瑞星卡卡安全论坛

==================================
文件关联
.TXT  Error. [C:\WINDOWS\notepad.exe %1]
.EXE  OK. ["%1" %*]
.COM  OK. ["%1" %*]
.PIF  OK. ["%1" %*]
.REG  OK. [regedit.exe "%1"]
.BAT  OK. ["%1" %*]
.SCR  OK. ["%1" /S]
.CHM  Error. ["hh.exe" %1]
.HLP  OK. [%SystemRoot%\System32\winhlp32.exe %1]
.INI  Error. [C:\WINDOWS\System32\NOTEPAD.EXE %1]
.INF  OK. [%SystemRoot%\System32\NOTEPAD.EXE %1]
.VBS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.JS  OK. [%SystemRoot%\System32\WScript.exe "%1" %*]
.LNK  OK. [{00021401-0000-0000-C000-000000000046}]

==================================
Winsock 提供者
N/A

==================================
Autorun.inf
N/A

==================================
HOSTS 文件
127.0.0.1      localhost

==================================
进程特权扫描
特殊特权被允许： SeLoadDriverPrivilege [PID = 1724, C:\PROGRAM FILES\RISING\RFW\RFWMAIN.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 1648, C:\PROGRAM FILES\RISING\RAV\RAVTASK.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 1160, C:\PROGRAM FILES\RISING\RAV\RAVMON.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 1716, C:\PROGRAM FILES\95599 CERTIFICATE TOOLS\CIDC\REGCERTTOOL.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 2156, C:\PROGRAM FILES\MESSENGER\MSMSGS.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 2384, E:\聊天工具\QQ\QQ.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 2504, E:\聊天工具\QQ\TIMPLATFORM.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 2100, E:\聊天工具\QQ\QQ.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 3772, E:\网络工具\TT\TTRAVELER.EXE]

==================================
API HOOK
N/A

==================================
隐藏进程
N/A

==================================


[/CODE]

终于发完了.看看怎么回事呀,
扫描时发现了两个病毒,
我把文件给删除了

试试吧：
这里下载冰刃（1.2版本）：http://forum.ikaka.com/topic.asp?board=67&artid=8283060
然后断网，关闭一切能关闭的东西，包括防火墙，杀软，网页，QQ，已断网了，所有加入内存的软件，都尽量退出。

尽量进安全模式下：

用扫日志的SRENG工具删除下面注册表项

启动项目
注册表
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{11716107-A10D-11cf-64CD-11115FE1CF41}]
<N/A><C:\WINDOWS\system32\nwizzhuxians.exe> []

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{63202121-F04D-11cf-64CD-33FF5FE1CF20}]
<N/A><C:\WINDOWS\system32\Ravasktao.exe> []

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{6A202101-F04D-11cf-64CD-31FF5FE1CF20}]
<N/A><C:\WINDOWS\system32\nwiztlbu.exe> []
——————————————————————————————————————————————————————————————
用扫日志的SRENG工具将下面的各项启动类型改为“Disabled”
驱动程序
[acpidisk / acpidisk][Running/Auto Start]
<\??\C:\WINDOWS\system32\drivers\acpidisk.sys><N/A>
——————————————————————————————————————————————————————————
用冰刃强行删除下面文件
C:\WINDOWS\system32\nwizzhuxians.exe
C:\WINDOWS\system32\Ravasktao.exe
C:\WINDOWS\system32\nwiztlbu.exe
C:\WINDOWS\system32\winlib .dll

这一个文件，你自己得认真看看创建时间是否和winlib .dll一样，如果一样，也删除吧，（或者暂时改个名）
C:\WINDOWS\system32\msplrct.dll
————————————————————————————————————————————
这个不明，你自己看吧，如果愿意，也可以用扫日志的SRENG工具将下面的各项启动类型改为“Disabled”
驱动程序
[mxdispdr / mxdispdr][Running/Auto Start]
<\??\C:\WINDOWS\system32\drivers\mxdispdr.sys><N/A>
——————————————————————————————————————————————————————
下面的就得自己看看啦，没啥用的都用扫日志的SRENG工具删除吧。

浏览器加载项
[Info cache]
{385AB8C6-FB22-4D17-8834-064E2BA0A6F0} <C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll, 金泰丰(广州)科技有限公司>
[MMServer Control]
{057E566C-74EE-495E-81D9-7A17AA835070} <C:\WINDOWS\DOWNLO~1\MMServer.ocx, MNETMEDIA>
[SkyCom Control]
{240F0899-15BB-49AE-B820-62CEB9116C0F} <C:\WINDOWS\DOWNLO~1\SkyCom.ocx, Skylove Co., LTD>
[EditCtrl Class]
{488A4255-3236-44B3-8F27-FA1AECAA8844} <C:\WINDOWS\system32\aliedit\aliedit.dll, >
[MaxHelper Control]
{882A7CC6-0163-4BC1-8BC1-505E36C9FFA2} <C:\WINDOWS\DOWNLO~1\MAXHEL~1.OCX, >
[IssacWebSE Class]
{A0E7D0C1-9854-497E-8645-38C19AA00724} <C:\WINDOWS\Downloaded Program Files\IssacWebSE.dll, Penta Security Systems Inc.>
[NAgeLauncher Control]
{F152A7A9-E9E4-42B1-A597-BEC20D4EB6A7} <C:\WINDOWS\DOWNLO~1\NAGELA~1.OCX, BETA>
[CEnroll Class]
{127698E4-E730-4E5C-A2B1-21490A70C8A1} <C:\WINDOWS\system32\xenroll.dll, Microsoft Corporation>
[ctl4RA Class]
{27984DB8-C851-439E-B625-81740482BE7C} <C:\WINDOWS\system32\PRINTC~1.DLL, INFOSEC Tech. corp>
[Info cache]
{385AB8C6-FB22-4D17-8834-064E2BA0A6F0} <C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll, 金泰丰(广州)科技有限公司>
[CCtInf Class]
{6DBB2904-082D-4DB0-944A-21C22BA121F4} <C:\WINDOWS\system32\BANKCE~1.DLL, >
——————————————————————————————————————————————————————————
重启电脑，不行，就再扫日志。
没异常，就安装并升级杀软至最新版本，全盘杀毒。

【回复“天月来了”的帖子】
具体呢,
刚才我试了一下,很能找到具体操作,如下:
第一:(尽量进安全模式下：
用扫日志的SRENG工具删除下面注册表项)
我找不到那些工具呀,怎么删除呀,具体点,
第二:(用扫日志的SRENG工具将下面的各项启动类型改为“Disabled”
驱动程序
)
还是那样,工具找不到,在sreng里面扫描好的东西只能看,不能操作吧!!1


麻烦大家好呀,在此感谢.希望大家帮助一下!!!1

既然扫了日志，SRENG定然还在你电脑里吧？？？

就是你扫日志的这个软件啊！！！

删注册表启动部分的：



附件: 839077200777225602.jpg

再来个删除驱动的：


附件: 839077200777225652.jpg

天月还真是够详细 够耐心啊....佩服~!~! 我是楼主的话  都被感动死了...

在此感谢天月,
可我搞完了以后,还是那样,不能开D盘,一开就死机了,什么反应都没有,还是出现报告错误.drwtsn32.exe