瑞星卡卡安全论坛

昨天晚上,我的朋友电脑中招,我看的眼睛都绿了,硬没看出问题,这个病毒KAV报WORM.WIN32.VIKING.LM,开始我看了以下,以为是CIKING,后来我傻了,根本没VIKING的症状,他感染速度很慢,把.EXE,变成.EXE.EXE或再加.EXE  和以前的VIKING症状一样,但专杀无用.和BAHE说的那个在.COM文件夹下放LSASS.EXE和SMSS.EXE那个病毒相似,但这个又没有放.所一我问一下,这样的病毒怎么查杀.下面是日志:

启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <ctfmon.exe><C:\WINDOWS\system32\ctfmon.exe>  [(Verified)Microsoft Windows Publisher]
    <Yahoo! Pager><"C:\Program Files\Yahoo!\Messenger\YahooMessenger.exe" -quiet>  [(Verified)Yahoo! Inc.]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <IMJPMIG8.1><; "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32>  [(Verified)Microsoft Windows Publisher]
    <PHIME2002ASync><C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC>  [(Verified)Microsoft Windows Publisher]
    <PHIME2002A><C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName>  [(Verified)Microsoft Windows Publisher]
    <CoolSwitch><C:\WINDOWS\system32\taskswitch.exe>  []
    <Gtwatch><C:\WINDOWS\gtwatch.exe>  []
    <kav><"C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe">  [Kaspersky Lab]
    <KernelFaultCheck><%systemroot%\system32\dumprep 0 -k>  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe>  [(Verified)Microsoft Windows Publisher]
    <Userinit><C:\WINDOWS\system32\userinit.exe,>  [(Verified)Microsoft Windows Publisher]
    <UIHost><logonui.exe>  [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\klogon]
    <WinlogonNotify: klogon><C:\WINDOWS\system32\klogon.dll>  [Kaspersky Lab]

==================================
启动文件夹
[Adobe Gamma Loader]
  <C:\Documents and Settings\All Users\「开始」菜单\程序\启动\Adobe Gamma Loader.lnk --> C:\PROGRA~1\COMMON~1\Adobe\CALIBR~1\ADOBEG~1.EXE [Adobe Systems, Inc.]><H>
[Watch]
  <C:\Documents and Settings\All Users\「开始」菜单\程序\启动\Watch.lnk --> C:\WINDOWS\twain_32\L3U16\WATCH.exe [Common Group]><N>
[腾讯QQ]
  <C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\腾讯QQ.lnk --> C:\PROGRA~1\Tencent\QQ\QQ.exe [TENCENT]><N>

==================================
服务
[卡巴斯基反病毒6.0 / AVP][Running/Auto Start]
  <"C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r><Kaspersky Lab>
[Human Interface Device Access / HidServ][Stopped/Disabled]
  <C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\hidserv.dll><N/A>

==================================
驱动程序
[ecpar / ecpar][Running/Auto Start]
  <\??\C:\WINDOWS\system32\Drivers\ecpar.sys><Microsoft Corporation>
[FzUsbp.Sys Founder GDI Printer. USB Class / FzUsbp][Stopped/Auto Start]
  <System32\Drivers\FzUsbp.sys><Fuonder>
[%GrandTechICNameNT% / GT681x][Stopped/Manual Start]
  <system32\DRIVERS\GT681x.SYS><>
[kl1 / kl1][Running/Boot Start]
  <\SystemRoot\system32\drivers\kl1.sys><Kaspersky Lab>
[klif / klif][Running/System Start]
  <\??\C:\WINDOWS\system32\drivers\klif.sys><Kaspersky Lab>
[Direct Parallel Link Driver / Ptilink][Running/Manual Start]
  <system32\DRIVERS\ptilink.sys><Parallel Technologies, Inc.>
[Realtek RTL8139(A/B/C)-based PCI Fast Ethernet Adapter NT Driver / rtl8139][Running/Manual Start]
  <system32\DRIVERS\RTL8139.SYS><Realtek Semiconductor Corporation>
[Secdrv / Secdrv][Stopped/Manual Start]
  <system32\DRIVERS\secdrv.sys><N/A>

浏览器加载项
[NavigatMon Class]
  {B69F34DD-F0F9-42DC-9EDD-957187DA688D} <D:\360safe\safemon\safemon.dll, >
[Web反病毒保护]
  {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} <C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll, Kaspersky Lab>
[番茄花园]
  {6096E38F-5AC1-4391-8EC4-75DFA92FB32F} <http://tomatolei.com, N/A>
[HtmlDlgSafeHelper Class]
  {3050F819-98B5-11CF-BB82-00AA00BDCE0B} <C:\WINDOWS\system32\mshtmled.dll, Microsoft Corporation>
[Microsoft Web 浏览器]
  {8856F961-340A-11D0-A96B-00C04FD705A2} <C:\WINDOWS\system32\shdocvw.dll, Microsoft Corporation>
[ToolboxActivex Control]
  {A689E4A5-55EC-45DB-B8A4-36F534A9DCF6} <C:\PROGRA~1\TOOLBO~1\TOOLBO~2.OCX, 广州千钧网络有限公司(www.56.com)>
[NavigatMon Class]
  {B69F34DD-F0F9-42DC-9EDD-957187DA688D} <D:\360safe\safemon\safemon.dll, >
[AUDIO__MP3 Moniker Class]
  {CD3AFA76-B84F-48F0-9393-7EDC34128127} <C:\WINDOWS\system32\wmp.dll, Microsoft Corporation>
[Shockwave Flash Object]
  {D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINDOWS\system32\Macromed\Flash\Flash9b.ocx, Adobe Systems, Inc.>
[上传到QQ网络硬盘]
  <C:\Program Files\Tencent\QQ\AddToNetDisk.htm, N/A>
[添加到QQ自定义面板]
  <C:\Program Files\Tencent\QQ\AddPanel.htm, N/A>
[添加到QQ表情]
  <C:\Program Files\Tencent\QQ\AddEmotion.htm, N/A>
[用QQ彩信发送该图片]
  <C:\Program Files\Tencent\QQ\SendMMS.htm, N/A>

==================================
正在运行的进程
[PID: 504][\SystemRoot\System32\smss.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 564][\??\C:\WINDOWS\system32\csrss.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 404][C:\WINDOWS\Explorer.EXE]  [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
    [C:\Program Files\Unlocker\UnlockerCOM.dll]  [N/A, ]
    [D:\360safe\safemon\safemon.dll]  [, 1, 0, 0, 1002]
    [C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\shellex.dll]  [Kaspersky Lab, 6.0.0.299]
    [D:\winrar\rarext.dll]  [N/A, ]
[PID: 820][C:\WINDOWS\system32\taskswitch.exe]  [N/A, ]
[PID: 548][C:\WINDOWS\gtwatch.exe]  [N/A, ]
[PID: 984][C:\WINDOWS\system32\ctfmon.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[PID: 1948][C:\WINDOWS\twain_32\L3U16\WATCH.exe]  [Common Group, 2, 3, 8, 0]
    [C:\WINDOWS\twain_32\L3U16\A32spi.DLL]  [SW, 2, 0, 4, 5]
[PID: 1568][D:\sreng2\sreng2\SREng.EXE]  [Smallfrogs Studio, 2.4.12.806]

==================================
文件关联
.TXT  OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.EXE  OK. ["%1" %*]
.COM  OK. ["%1" %*]
.PIF  OK. ["%1" %*]
.REG  OK. [regedit.exe "%1"]
.BAT  OK. ["%1" %*]
.SCR  OK. ["%1" /S]
.CHM  OK. ["C:\WINDOWS\hh.exe" %1]
.HLP  OK. [%SystemRoot%\System32\winhlp32.exe %1]
.INI  OK. [%SystemRoot%\system32\NOTEPAD.EXE %1]
.INF  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.VBS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.JS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.LNK  OK. [{00021401-0000-0000-C000-000000000046}]

==================================
Winsock 提供者
N/A

==================================
Autorun.inf
N/A

==================================
HOSTS 文件
127.0.0.1      localhost

==================================
API HOOK
RVA  错误： LoadLibraryA (危险等级: 一般,  被下面模块所HOOK: Dest Addr: 0xF7F93B25)
RVA  错误： LoadLibraryExA (危险等级: 一般,  被下面模块所HOOK: Dest Addr: 0xF7F93D67)
RVA  错误： LoadLibraryExW (危险等级: 一般,  被下面模块所HOOK: Dest Addr: 0xF7F93F0B)
RVA  错误： LoadLibraryW (危险等级: 一般,  被下面模块所HOOK: Dest Addr: 0xF7F93C49)
RVA  错误： GetProcAddress (危险等级: 高,  被下面模块所HOOK: Dest Addr: 0xF7F93E8F)

==================================
隐藏进程
N/A

==================================


[/CODE]

已删除: 广告程序 not-a-virus:AdWare.Win32.BHO.v文件: c:\program files\thunder network\thunder\comdlls\xunleibho_007.dll

莫非是卡巴误报？

晕,老大,发到我的贴子上了,郁闷中~~~等待中~~~

<CoolSwitch><C:\WINDOWS\system32\taskswitch.exe> []
<Gtwatch><C:\WINDOWS\gtwatch.exe> []
什么东西

扫描仪

那就没问题了

问题大了啊,它感染.EXE啊,拿它没一点办法,病毒主体也找不到,我还郁闷呢

taskswitch.exe是微软Microsoft进程任务切换工具相关程序。用于在按Alt+TAB组合键时切换程序。 出品者: Microsoft Corp. 属于: Windows 系统进程: 是 后台程序: 是 使用网络: 否 硬件相关: 否 常见错误: 未知N/A 内存使用: 未知N/A...
可是我机器上怎么没有这个文件啊。。。。。。
你的日志也这么短。。。

http://forum.ikaka.com/topic.asp?board=28&artid=8252603
我的情况像这样的,但是又不是这个毒,像变种~~~可我找布道主体文件,不象BAOHE有SSM和虚拟

卡巴没提示异常程序的运行吗？

在卡巴的监控里认真找，已被放行的东西里找。

既然能慢慢的还在感染，就肯定可以找到运行的东西的。

那你用冰刃的重启并监视试试看。那个功能我没用过，你尝试下，说不定会有新发现！
此外
[ecpar / ecpar][Running/Auto Start]
<\??\C:\WINDOWS\system32\Drivers\ecpar.sys><Microsoft Corporation>
这个驱动不认识，先用SREng把他关了（别删）

【回复“yqlikaka”的帖子】
C:\WINDOWS\twain_32\L3U16\WATCH.exe——————这是啥？

众人拾柴火焰高...学习~学习~

BAOHE说的哪个是扫描仪

那我先慢慢找下,它感染的速度异常的慢~~~都24小时了,都还没感染完2个盘

【回复“yqlikaka”的帖子】
这样吧：
你找一个被感染的文件（.exe.exe结尾的），打包，加密（密码用：123），发到：baohelin@yahoo.com.cn
帮你看看。

谢 了,马上给你发下

发了

我一直在线等,要不等它感染到C盘就玩完了

o(∩_∩)o...哈哈……精神可嘉。。

引用:

【yqlikaka的贴子】发了 ………………

威金变种。瑞星能杀。
一会儿，看看它的行为。

附件: 1558472007519135526.jpg

感染文件的速度极快，但是可以被Tiny相应规则阻止。
病毒进程可以用SSM等工具简单结束。

附件: 1558472007519140000.jpg

未在Tiny规则保护范围内的文件被成功感染，被感染的文件增大60K。

附件: 1558472007519140412.jpg

不知在感染的过程里，进程里有啥反应没？？？？？？

如果看不出，那么在感染的过程中扫日志，看不出异常吗？

或者卡巴的监控难道一点提示都没有？？？？？

瑞星昨天的病毒库即可清除被感染文件中的病毒代码。

附件: 1558472007519141049.jpg

运行楼主的样本（一个被感染的.exe.exe文件），未监测到任何注册表改动。
想来也是：没必要再加什么注册表项了。程序文件夹中的.exe（包括杀软等安全软件）都被感染了，病毒自身的启动项就没什么用了。不加自己的启动项，反而有利于病毒存活。

实在感谢猫叔,那么,他没有病毒主体?怎么感染的毒呢?只要用RS全部清除就OK?NND KAV部分可以清除,有的清不了,汗~~~~