瑞星卡卡安全论坛

我用瑞星2006最新版杀毒，杀到Trojan.RootKit.Vanti.bm了可是我重启机子病毒就又来了！我用HijackThis扫描了一下请大家帮我分析一下谢谢！

Logfile of HijackThis v1.99.1
Scan saved at 10:03:20, on 2006-1-18
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
D:\RISING\RAV\CCENTER.EXE
d:\rising\rfw\rfwsrv.exe
d:\rising\Rav\Ravmond.exe
C:\WINDOWS\system32\spoolsv.exe
d:\rising\Rav\RavStub.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
d:\rising\rfw\RfwMain.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
D:\rising\Rav\RavTask.exe
C:\WINDOWS\VM_STI.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\System32\alg.exe
F:\dzh\internet\hypwise.exe
D:\Tencent\qq\QQ.exe
D:\Tencent\qq\TIMPlatform.exe
D:\rising\Rav\Rav.exe
E:\浩方对战平台\cgamop.exe
D:\Maxthon\Maxthon.exe
D:\HijackThis\HijackThis.exe

O2 - BHO: Wbho Class - {40E3A34A-3282-41F8-AD2C-051BAB96AD4A} - C:\WINDOWS\system32\Usign.dll (file missing)
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - D:\FLASHGET\jccatch.dll
O3 - Toolbar: 卡卡上网安全助手 - {DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} - C:\WINDOWS\system32\KakaTool.dll
O4 - HKLM\..\Run: [RavTask] "d:\rising\Rav\RavTask.exe" -system
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [BigDogPath] C:\WINDOWS\VM_STI.EXE VIMICRO USB PC Camera
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: 上传到QQ网络硬盘 - D:\Tencent\qq\AddToNetDisk.htm
O8 - Extra context menu item: 使用网际快车下载 - D:\FLASHGET\jc_link.htm
O8 - Extra context menu item: 使用网际快车下载全部链接 - D:\FLASHGET\jc_all.htm
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://D:\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: 添加到QQ自定义面板 - D:\Tencent\qq\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - D:\Tencent\qq\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - D:\Tencent\qq\SendMMS.htm
O8 - Extra context menu item: 用比特精灵下载(&B) - D:\BitSpirit\bsurl.htm
O9 - Extra button: 浩方对战平台 - {0A155D3C-68E2-4215-A47A-E800A446447A} - E:\浩方对战平台\GameClient.exe
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\FLASHGET\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\FLASHGET\flashget.exe
O16 - DPF: {73E4740C-08EB-4133-896B-8D0A7C9EE3CD} (AxInputControl Class) - https://mybank.icbc.com.cn/icbc/perbank/AxSafeControls.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{AA2561B5-38F6-4CFD-887E-78DA8F354968}: NameServer = 61.232.202.158 61.134.1.4
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Co., Ltd. - d:\rising\rfw\rfwsrv.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - D:\RISING\RAV\CCENTER.EXE
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - d:\rising\Rav\Ravmond.exe
O23 - Service: Network Management Center Task (W32Tasks) - Unknown owner - C:\WINDOWS\system32\taskman32.exe

O23 - Service: Network Management Center Task (W32Tasks) - Unknown owner - C:\WINDOWS\system32\taskman32.exe
删服务项

我试试看

O23 - Service: Network Management Center Task (W32Tasks) - Unknown owner - C:\WINDOWS\system32\taskman32.exe
无法删除呀，删不掉怎么办呀？

大哥，大姐，大爷，大娘们！！救救我呀！！

O23 - Service: Network Management Center Task (W32Tasks) - Unknown owner - C:\WINDOWS\system32\taskman32.exe

先修复
再重启
删除试试

O23 - Service: Network Management Center Task (W32Tasks) - Unknown owner - C:\WINDOWS\system32\taskman32.exe
无法修复！呀 点修复进行修复，在点扫描好有这一项
每次重启感染的文件都不一样，我快晕死了！！

发个图片 大家帮我分析一下

附件: 6316502006118140959.JPG

用Unlocker工具删除试试
工具下载、使用参考http://forum.ikaka.com/topic.asp?board=28&artid=7471002

关闭XP系统还原再杀

附件: 5887812006118141232.JPG

怎么删呢？我现在找不到C:\WINDOWS\system32\taskman32.exe这个文件呀。隐藏文件里也找了呀

我的系统还原一直是关的

引用:

【我是夏禹的贴子】怎么删呢？我现在找不到C:\WINDOWS\system32\taskman32.exe这个文件呀。隐藏文件里也找了呀 ...........................

修改一下文件夹选项试试

附件: 5887812006118142041.JPG

在付上进程的图

附件: 6316502006118142301.JPG

【回复“我是夏禹”的帖子】
请将C:\WINDOWS\system32\taskman32.exe用 WINRAR打包，发到我的邮箱：baohelin@yahoo.com.cn

引用:

【baohe的贴子】【回复“我是夏禹”的帖子】 请将C:\WINDOWS\system32\taskman32.exe用 WINRAR打包，发到我的邮箱：baohelin@yahoo.com.cn ...........................

老大注意看贴，现在是他找不到那个文件

感谢BlackStone 大哥问题解决

引用:

【BlackStone的贴子】 老大注意看贴，现在是他找不到那个文件 ...........................

在SSM“规则”面板中自己加一条规则，禁止C:\WINDOWS\system32\taskman32.exe启动运行。
然后，按下图设置SSM，并将SSM设置成启动加载。
最后，重启系统。
木马运行不了，自然也就好找了。
这个办法并不复杂，就是没什么人用。遗憾。

附件: 1558472006118144939.JPG

引用:

【baohe的贴子】在SSM“规则”面板中自己加一条规则，禁止C:\WINDOWS\system32\taskman32.exe启动运行。 然后，按下图设置SSM，并将SSM设置成启动加载。 最后，重启系统。 木马运行不了，自然也就好找了。 这个办法并不复杂，就是没什么人用。遗憾。 ...........................

其实没那么复杂，应该是文件夹选项的问题，估计被楼主删掉了

我一样