瑞星卡卡安全论坛

都说我的日志里没有发现灰鸽子，但每次查毒，瑞星总说发现病毒Backdoor.Gpigeon.vbq，清除成功，这到底怎么回事啊
Logfile of HijackThis v1.99.1
Scan saved at 12:40:27, on 2006-2-6
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
E:\瑞星\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
E:\瑞星\Rising\Rav\Ravmond.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
E:\瑞星\Rising\Rav\RavStub.exe
D:\一些软件\daemon.exe
C:\Program Files\Antiy Labs\Alive\AliveCenter.exe
E:\瑞星\Rising\Rav\RavTask.exe
E:\瑞星\Rising\Rav\Ravmon.exe
C:\WINDOWS\system32\Microsoft\PHSvc.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
E:\QQ\TIMPlatform.exe
E:\瑞星\Rising\Rav\Rav.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Program Files\Internet Explorer\iexplore.exe
E:\杀毒软件\hijackthis\248783200522382732\HijackThis.exe

O2 - BHO: CFilter Object - {2A7B720A-7A28-4e99-80A0-2DF985EC93D0} - C:\WINDOWS\system32\font.dll
O2 - BHO: CNNIC_IDN - {35980F6E-A137-4E50-953D-813BB8556899} - C:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O2 - BHO: Deliverer Class - {3E290290-1728-4C1E-863A-AA12526333F6} - C:\Program Files\CNet\ADDeliverer\ADDeliverer.dll
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162} - E:\QQ\QQIEHelper.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - D:\flashget\jccatch.dll
O2 - BHO: (no name) - {A9930D97-9CF0-42A0-A10D-4F28836579D5} - D:\PROGRA~1\KuGoo\KUGOO3~1.OCX
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\tbhelper.dll
O3 - Toolbar: 金山快译(&K) - {6C3797D2-3FEF-4cd4-B654-D3AE55B4128C} - E:\金山快译2005\IEBand.dll
O3 - Toolbar: 卡卡安全助手 - {DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} - C:\WINDOWS\system32\kakatool.dll
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [mshtmled] mshtmled_edit5089.exe
O4 - HKLM\..\Run: [Javapackage] javabat.exe /start
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [DAEMON Tools-2052] "D:\一些软件\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [RavTask] "E:\瑞星\Rising\Rav\RavTask.exe" -system
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: 腾讯QQ.lnk = E:\QQ\QQ.exe
O4 - Global Startup: 桌面传媒.lnk = ?
O8 - Extra context menu item: 上传到QQ网络硬盘 - E:\QQ\AddToNetDisk.htm
O8 - Extra context menu item: 使用KuGoo3下载(&K) - D:\PROGRA~1\KUGOO\KuGoo3DownX.htm
O8 - Extra context menu item: 使用网际快车下载 - D:\flashget\jc_link.htm
O8 - Extra context menu item: 使用网际快车下载全部链接 - D:\flashget\jc_all.htm
O8 - Extra context menu item: 添加到QQ自定义面板 - E:\QQ\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - E:\QQ\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - E:\QQ\SendMMS.htm
O9 - Extra button: 浩方对战平台 - {0A155D3C-68E2-4215-A47A-E800A446447A} - D:\浩方对战平台\GameClient.exe
O9 - Extra button: 中文上网 - {35980F6E-A137-4E50-953D-813BB8556899} - C:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O9 - Extra 'Tools' menuitem: 中文上网 - {35980F6E-A137-4E50-953D-813BB8556899} - C:\PROGRA~1\CNNIC\Cdn\cdniehlp.dll
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - E:\QQ\QQ.EXE
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - E:\QQ\QQ.EXE
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\flashget\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - D:\flashget\flashget.exe
O9 - Extra button: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - E:\QQ\QQIEHelper.dll
O9 - Extra 'Tools' menuitem: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - E:\QQ\QQIEHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\WINDOWS\System32\shdocvw.dll
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\WINDOWS\System32\shdocvw.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\cdnns.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\hbmter.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\hbmter.dll
O11 - Options group: [CDNCLIENT]  中文上网
O14 - IERESET.INF: START_PAGE_URL=http://www.legend.com
O16 - DPF: _{B38870E4-7ECB-40DA-8C6A-595F0A5519FF} - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: _{E4E2F180-CB8B-4DE9-ACBB-DA745D3BA153} - http://download.rising.com.cn/register/pcver/autoupgradepad/Ver2005/OL2005.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1122282620468
O23 - Service: Antiy live update (Alive Auto-Update Service) - Unknown owner - C:\Program Files\Antiy Labs\Alive\AliveCenter.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Network Location Manager (Nlm) - Unknown owner - C:\Program Files\NetMeeting\NetMeeting.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - E:\瑞星\Rising\Rav\CCenter.exe
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - E:\瑞星\Rising\Rav\Ravmond.exe
O23 - Service: Remote Administrator Service (r_server) - Realtek Semiconductor Corporation - (no file)
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe

日志中并没有灰鸽子

是否安装了街头篮球这个游戏？

没有啊

Remote Administrator Service (r_server)
这个radmin远程控制软件的服务是你自己装的还是别人装的？
瑞星杀鸽子常会出现这种情况。用icesworld再检查一下有没有rootkit存在。鸽子有的有隐身插件带rootkit隐藏功能。

不言放弃，就是你告诉我没灰鸽子，今天开机一查，又有了，并说清除成功

O2 - BHO: CFilter Object - {2A7B720A-7A28-4e99-80A0-2DF985EC93D0} - C:\WINDOWS\system32\font.dll

ranmin不知道是什么东西，自己应该没有主动去装过，icersworld在哪里有下？谢谢

是啊~~!我也是这种情况啊~~~!他妈的瑞星~~有个屁用啊~~~怎么杀毒也没有用~~一开机又有啦~~!

没有杀软可以直接彻底的杀除鸽子。

现在连灰鸽子的服务项也找不到，手工也没办法进行啊

【回复“cherry36”的帖子】
杀软监控的提示是什么？
病毒路径？

提示清除成功
路径 C:\Program Files\Internet Explorer\ixplorer.exe

修复
O2 - BHO: CFilter Object - {2A7B720A-7A28-4e99-80A0-2DF985EC93D0} - C:\WINDOWS\system32\font.dll
O2 - BHO: Deliverer Class - {3E290290-1728-4C1E-863A-AA12526333F6} - C:\Program Files\CNet\ADDeliverer\ADDeliverer.dll
O2 - BHO: HBObject Class - {AE22AFE5-1EF4-4D25-9E23-D2825FB17DA1} - C:\PROGRA~1\HBClient\tbhelper.dll
O4 - HKLM\..\Run: [mshtmled] mshtmled_edit5089.exe
O4 - HKLM\..\Run: [Javapackage] javabat.exe /start
O4 - Global Startup: 桌面传媒.lnk = ?
O23 - Service: Network Location Manager (Nlm) - Unknown owner - C:\Program Files\NetMeeting\NetMeeting.exe


下载:http://www.cexx.org/lspfix.exe
修复c:\windows\system32\hbmter.dll
修复方法参考图片
注意这次应该选中hbmter.dll

卸载
C:\Program Files\CNet
C:\Program Files\HBClient
C:\Program Files\Desktop media

删除
C:\Program Files\CNet
C:\Program Files\HBClient
C:\Program Files\Desktop media
C:\WINDOWS\system32\font.dll
mshtmled_edit5089.exe
javabat.exe
C:\Program Files\NetMeeting\NetMeeting.exe


附件: 364052200626133727.JPG

谢谢，我去试下

打开LSP-FIX后，没有WS2-64.DLL 这一项，我里面有的是：
file                    description
mswsock.dll           
winrnr.dll
nwprovau.dll
cdnss.dll
hbmter.dll            [protocol handler)
rsvpsp.dll            [protocol handler)
此外无法删除C:\Program Files\CNet
C:\Program Files\HBClient（在安全模式下），C:\Program Files\NetMeeting\NetMeeting.exe
无法找到mshtmled_edit5089.exe

引用:

【cherry36的贴子】打开LSP-FIX后，没有WS2-64.DLL 这一项，我里面有的是： file                    description mswsock.dll            winrnr.dll nwprovau.dll cdnss.dll hbmter.dll            [protocol handler) rsvpsp.dll            [protocol handler) 此外无法删除C:\Program Files\CNet C:\Program Files\HBClient（在安全模式下），C:\Program Files\NetMeeting\NetMeeting.exe 无法找到mshtmled_edit5089.exe ...........................

晕死
好好参考我的贴子



附件: 364052200626150819.JPG

读了你那么多的文章，显示所有文件夹我总该知道的吧
我确实没有WS2-64.DLL 这一项
确实找不到mshtmled_edit5089.exe
冒昧的问一下，是不是你文件名写错了

老大，看到了，要我选中是hbmter.dll，实在是不好意思，这样就可以了吗，有些文件夹无法删除啊C:\Program Files\CNet
C:\Program Files\HBClient

引用:

【cherry36的贴子】老大，看到了，要我选中是hbmter.dll，实在是不好意思，这样就可以了吗，有些文件夹无法删除啊C:\Program Files\CNet C:\Program Files\HBClient ...........................

呵呵
你终于看明白了

C:\Program Files\CNet
C:\Program Files\HBClient
若有卸载程序的话
就先卸载
再删除

无卸载程序，里面都是些.dll文件，删除是又说那一套：某程序在使用他啊（安全模式同样如此，奇怪）

HBCLIENG 文件夹中，只能删一个，另一个叫tbhelper.dll，无法删除，netmeeting.exe也无法删

【回复“cherry36”的帖子】
添加删除程序中是否有卸载程序？

再参考下：
运行“regedit”，
选择“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall”Uninstall文件夹中有用户安装的所有32位应用程序，从中选择要删除的应用程序的名字，按下Del键，单击“确认”即可。同样，如果您要清除“添加/删除程序”中的垃圾也可采用这种方法

desktop media 有卸载程序，netmeeting 没有。有个情况，当我双击netmeeting.exe 时说无法打开，因为另一个程序正在使用他

刚刚重启后，又杀了一次毒，非常遗憾的发现那个病毒还在，又是清除成功.....

垃圾瑞星~~!没有用的~~!!!

查杀后在注册表中删除它

好烦啊~~!还是不能清除啊~~~!!