV2006\KV2005\KVMonXP.kxp /auto
安全等级：安全

36.O04 - 自动运行项(Run) - 3721 网络实名，3721 网络实名，
相关文件：C:\WINDOWS\Downloaded Program Files\CNSMIN.DLL
内容：Rundll32.exe C:\WINDOWS\DOWNLO~1\CNSMIN.DLL,Rundll32
安全等级：安全

37.O04 - 自动运行项(Run) - 3721 上网助手，3721 上网助手，
相关文件：C:\Program Files\3721\HELPER.DLL
内容：C:\WINDOWS\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32
安全等级：安全

38.O04 - 自动运行项(Run) - 随着MSN安装的程序，随着MSN安装的程序，
相关文件：C:\WINDOWS\LOADQM.EXE
内容：loadqm.exe
安全等级：安全

39.O04 - 自动运行项(Run) - 上网助手托盘图标，上网助手托盘图标，
相关文件：C:\Program Files\3721\assistse.exe
内容："C:\PROGRAM FILES\3721\ASSISTSE.EXE"
安全等级：安全

40.O04 - 自动运行项(Run) - Windows Messenger即时通讯工具，Windows Messenger即时通讯工具，
相关文件：C:\Program Files\MSN Messenger\MSNMSGR.EXE /background
内容："C:\PROGRAM FILES\MSN MESSENGER\MSNMSGR.EXE" /background
安全等级：安全

41.O08 - IE右键菜单 - !搜一搜，!搜一搜，
相关文件：C:\WINDOWS\Downloaded Program Files\CnsMinEx.dll /1003
安全等级：安全

42.O09 - IE菜单项和工具栏按钮 - 电台，电台，
相关文件：C:\WINDOWS\WEB\RELATED.HTM
安全等级：安全

43.O09 - IE工具栏按钮 - 上网助手，，
网页路径：http://assistant.3721.com/index.htm?fb=Cns
安全等级：安全

44.O09 - IE工具栏按钮 - 寻宝乐趣多，寻宝乐趣多，
网页路径：http://hot.3721.com/rd/shop_btn.htm
安全等级：安全

45.O09 - IE工具栏按钮 - Yahoo 1G电邮，，
网页路径：http://cn.mail.yahoo.com/promo/rd1
安全等级：安全

46.O09 - IE工具栏按钮 - 情景聊天，，
网页路径：http://cn.rd.yahoo.com/home/messenger/bjk/clientbtn/?http://cn.messenger.yahoo.com/
安全等级：安全

47.O09 - IE工具栏按钮 - 手机短信，，
网页路径：http://sms.3721.com/ie/index.htm?pid=U_vlala_128857
安全等级：安全

48.O09 - IE菜单项 - 清理上网记录，，
网页路径：http://assistant.3721.com/clean1.htm?fb=Cns
安全等级：安全

49.O09 - IE菜单项 - 修复浏览器，，
网页路径：http://assistant.3721.com/security1.htm?fb=Cns
安全等级：安全

50.O10 - 网络信息过滤器(LSP) - 江民杀毒网络监控模块，江民杀毒网络监控模块，
相关文件：C:\WINDOWS\SYSTEM\KvWspXp.dll
安全等级：安全

51.O10 - 网络信息过滤器(LSP) - 江民杀毒网络监控模块，江民杀毒网络监控模块，
相关文件：C:\WINDOWS\SYSTEM\KvWspXp.dll
安全等级：安全

52.O10 - 网络信息过滤器(LSP) - 江民杀毒网络监控模块，江民杀毒网络监控模块，
相关文件：C:\WINDOWS\SYSTEM\KvWspXp.dll
安全等级：安全

53.O11 - IE高级操作 - !CNS (网络实名)，，
安全等级：安全

54.O16 - 下载的ActiveX插件 - Flash播放器，Flash播放器，
CLSID：{D27CDB6E-AE6D-11CF-96B8-444553540000}
相关文件：C:\WINDOWS\SYSTEM\MACROMED\FLASH\Flash.ocx
网页路径：http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
安全等级：安全

55.O16 - 下载的ActiveX插件 - {33564D57-9980-0010-8000-00AA00389B71}，{33564D57-9980-0010-8000-00AA00389B71}，
网页路径：http://download.microsoft.com/download/D/0/D/D0DD87DA-994F-4334-8B55-AF2E4D98ED0C/wmv9dmo.cab
安全等级：安全

56.O16 - 下载的ActiveX插件 - 中国工商银行个人银行，，
CLSID：{8D9E0B29-563C-4226-86C1-5FF2AE77E1D2}
相关文件：C:\WINDOWS\SYSTEM\SubmitControl.dll
网页路径：https://mybank.icbc.com.cn/icbc/perbank/AxSafeControls.cab
安全等级：安全

57.O16 - 下载的ActiveX插件 - 金山在线查毒，金山在线查毒，
CLSID：{C8BD9ACB-F7EC-48E6-BB2F-DAADC6789E9A}
相关文件：C:\WINDOWS\SYSTEM\Kingsoft\OnlineScan\kavclean.ocx
网页路径：http://211.152.52.102/duba/antiscan/update/OCX/KAVClean.CAB
安全等级：安全

58.O27 - 文件执行挂钩 - 网络实名，网络实名，
CLSID：{D157330A-9EF3-49F8-9A67-4141AC41ADD4}
相关文件：C:\WINDOWS\Downloaded Program Files\CnsHook.dll
安全等级：安全

59.O31 - 浏览栏区对象 - 每日提示，每日提示，
CLSID：{4D5C8C25-D075-11d0-B416-00C04FB90376}
相关文件：C:\WINDOWS\SYSTEM\SHDOCVW.DLL
安全等级：安全

60.O31 - 浏览栏区对象 - 历史信息，历史信息，
CLSID：{EFA24E62-B078-11D0-89E4-00C04FC9E26E}
相关文件：C:\WINDOWS\SYSTEM\SHDOCVW.DLL
安全等级：安全

61.O31 - 浏览栏区对象 - 浏览器栏，浏览器栏，
CLSID：{EFA24E64-B078-11D0-89E4-00C04FC9E26E}
相关文件：C:\WINDOWS\SYSTEM\BROWSEUI.DLL
安全等级：安全

62.O31 - 浏览栏区对象 - 搜索区，搜索区，
CLSID：{30D02401-6A81-11D0-8274-00C04FD5AE38}
相关文件：C:\WINDOWS\SYSTEM\BROWSEUI.DLL
安全等级：安全

影子110 - 2005-11-21 23:07:00
引用:
【JOHNli的贴子】各位大虾：



...........................

未知中的4，6，11，14，15好像都有问题~~（不过，你的这个IE修复好像对它们不管~~）
建议你用HijackThis 扫个日志上来看看~~
HijackThis V1.99.1汉化版下载及英文原版下载地址（二楼）
http://forum.ikaka.com/topic.asp?board=67&artid=5188931
甩甩 - 2005-11-22 0:08:00
大哥们帮我看看还有毒没有。

Logfile of HijackThis v1.99.1
Scan saved at 0:06:18, on 2005-11-22
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
D:\RISING\RAV\Ravmond.exe
D:\RISING\RAV\RavStub.exe
d:\rising\rising\rfw\rfwsrv.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\Yahoo!\ASSIST~1\YLive.exe
C:\Program Files\联想\联想标准功能键盘\SkDaemond.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\CNNIC\Cdn\cdnup.exe
C:\Program Files\Common Files\UPDATE\Update.exe
D:\RISING\RAV\RAVTIMER.EXE
D:\RISING\RAV\RAVMON.EXE
D:\Rising\Rising\Rfw\rfwmain.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\AMD\Cool'n'Quiet\GemServ.exe
C:\Program Files\AMD\Cool'n'Quiet\gemback.exe
C:\WINDOWS\system32\nvsvc32.exe
D:\RISING\RAV\CCENTER.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\conime.exe
D:\QQ\QQ.exe
D:\QQ\TIMPlatform.exe
E:\及时雨脱机307私服版\jsy.exe
E:\及时雨脱机307私服版\Mir2Tianji.Dat
C:\Program Files\Internet Explorer\iexplore.exe
D:\RISING\RAV\Rav.exe
F:\下载\Hijackthis\HijackThis.exe

R3 - URLSearchHook: 雅虎助手 - {406F94F0-504F-4a40-8DFD-58B0666ABEBD} - C:\PROGRA~1\Yahoo!\ASSIST~1\Assist\yasbar.dll
O2 - BHO: ThunderIEHelper Class - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:\WINDOWS\system32\xunleibho_v8.dll
O2 - BHO: Tencent Browser Helper - {0C7C23EF-A848-485B-873C-0ED954731014} - C:\Program Files\TENCENT\AddrPlus\IEHelp.dll
O2 - BHO: yPhtb - {33BBE430-0E42-4f12-B075-8D21ACB10DCB} - C:\PROGRA~1\Yahoo!\ASSIST~1\Assist\yphtb.dll
O2 - BHO: CNNIC_IDN - {35980F6E-A137-4E50-953D-813BB8556899} - C:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O2 - BHO: Anti Fish - {38928D50-8A48-44C2-945F-D2F23F771410} - C:\PROGRA~1\Yahoo!\ASSIST~1\Assist\yangling.dll
O2 - BHO: 雅虎助手 - {406F94F0-504F-4a40-8DFD-58B0666ABEBD} - C:\PROGRA~1\Yahoo!\ASSIST~1\Assist\yasbar.dll
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162} - D:\QQ\QQIEHelper.dll
O2 - BHO: YDragSearch - {62EED7C6-9F02-42f9-B634-98E2899E147B} - C:\PROGRA~1\Yahoo!\ASSIST~1\Assist\YDRAGS~1.DLL
O2 - BHO: IE - {D157330A-9EF3-49F8-9A67-4141AC41ADD4} - C:\WINDOWS\DOWNLO~1\CnsHook.dll
O2 - BHO: WMHlprObj Class - {F5824EFB-728A-4726-A5A5-85A68B20EDC3} - C:\PROGRA~1\CNNIC\Cdn\wmhlpr.dll
O3 - Toolbar: 雅虎助手 - {406F94F0-504F-4a40-8DFD-58B0666ABEBD} - C:\PROGRA~1\Yahoo!\ASSIST~1\Assist\yasbar.dll
O4 - HKLM\..\Run: [YLive.exe] C:\PROGRA~1\Yahoo!\ASSIST~1\YLive.exe
O4 - HKLM\..\Run: [联想标准功能键盘 Ver1.0.0.3] C:\Program Files\联想\联想标准功能键盘\SkDaemond.exe
O4 - HKLM\..\Run: [AddrPlus3] RUNDLL32.EXE C:\PROGRA~1\TENCENT\AddrPlus\QAHook1.dll,Rundll32
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [CdnCtr] C:\Program Files\CNNIC\Cdn\cdnup.exe
O4 - HKLM\..\Run: [Update] C:\Program Files\Common Files\UPDATE\Update.exe
O4 - HKLM\..\Run: [RavTimer] D:\RISING\RAV\RAVTIMER.EXE
O4 - HKLM\..\Run: [RavMon] D:\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - HKLM\..\Run: [RfwMain] "D:\Rising\Rising\Rfw\rfwmain.exe" -Startup
O4 - HKLM\..\Run: [Net] C:\WINDOWS\sllserv.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: &使用迅雷下载 - D:\讯雷\geturl.htm
O8 - Extra context menu item: &使用迅雷下载全部链接 - D:\讯雷\getallurl.htm
O8 - Extra context menu item: 上传到QQ网络硬盘 - D:\QQ\AddToNetDisk.htm
O8 - Extra context menu item: 易趣购物 - C:\Program Files\AD4All\link1\ebaylink.htm
O8 - Extra context menu item: 添加到QQ自定义面板 - D:\QQ\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - D:\QQ\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - D:\QQ\SendMMS.htm
O8 - Extra context menu item: 访问通用网址 - C:\Program Files\CNNIC\Cdn\cnnic.htm
O8 - Extra context menu item: 豪杰超级解霸V8实时播放 - C:\Herosoft\HeroV8\MPURLGET.HTM
O8 - Extra context menu item: 雅虎搜索 - res://C:\PROGRA~1\Yahoo!\ASSIST~1\Assist\yasbar.dll/246
O9 - Extra button: 手机短信 - {00000000-0000-0001-0001-596BAEDD1289} - http://sms.3721.com/ie/index.htm?pid=209663_1006 (file missing)
O9 - Extra button: 中文上网 - {35980F6E-A137-4E50-953D-813BB8556899} - C:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O9 - Extra 'Tools' menuitem: 中文上网 - {35980F6E-A137-4E50-953D-813BB8556899} - C:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O9 - Extra button: 豪杰超级解霸V8 - {367E0A21-8601-4986-9C9A-153BF5ACA118} - C:\Herosoft\HeroV8\STHSDVD.EXE
O9 - Extra 'Tools' menuitem: 豪杰超级解霸V8 - {367E0A21-8601-4986-9C9A-153BF5ACA118} - C:\Herosoft\HeroV8\STHSDVD.EXE
O9 - Extra button: Yahoo 1G电邮 - {507F9113-CD77-4866-BA92-0E86DA3D0B97} - http://cn.mail.yahoo.com/promo/rd1 (file missing)
O9 - Extra button: 寻宝乐趣多 - {59BC54A2-56B3-44a0-93E5-432D58746E26} - http://adtaobao.allyes.com/main/adfclick?db=adtaobao&bid=138,140,18&cid=816,8,1&sid=5042&show=ignore&url=?allyesPara=816 (file missing)
O9 - Extra button: 雅虎助手 - {5D73EE86-05F1-49ed-B850-E423120EC338} - http://cn.zs.yahoo.com/?source=Cns (file missing)
O9 - Extra button: 番茄花园 - {6096E38F-5AC1-4391-8EC4-75DFA92FB32F} - http://tomatolei.com (file missing)
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - D:\QQ\QQ.EXE
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - D:\QQ\QQ.EXE
O9 - Extra button: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - D:\QQ\QQIEHelper.dll
O9 - Extra 'Tools' menuitem: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - D:\QQ\QQIEHelper.dll
O9 - Extra button: 情景聊天 - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - http://cn.rd.yahoo.com/home/messenger/bjk/clientbtn/?http://cn.messenger.yahoo.com/ (file missing)
O9 - Extra button: (no name) - {ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} - http://assistant.3721.com/security1.htm?fb=Cns (file missing)
O9 - Extra 'Tools' menuitem: 修复浏览器 - {ECF2E268-F28C-48d2-9AB7-8F69C11CCB71} - http://assistant.3721.com/security1.htm?fb=Cns (file missing)
O9 - Extra button: 易趣购物 - {EE60714F-AC17-427e-861A-FD60CBDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=109 (file missing)
O9 - Extra 'Tools' menuitem: 易趣购物 - {EE60714F-AC17-427e-861A-FD60CBDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=109 (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: (no name) - {FD00D911-7529-4084-9946-A29F1BDF4FE5} - http://assistant.3721.com/clean1.htm?fb=Cns (file missing)
O9 - Extra 'Tools' menuitem: 清理上网记录 - {FD00D911-7529-4084-9946-A29F1BDF4FE5} - http://assistant.3721.com/clean1.htm?fb=Cns (file missing)
O10 - Unknown file in Winsock LSP: c:\windows\system32\cdnns.dll
O11 - Options group: [!CNS]  网络实名
O11 - Options group: [CDNCLIENT]  中文上网
O17 - HKLM\System\CCS\Services\Tcpip\..\{7ECAC62C-1C24-4D44-8A9D-2534ED166AB3}: NameServer = 61.139.2.69 202.98.96.68
O17 - HKLM\System\CCS\Services\Tcpip\..\{D69F6D53-9FD9-45D4-BF03-2C36CB063F89}: NameServer = 61.139.2.69
O18 - Protocol: about - {3050F406-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - Protocol: cdl - {3DD53D40-7B8B-11D0-B013-00AA0059CE02} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: dvd - {12D51199-0DB5-46FE-A120-47A3D7D937CC} - C:\WINDOWS\system32\msvidctl.dll
O18 - Protocol: file - {79EAC9E7-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: ftp - {79EAC9E3-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: gopher - {79EAC9E4-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: http - {79EAC9E2-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: https - {79EAC9E5-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: ipp - (no CLSID) - (no file)
O18 - Protocol: its - {9D148291-B9C8-11D0-A4CC-0000F80149F6} - C:\WINDOWS\system32\itss.dll
O18 - Protocol: javascript - {3050F3B2-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - Protocol: local - {79EAC9E7-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: mailto - {3050F3DA-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - Protocol: mhtml - {05300401-BCBC-11D0-85E3-00C04FD85AB4} - C:\WINDOWS\system32\inetcomm.dll
O18 - Protocol: mk - {79EAC9E6-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: ms-its - {9D148291-B9C8-11D0-A4CC-0000F80149F6} - C:\WINDOWS\system32\itss.dll
O18 - Protocol: msdaipp - (no CLSID) - (no file)
O18 - Protocol: res - {3050F3BC-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - Protocol: sysimage - {76E67A63-06E9-11D2-A840-006008059382} - C:\WINDOWS\system32\mshtml.dll
O18 - Protocol: tv - {CBD30858-AF45-11D2-B6D6-00C04FBBDE6E} - C:\WINDOWS\system32\msvidctl.dll
O18 - Protocol: vbscript - {3050F3B2-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - Protocol: wia - {13F3EA8B-91D7-4F0A-AD76-D2853AC8BECE} - C:\WINDOWS\system32\wiascr.dll
O23 - Service: AMD PowerNow! (tm) Technology Service (GemServ) - Advanced Micro Devices - C:\Program Files\AMD\Cool'n'Quiet\GemServ.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Corporation Limited - d:\rising\rising\rfw\rfwsrv.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - rising - D:\RISING\RAV\CCENTER.EXE
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - D:\RISING\RAV\Ravmond.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe

流星雨217 - 2005-11-22 0:13:00
顶完了再看
12
查看完整版本: 用SSM清除難纏的.dll後門
© 2000 - 2026 Rising Corp. Ltd.