瑞星卡卡安全论坛

[CODE]

2007-04-29,21:47:15

System Repair Engineer 2.4.12.806
Smallfrogs (http://www.KZTechs.com)

Windows XP Professional Service Pack 1 (Build 2600) - 管理权限用户 - 完整功能

以下内容被选中：
    所有的启动项目（包括注册表、启动文件夹、服务等）
    浏览器加载项
    正在运行的进程（包括进程模块信息）
    文件关联
    Winsock 提供者
    Autorun.inf
    HOSTS 文件


启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <ctfmon.exe><C:\WINDOWS\System32\ctfmon.exe>  [(Verified)Microsoft Windows XP Publisher]
    <NvMediaCenter><RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit>  [(Verified)Microsoft Windows XP Publisher]
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <load><>  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <KernelFaultCheck><%systemroot%\system32\dumprep 0 -k>  [N/A]
    <PHIME2002A><; C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName>  [(Verified)Microsoft Windows XP Publisher]
    <PHIME2002ASync><; C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC>  [(Verified)Microsoft Windows XP Publisher]
    <SoundMan><SOUNDMAN.EXE>  [Realtek Semiconductor Corp.]
    <NvCplDaemon><RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup>  [(Verified)Microsoft Windows XP Publisher]
    <Desktop><C:\WINDOWS\System32\rundll32.exe "C:\Program Files\DeskAdTop\Run.dll" ,Rundll>  []
    <nwiz><nwiz.exe /install>  [(Verified)Microsoft Windows Hardware Compatibility Publisher]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe asp.exe>  []
    <Userinit><C:\WINDOWS\System32\UserInit.exe,>  [(Verified)Microsoft Windows XP Publisher]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs>< >  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <UIHost><logonui.exe>  [(Verified)Microsoft Windows XP Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cmdmant]
    <WinlogonNotify: cmdmant><msgcom.dll>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
    <{623D33B3-1E70-4705-88E9-649522AF6268}><>  [N/A]

==================================
启动文件夹
[腾讯QQ]
  <C:\Documents and Settings\x\「开始」菜单\程序\启动\腾讯QQ.lnk --> D:\PROGRA~1\Tencent\QQ\QQ.exe [TENCENT]><N>

==================================
服务
[Human Interface Device Access / HidServ][Stopped/Disabled]
  <C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\hidserv.dll><N/A>
[NVIDIA Display Driver Service / NVSvc][Stopped/Auto Start]
  <C:\WINDOWS\System32\nvsvc32.exe><NVIDIA Corporation>
[Remote Help Session Manager / Rasautol][Stopped/Auto Start]
  <C:\WINDOWS\System32\ntsokele.exe><N/A>
[Remote Procedure Call System(RPCS) / RpcS][Running/Auto Start]
  <C:\WINDOWS\System32\RpcS.exe><Microsoft Corporation>
[Std rpvt Service / rpvt][Running/Auto Start]
  <C:\WINDOWS\System32\rundll32.exe C:\PROGRA~1\jhql\wuav.dll,Service -s><Microsoft Corporation>
[Remote Route Service / Templates][Running/Auto Start]
  <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\System32\gayrj.dll><Microsoft Corporation>
[SysWin32APIService / Win32APIService][Others/Auto Start]
  <C:\Windows\system32\HPVCJ.EXE><N/A>
[WindowsCore2 / WindowsCore2][Stopped/Auto Start]
  <c:\System_Volume_Information\WindowsCore.exe><N/A>
[error monitor / EmonSrv][Running/Auto Start]
  <C:\WINDOWS\System32\lfrmewrk.exe><N/A>

==================================
驱动程序
[Service for WDM 3D Audio Driver / ALCXSENS][Running/Manual Start]
  <system32\drivers\ALCXSENS.SYS><Sensaura Ltd>
[Service for Realtek AC97 Audio (WDM) / ALCXWDM][Running/Manual Start]
  <system32\drivers\ALCXWDM.SYS><Realtek Semiconductor Corp.>
[D-Link DFE-530TX PCI Fast Ethernet Adapter Driver / FETNDIS][Running/Manual Start]
  <System32\DRIVERS\dlkfet5b.sys><D-Link>
[ndcia / ndcia][Running/Auto Start]
  <\??\C:\WINDOWS\System32\drivers\ndcia.sys><Microsoft Corporation>
[Netgroup Packet Filter / NPF][Stopped/Manual Start]
  <System32\DRIVERS\npf.sys><CACE Technologies>
[Direct Parallel Link Driver / Ptilink][Running/Manual Start]
  <System32\DRIVERS\ptilink.sys><Parallel Technologies, Inc.>
[romman / romman][Running/Auto Start]
  <\??\C:\WINDOWS\System32\drivers\romman.sys><Microsoft Corporation>
[Secdrv / Secdrv][Stopped/Manual Start]
  <System32\DRIVERS\secdrv.sys><N/A>
[stdio / stdio][Running/Auto Start]
  <\??\C:\WINDOWS\System32\drivers\stdio.sys><Microsoft Corporation>
[usb8028 / usb8028][Running/System Start]
  <system32\drivers\usb8028.sys><Microsoft Corporation>
[usb8028x / usb8028x][Running/System Start]
  <system32\drivers\usb8028x.sys><Windows System Internal>
[nv / nv][Running/Manual Start]
  <System32\DRIVERS\nv4_mini.sys><NVIDIA Corporation>

==================================
浏览器加载项
[Info cache]
  {385AB8C6-FB22-4D17-8834-064E2BA0A6F0} <C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll, 金泰丰(广州)科技有限公司>
[]
  {81b983d1-dfc3-4487-ae2b-1b294ae19f4f} <C:\WINDOWS\System32\4487ntos.dll, N/A>
[CPPIE Class]
  {C6844939-C324-41E0-84D0-D42F8DA5EBAD} <C:\WINDOWS\System32\hbcmd.dll, TODO: <公司名>>
[]
  {f79dcb2d-5fb3-4880-8b0d-4e03f37a8dbf} <C:\WINDOWS\System32\4880cfsb.dll, N/A>
[dfc3]
  {DFCB34B6-902D-426E-AE2B-1B294AE19F4F} <C:\WINDOWS\System32\4487ntos.dll, N/A>
[上传到QQ网络硬盘]
  <d:\Program Files\Tencent\QQ\AddToNetDisk.htm, N/A>
[添加到QQ自定义面板]
  <d:\Program Files\Tencent\QQ\AddPanel.htm, N/A>
[添加到QQ表情]
  <d:\Program Files\Tencent\QQ\AddEmotion.htm, N/A>
[用QQ彩信发送该图片]
  <d:\Program Files\Tencent\QQ\SendMMS.htm, N/A>

==================================
正在运行的进程
[PID: 556][\SystemRoot\System32\smss.exe]  [Microsoft Corporation, 5.1.2600.1106 (xpsp1.020828-1920)]
[PID: 620][\??\C:\WINDOWS\system32\csrss.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
[PID: 644][\??\C:\WINDOWS\system32\winlogon.exe]  [Microsoft Corporation, 5.1.2600.1106 (xpsp1.020828-1920)]
    [C:\WINDOWS\system32\msgcom.dll]  [N/A, ]
    [C:\WINDOWS\System32\wdmaud.drv]  [Microsoft Corporation, 5.1.2600.0 (XPClient.010817-1148)]
    [C:\WINDOWS\System32\msacm32.drv]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
    [C:\PROGRA~1\jhql\wxdy.dll]  [, 1, 0, 0, 6]
    [C:\PROGRA~1\jhql\bsid.dll]  [ , 1, 0, 0, 6]
[PID: 688][C:\WINDOWS\system32\services.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
[PID: 1400][C:\WINDOWS\Explorer.exe]  [Microsoft Corporation, 6.00.2800.1106 (xpsp1.020828-1920)]
    [C:\WINDOWS\system32\wrfoxd98.dll]  [N/A, ]
    [C:\WINDOWS\system32\fnzib.dll]  [N/A, ]
    [C:\WINDOWS\System32\javascript.dll]  [, 1.1.1.167]
    [C:\Program Files\DeskAdTop\fshook.dll]  [, 1, 0, 0, 1]
    [C:\WINDOWS\System32\wbem\rtretugp.dll]  [Microsoft Corporation, 5.131.2600.2180 (xpsp_sp2_rtm.040803-2158)]
    [C:\WINDOWS\System32\wdmaud.drv]  [Microsoft Corporation, 5.1.2600.0 (XPClient.010817-1148)]
    [C:\WINDOWS\System32\msacm32.drv]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
    [C:\Program Files\WinRAR\rarext.dll]  [N/A, ]
    [C:\PROGRA~1\jhql\wxdy.dll]  [, 1, 0, 0, 6]
    [C:\PROGRA~1\jhql\bsid.dll]  [ , 1, 0, 0, 6]
    [C:\WINDOWS\System32\HelpIE.dll]  [TODO: <公司名>, 1.0.0.1]
    [C:\WINDOWS\system32\mfjxre84.dll]  [, 1, 1, 1, 1006]
    [C:\WINDOWS\System32\hbcmd.dll]  [TODO: <公司名>, 1.0.0.1]
[PID: 1788][C:\WINDOWS\System32\rundll32.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
    [C:\Program Files\DeskAdTop\Run.dll]  [, 1, 0, 0, 1]
    [C:\Program Files\DeskAdTop\fshook.dll]  [, 1, 0, 0, 1]
    [C:\PROGRA~1\jhql\wxdy.dll]  [, 1, 0, 0, 6]
    [C:\PROGRA~1\jhql\bsid.dll]  [ , 1, 0, 0, 6]
    [C:\WINDOWS\system32\mfjxre84.dll]  [, 1, 1, 1, 1006]
[PID: 1804][C:\WINDOWS\System32\ctfmon.exe]  [Microsoft Corporation, 5.1.2600.1106 (xpsp1.020828-1920)]
    [C:\PROGRA~1\jhql\wxdy.dll]  [, 1, 0, 0, 6]
    [C:\PROGRA~1\jhql\bsid.dll]  [ , 1, 0, 0, 6]
[PID: 344][D:\Program Files\Tencent\QQDoctor\QQDoctor.exe]  [TENCENT, 2007, 3, 27, 9]
    [C:\PROGRA~1\jhql\wxdy.dll]  [, 1, 0, 0, 6]
    [C:\PROGRA~1\jhql\bsid.dll]  [ , 1, 0, 0, 6]
    [C:\Program Files\DeskAdTop\fshook.dll]  [, 1, 0, 0, 1]
    [D:\Program Files\Tencent\QQDoctor\TSVulChk.dat]  [Tencent, 2007, 4, 4, 21]
    [D:\Program Files\Tencent\QQDoctor\TSELoder.DAT]  [Tencent, 2006, 11, 29, 8]
    [D:\Program Files\Tencent\QQDoctor\TSEngine.DAT]  [Tencent, 2006, 11, 29, 15]
    [D:\Program Files\Tencent\QQDoctor\TSECD.DAT]  [tencent, 2007, 2, 1, 3]
    [D:\Program Files\Tencent\QQDoctor\TSESC.DAT]  [Tencent, 2007, 3, 14, 1]
    [C:\WINDOWS\system32\mfjxre84.dll]  [, 1, 1, 1, 1006]
[PID: 3184][C:\WINDOWS\System32\MSRundll.exe]  [Microsoft Corporation, 5.1.2600.0 (xpclient.010817-1148)]
    [C:\WINDOWS\System32\bofang.dll]  [  , 1, 0, 0, 3]
    [C:\WINDOWS\system32\mfjxre84.dll]  [, 1, 1, 1, 1006]
    [C:\PROGRA~1\jhql\wxdy.dll]  [, 1, 0, 0, 6]
    [C:\PROGRA~1\jhql\bsid.dll]  [ , 1, 0, 0, 6]
[PID: 136][C:\WINDOWS\System32\conime.exe]  [Microsoft Corporation, 5.1.2600.1106 (xpsp1.020828-1920)]
    [C:\WINDOWS\system32\mfjxre84.dll]  [, 1, 1, 1, 1006]
    [C:\PROGRA~1\jhql\wxdy.dll]  [, 1, 0, 0, 6]
    [C:\PROGRA~1\jhql\bsid.dll]  [ , 1, 0, 0, 6]
[PID: 3892][F:\软件备份\SREng.EXE]  [Smallfrogs Studio, 2.4.12.806]
    [C:\WINDOWS\system32\mfjxre84.dll]  [, 1, 1, 1, 1006]
    [C:\PROGRA~1\jhql\wxdy.dll]  [, 1, 0, 0, 6]
    [C:\PROGRA~1\jhql\bsid.dll]  [ , 1, 0, 0, 6]
    [C:\Program Files\DeskAdTop\fshook.dll]  [, 1, 0, 0, 1]

==================================
文件关联
.TXT  Error. [C:\WINDOWS\notepad.exe %1]
.EXE  OK. ["%1" %*]
.COM  OK. ["%1" %*]
.PIF  OK. ["%1" %*]
.REG  OK. [regedit.exe "%1"]
.BAT  OK. ["%1" %*]
.SCR  OK. ["%1" /S]
.CHM  Error. ["hh.exe" %1]
.HLP  OK. [%SystemRoot%\System32\winhlp32.exe %1]
.INI  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.INF  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.VBS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.JS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.LNK  OK. [{00021401-0000-0000-C000-000000000046}]

==================================
Winsock 提供者
N/A

==================================
Autorun.inf
[C:\]
[AutoRun]
open=rising.exe
shellexecute=rising.exe
shell\Auto\command=rising.exe
[D:\]
[AutoRun]
open=rising.exe
shellexecute=rising.exe
shell\Auto\command=rising.exe
[E:\]
[AutoRun]
open=rising.exe
shellexecute=rising.exe
shell\Auto\command=rising.exe
[F:\]
[autorun]
open=wURNK.exe
shellexecute=wURNK.exe
shell\Auto\command=wURNK.exe
shell=Auto

==================================
HOSTS 文件
127.0.0.1      localhost
222.88.90.176      www.9605899.com
222.88.90.176      hyap98.com
222.88.90.176      www.hyap98.com
222.88.90.176      82087871.com
222.88.90.176      www.82087871.com
222.88.90.176      47555.cn
222.88.90.176      nc.47555.cn
222.88.90.176      cn.47555.cn
222.88.90.176      crsky.47555.cn
222.88.90.176      www.47555.cn

==================================
API HOOK
N/A

==================================
隐藏进程
N/A

==================================


[/CODE]

以下选项如果你知道，就不必修复

打开System Repair Engineer（也就是你的扫描日志软件SREng.exe），点“启动项目，服务，点“Win32服务应用程序”勾选“隐藏微软服务”选中病毒服务Remote Help Session Manager,Remote Procedure Call System(RPCS), SysWin32APIService,WindowsCore2,error monitor，选择“删除服务”点“设置”选择“否”（每一个逗号隔开的就是一个病毒的服务，请逐一删除）

打开System Repair Engineer（也就是你的扫描日志软件SREng.exe），点“启动项目，服务，点“驱动程序”勾选“隐藏以认证的微软服务”选中病毒服务stdio，选择“删除服务”点“设置”选择“否”

请到www.27814939.ys168.com,点“我的软件”下载KillBox.exe
建议下载这几款流氓软件清除工具。

http://www.arswp.com/
Windows清理助手

http://www.tommsoft.com/
恶意软件清理助手

http://www.360safe.com/
360安全卫士

下载后，运行他们让其更新病毒库。
然后
重新启动电脑, 开机检测完后, 按[F8]键(可以一直按到启动菜单出来为止), 选择安全模式进入Windows
双击打开KillBox.exe，分别删除
C:\WINDOWS\System32\RpcS.exe
C:\Windows\system32\HPVCJ.EXE
c:\System_Volume_Information\WindowsCore.exe
C:\WINDOWS\System32\lfrmewrk.exe
C:\WINDOWS\System32\drivers\stdio.sys
C:\WINDOWS\System32\ntsokele.exe
C:\Autorun.inf
d:\Autorun.inf
e:\Autorun.inf
f:\Autorun.inf
C:\rising.exe
d:\rising.exe
e:\rising.exe
f:\rising.exe
（删除时勾选“删除前先结束Explorer.EXE进程”不行再试着勾选"删除DLL文件前反注册此文件"
给菜鸟的东东—KillBox的使用技巧
http://forum.ikaka.com/topic.asp?board=28&artid=8160799

用下载来的三个流氓软件清除工具，逐一清除病毒。

打开System Repair Engineer（也就是你的扫描日志软件SREng.exe），使用“启动项目，注册表”选中要修复的项
Explorer.exe asp.exe
，点“编辑”在“值”里删除 asp.exe

打开System Repair Engineer（也就是你的扫描日志软件SREng.exe），使用“启动项目，注册表”来删除以下选项。
msgcom.dll
完后重启
再扫个日志粘上来。

我无邪大虾，我弄完了，麻烦你在看看

重新启动电脑, 按[F8]键(狂按), 选择安全模式(Safe Mode)进入Windows。）
显示隐藏文件
删除：
[C:\WINDOWS\system32\sens.dIl]
[C:\WINDOWS\system32\wrfoxd98.dll
[C:\WINDOWS\system32\fnzib.dll]
[C:\PROGRA~1\omvq\pnwr.nls]
[C:\WINDOWS\System32\ieagent.exe]

仔细一点
打开System Repair Engineer（也就是你的扫描日志软件SREng.exe），点“启动项目，服务，点“Win32服务应用程序”勾选“隐藏微软服务”选中病毒服务IEAgent Service，选择“删除服务”点“设置”选择“否”

打开System Repair Engineer（也就是你的扫描日志软件SREng.exe），点“启动项目，服务，点“驱动程序”勾选“隐藏以认证的微软服务”选中病毒服务25750，选择“删除服务”点“设置”选择“否”

请到www.27814939.ys168.com,点“我的软件”下载KillBox.exe
重新启动电脑, 开机检测完后, 按[F8]键(可以一直按到启动菜单出来为止), 选择安全模式进入Windows
双击打开KillBox.exe，分别删除
C:\WINDOWS\system32\sens.dIl
C:\WINDOWS\system32\wrfoxd98.dll
C:\WINDOWS\system32\fnzib.dll
C:\PROGRA~1\omvq\pnwr.nls
C:\WINDOWS\System32\ieagent.exe
C:\PROGRA~1\omvq\pnwr.dll
C:\PROGRA~1\omvq手动删除这个目录。
（删除时勾选“删除前先结束Explorer.EXE进程”不行再试着勾选"删除DLL文件前反注册此文件"
给菜鸟的东东—KillBox的使用技巧
http://forum.ikaka.com/topic.asp?board=28&artid=8160799

打开System Repair Engineer（也就是你的扫描日志软件SREng.exe），使用“启动项目，注册表”来删除以下选项。
C:\PROGRA~1\omvq\pnwr.dll
sens.dIl

重启后，再扫个日志看看。