瑞星卡卡安全论坛

电脑莫名其妙的中毒了！ 所有杀毒软件都不好用了！ 请高手们帮帮忙，想想办法啊！ 电脑里好多重要文件，不能重装啊！附件里是用天月来了大大修改过的SRENG扫描日志。
谢谢大家先！！！

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 1.1.4322)

非常感谢楼下 天仁  提供的帮助！！ 谢谢

不过又发现了新问题。我想上瑞星的官网怎么还是上不去，IE自动给我转到yahoo了


病毒又发作了。估计是象9楼所言，运行QQ后造成的！ 从新扫描了一下。 请各位帮帮忙！！
忘记打开QQ扫描。最新日志。还有一张图片，请各位帮看看。

附件: SREngLOG.log

附件: SREngLOG.log

附件: SREngLOG.log

1.建议使用XDelBox删除以下文件：(XDelBox1.7下载)
使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入，导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\system32\adsntzt.dll
c:\windows\system32\certmgrkd.dll
c:\windows\system32\cliconfgzx.dll
c:\windows\system32\comuidsg.dll
c:\windows\system32\ddserh.dll
c:\windows\system32\dispexcb.dll
c:\windows\system32\dpvvoxmh.dll
c:\windows\system32\fmcvxy.dll
c:\windows\system32\lweurqhx.dll
c:\windows\system32\oibixlzpw.dll
c:\windows\system32\jfrwdh.dll
c:\windows\system32\bootvidgj.dll
c:\windows\system32\sgdewg.dll
c:\windows\system32\hbmhly.exe
c:\windows\system32\hbmhly.exe
c:\program files\r_server\remoteabc.exe
c:\windows\system32\drivers\vibus.sys
c:\windows\system32\d32dx9.sys
c:\windows\system32\drivers\hbkernel.sys

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[{A9895933-6636-4281-BC58-EE6DE2AF96E3}]    <C:\WINDOWS\system32\ddserh.dll>
[{73AE86E6-7F03-4C3B-8980-FB1DA157D3C7}]    <C:\WINDOWS\system32\fmcvxy.dll>
[{841529CB-7F77-4B99-A895-B5441E0D302F}]    <C:\WINDOWS\system32\jfrwdh.dll>
[{D3112B69-A745-4805-874E-ABD480EA1299}]    <C:\WINDOWS\system32\bootvidgj.dll>
[{76D44356-B494-443a-BEDC-AA68DE4255E6}]    <C:\WINDOWS\system32\dispexcb.dll>
[{9E8287B0-0F3A-48ae-99C5-A6E0AAC36BC5}]    <C:\WINDOWS\system32\certmgrkd.dll>
[{7A6DF30E-D0F2-446f-B4F0-BF4232D60E07}]    <C:\WINDOWS\system32\cliconfgzx.dll>
[{898E02AB-9372-4a2c-9C4A-FFE1AF61097F}]    <C:\WINDOWS\system32\comuidsg.dll>
[{8C41B7F7-3168-400D-A702-0E7EFE0BA304}]    <C:\WINDOWS\system32\sgdewg.dll>
[{71A78CD4-E470-4a18-8457-E0E0283DD507}]    <C:\WINDOWS\system32\lweurqhx.dll>
[{E0F3526A-4165-4589-80CD-50B6FBAC3BDA}]    <C:\WINDOWS\system32\adsntzt.dll>
[{2876D76C-CAAA-4313-AF97-8D1D9A2A1087}]    <C:\WINDOWS\system32\dpvvoxmh.dll>
[HBmhly]    <"C:\WINDOWS\system32\HBmhly.exe" -r>

    启动项目 －－ 服务 －－ Win32服务应用程序之如下项禁用：
[NetMeeting Remote Desktop Sharing / mnmsrvc]    <>
[RemoteABC2008 / RemoteABCServer2008]    <C:\Program Files\R_Server\RemoteAbc.exe>

    启动项目 －－ 服务－－ 驱动程序之如下项禁用：
[ViBus / ViBus]    <\SystemRoot\system32\DRIVERS\ViBus.sys>
[HiddFldy / HiddFldy]    <\??\C:\WINDOWS\system32\d32dx9.sys>
[HBKernel Driver / HBKernel]    <\SystemRoot\system32\DRIVERS\HBKernel.sys>

我也是这个问题啊，还进不了安全模式，还不能安装新的杀毒软件！！！！！求助！！！！！

谢谢二楼的，问题已经基本解决！！ 非常感谢你！！！！！:default71: :default71: :default71:

运行SRE 

1.系统修复-高级修复-API HOOK 检查-修复入口点错误

2.系统修复-HOST文件-重置-保存

http://bbs.ikaka.com/showtopic-8443439.aspx楼主中了木马群病毒 建议参照一下这个帖子处理

d:\program files\qq\vpipes.dll
d:\program files\qq\wsock32.dll

入口点错误：RegEnumValueA (危险等级: 高,  被下面模块所HOOK: C:\WINDOWS\system32\oibixlzpw.dll)
入口点错误：RegEnumValueW (危险等级: 高,  被下面模块所HOOK: C:\WINDOWS\system32\oibixlzpw.dll)
入口点错误：RegOpenKeyExA (危险等级: 高,  被下面模块所HOOK: C:\WINDOWS\system32\oibixlzpw.dll)
入口点错误：CreateServiceA (危险等级: 高,  被下面模块所HOOK: Dest Addr: 0x001352AC)
入口点错误：CreateFileA (危险等级: 高,  被下面模块所HOOK: C:\WINDOWS\system32\oibixlzpw.dll)
入口点错误：CreateFileW (危险等级: 高,  被下面模块所HOOK: C:\WINDOWS\system32\oibixlzpw.dll)


注意这些问题。。

。。。。。。
直接上分析助手，这些倒是没有注意到，看来以后要注意了

vpipes.dll，我也感觉有些异常
我根据百度到的一些情况，删除有可能造成无法启动QQ，所以没有删除这个玩意

C:\WINDOWS\system32\oibixlzpw.dll这个文件已在删除之列，所以楼主的问题基本得到解决。只是QQ目录中的病毒文件没删除，启动QQ后又要旧病复发了。:default6:

能够删除d:\program files\qq\wsock32.dll文件就可以解决启动QQ时病毒也启动的问题了

这病毒好象不影响绿色版的QQ软件。

确实复发了！！ 气死我了！！！
怎么能杀的彻底些啊！！！！

附件: SREngLOG.log

1.建议使用XDelBox删除以下文件：(XDelBox1.6下载)
使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入，导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\system32\bootvidgj.dll
c:\windows\system32\dispexcb.dll
c:\windows\system32\certmgrkd.dll
c:\windows\system32\cliconfgzx.dll
c:\windows\system32\comuidsg.dll
c:\windows\system32\lweurqhx.dll
c:\windows\system32\adsntzt.dll
c:\windows\system32\dpvvoxmh.dll
c:\windows\system32\oibixlzpw.dll
c:\windows\system32\pnkbstra.exe
c:\windows\system32\drivers\vibus.sys
c:\windows\system32\d32dx9.sys
d:\program files\qq\wsock32.dll

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[bootvidgj.dll]    <C:\WINDOWS\system32\bootvidgj.dll>
[dispexcb.dll]    <C:\WINDOWS\system32\dispexcb.dll>
[certmgrkd.dll]    <C:\WINDOWS\system32\certmgrkd.dll>
[cliconfgzx.dll]    <C:\WINDOWS\system32\cliconfgzx.dll>
[comuidsg.dll]    <C:\WINDOWS\system32\comuidsg.dll>
[lweurqhx.dll]    <C:\WINDOWS\system32\lweurqhx.dll>
[adsntzt.dll]    <C:\WINDOWS\system32\adsntzt.dll>
[dpvvoxmh.dll]    <C:\WINDOWS\system32\dpvvoxmh.dll>
[tngncqeub]    <C:\WINDOWS\system32\oibixlzpw.dll>

    启动项目 －－ 服务 －－ Win32服务应用程序之如下项禁用：
[PnkBstrA / PnkBstrA]    <C:\WINDOWS\system32\PnkBstrA.exe>

    启动项目 －－ 服务－－ 驱动程序之如下项禁用：
[ViBus / ViBus]    <\SystemRoot\system32\DRIVERS\ViBus.sys>

[HiddFldy / HiddFldy]    <\??\C:\WINDOWS\system32\d32dx9.sys>

为什么新日志，还是没开着QQ扫描呢？

气的竟然忘了！！ 马上改！！ 谢谢天月老大提醒

已看到你新日志了

QQ里的病毒已运行

为了清除所有病毒

你需要重启电脑，再继续开启QQ扫描最新日志来

然后就可以清除了。

日志发这里接贴

不要发主题贴了

从新扫描了一遍！ 麻烦你了，天月。还有一张截图，是sre运行时的截图。

病毒2.JPG (29.22 K)

2008-8-7 19:19:24

附件: SREngLOG.log

楼上是最新的日志。请老大们帮看看。让我能彻底解决。谢谢啦！！！

禁用服务
[NetMeeting Remote Desktop Sharing / mnmsrvc][Stopped/Disabled]
  <><N/A>
以下东东很可疑，疑似为病毒，自己测下
C:\WINDOWS\system32\oibixlzpw.dll
D:\Program Files\QQ\vpipes.dll
http://www.virscan.org/
http://www.virustotal.com/zh-cn/
http://virusscan.jotti.org/

请楼主下载我提供的附件，解压后运行

选择“快速扫描”，当扫描到一个项目后，立即“停止扫描”，选择“执行清理”。

提示重启电脑时，立即重启，就可以了。 等着自动清理吧。

附件内附操作说明图，可以参照操作。

（注意：其他求助者请不要随意下载使用，此附件只对楼主有用，其他人没什么用的）

重启清理完以后，去下载最新SRENG工具：http://www.kztechs.com/sreng/download.html

扫描个新的2.6版的SRENG日志来打扫残余。

附件: 123.rar

1.建议使用XDelBox（或瑞星的粉碎机）删除以下文件：(XDelBox1.7下载)
xdelbox使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择“从剪贴板导入不检查路径”，导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

d:\program files\qq\vpipes.dll
d:\program files\qq\wsock32.dll
c:\windows\system32\oibixlzpw.dll

2.删除重启后使用SREng修复下面各项：

**************以上分析报告由SREngLog分析助手提供******************
分析：byxxdrls
时间：2008-8-8
SREngLog分析助手 1.3 (20070808 更新 BY 草莽书生)

已经按19楼天月大大的方法操作过了。下面是扫描的日志。请大家帮我看看，那些该删除。谢谢大家了！  非常感谢大家对我的帮助。以后要是谁来沈阳，或者谁现在就在沈阳，我请大家吃饭。。。谢谢啦！！

附件: SREngLOG.log

用xdelbox删除以下文件
下载地址： http://www.dodudou.com/down/index.php?dirpath=./01.原创软件&order=0 XDELBOX1.7支持奥运版
使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入，勾选抑制再生
导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。
运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。
C:\WINDOWS\system32\vealctg\lsass.exe
C:\WINDOWS\system32\oibixlzpw.dll
C:\WINDOWS\system32\dpvvoxmh.dll
C:\WINDOWS\system32\adsntzt.dll
C:\WINDOWS\system32\lweurqhx.dll
C:\WINDOWS\system32\comuidsg.dll
C:\WINDOWS\system32\cliconfgzx.dll
C:\WINDOWS\system32\certmgrkd.dll
C:\WINDOWS\system32\dispexcb.dll
C:\WINDOWS\system32\bootvidgj.dll
C:\Program Files\R_Server\RemoteAbc.exe
C:\WINDOWS\system32\drivers\hia.sys
C:\WINDOWS\system32\d32dx9.sys>
C:\WINDOWS\system32\drivers\poal.sys
sreng->启动项目-》注册表，删除
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
    <tngncqeub><C:\WINDOWS\system32\oibixlzpw.dll>  [File is missing]
    <dpvvoxmh.dll><C:\WINDOWS\system32\dpvvoxmh.dll>  [File is missing]
    <adsntzt.dll><C:\WINDOWS\system32\adsntzt.dll>  [File is missing]
    <lweurqhx.dll><C:\WINDOWS\system32\lweurqhx.dll>  [File is missing]
    <comuidsg.dll><C:\WINDOWS\system32\comuidsg.dll>  [File is missing]
    <cliconfgzx.dll><C:\WINDOWS\system32\cliconfgzx.dll>  [File is missing]
    <certmgrkd.dll><C:\WINDOWS\system32\certmgrkd.dll>  [File is missing]
    <dispexcb.dll><C:\WINDOWS\system32\dispexcb.dll>  [File is missing]
    <bootvidgj.dll><C:\WINDOWS\system32\bootvidgj.dll>  [File is missing]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{c3163cfa-4b9e-90e3-90e3-5cafc58327dd}]
    <N/A><C:\WINDOWS\system32\vealctg\lsass.exe /t>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360safebox.exe]
    <IFEO[360safebox.exe]><TASKMAN.EXE>  [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rfwstub.exe]
    <IFEO[rfwstub.exe]><TASKMAN.EXE>  [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safeboxTray.exe]
    <IFEO[safeboxTray.exe]><TASKMAN.EXE>  [(Verified)Microsoft Windows Publisher]
sreng->启动项目-》服务-》win32服务应用程序，删除
[NetMeeting Remote Desktop Sharing / mnmsrvc][Stopped/Disabled]
  <><(File is missing)>
[RemoteABC2008 / RemoteABCServer2008][Stopped/Disabled]
  <C:\Program Files\R_Server\RemoteAbc.exe><(File is missing)>
sreng-》启动项目-》服务-》驱动程序，删除
[hia / hia][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32\drivers\hia.sys><N/A>
[HiddFldy / HiddFldy][Stopped/Disabled]
  <\??\C:\WINDOWS\system32\d32dx9.sys><N/A>
[poal / poal][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32\drivers\poal.sys><N/A>
sreng-》系统修复-》浏览器加载项，删除
[]
  {7E853D72-626A-48EC-A868-BA8D5E23E045} <, >
[]
  {00EF2092-6AC5-47C0-BD25-CF2D5D657FEB} <, >
[Yahoo! Toolbar Helper]
  {02478D38-C3F9-4EFB-9B51-7695ECA05670} <, >
[]
  {09BA8F6D-CB54-424B-839C-C2A6C8E6B436} <, >
[]
  {166B1BCA-3F9C-11CF-8075-444553540000} <, >
[]
  {2318C2B1-4965-11D4-9B18-009027A5CD4F} <, >
[]
  {33BBE430-0E42-4F12-B075-8D21ACB10DCB} <, >
[]
  {38928D50-8A48-44C2-945F-D2F23F771410} <, >
[]
  {3AECD3C1-7085-4731-96DC-47B6CF7EF749} <, >
[]
  {406F94F0-504F-4A40-8DFD-58B0666ABEBD} <, >
[]
  {4E8A5278-C04E-4FE3-BF78-8A7CCD6EF333} <, >
[]
  {5D73EE86-05F1-49ED-B850-E423120EC338} <, >
[]
  {62EED7C6-9F02-42F9-B634-98E2899E147B} <, >
[]
  {7E853D72-626A-48EC-A868-BA8D5E23E045} <, >
[]
  {AA58ED58-01DD-4D91-8333-CF10577473F7} <, >
[]
  {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} <, >
[]
  {C01170CC-AF05-46C3-88BC-2C120DCEE288} <, >
[]
  {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} <, >
[]
  {D18A0B52-D63C-4ED0-AFC6-C1E3DC1AF43A} <, >
[Yahoo! Toolbar]
  {EF99BD32-C1FB-11D2-892F-0090271D4F88} <, >
[]
  {F166BC04-3C84-44CC-A6E9-2315EC4844B9} <, >
[]
  {FB5F1910-F110-11D2-BB9E-00C04F795683} <, >
[]
  {FE3ECAE7-0A37-4506-8A7D-3CC9A04D2CA8} <, >

下面的东东自己测下
C:\Program Files\SolidDocuments\SolidConverterPDF\SCPDF\SolidPdfService.exe
http://www.virscan.org/
如图：勾选抑制再生

建议楼主在删除之后用windows清理助手清理一下系统。(未签名的那些不要选择删除)在这里下载：http://www.arswp.com/download.html
打开清理助手=》更新到最新=》快速扫描=》处理  雅虎助手 和uusee

楼上光顾忙分析助手弄了

又忘记提示求助的在扫日志的SRENG工具》系统修复》HOSTS文件》选择“重置”再“保存”

以后要注意了呀

知道了！以后注意  没有用分析助手。。。全人工看的:default2:

C:\WINDOWS\system32\vealctg\lsass.exe
C:\WINDOWS\system32\oibixlzpw.dll
C:\WINDOWS\system32\dpvvoxmh.dll
C:\WINDOWS\system32\adsntzt.dll
C:\WINDOWS\system32\lweurqhx.dll
C:\WINDOWS\system32\comuidsg.dll
C:\WINDOWS\system32\cliconfgzx.dll
C:\WINDOWS\system32\certmgrkd.dll
C:\WINDOWS\system32\dispexcb.dll
C:\WINDOWS\system32\bootvidgj.dll
C:\Program Files\R_Server\RemoteAbc.exe
C:\WINDOWS\system32\drivers\hia.sys
C:\WINDOWS\system32\d32dx9.sys>
C:\WINDOWS\system32\drivers\poal.sys
导入文件，xdelbox提示文件不存在呢？？？？什么原因啊？
附件是最新日志

附件: SREngLOG--1.log

楼上下面那个是打开QQ扫描的新日志~ 请大家从新下一下。不好意思！！

1.建议使用XDelBox删除以下文件：(Xdelbox1.7下载地址：http://www.qispace.com.cn/read.php/1.htm    的工具19）
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。


c:\windows\system32\vealctg\lsass.exe
c:\windows\system32\oibixlzpw.dll
c:\windows\system32\dpvvoxmh.dll
c:\windows\system32\adsntzt.dll
c:\windows\system32\lweurqhx.dll
c:\windows\system32\comuidsg.dll
c:\windows\system32\cliconfgzx.dll
c:\windows\system32\certmgrkd.dll
c:\windows\system32\dispexcb.dll
c:\windows\system32\bootvidgj.dll
c:\windows\system32\d32dx9.sys
c:\windows\system32\drivers\hia.sys
c:\windows\system32\d32dx9.sys
c:\windows\system32\drivers\poal.sys

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[N/A]    <C:\WINDOWS\system32\vealctg\lsass.exe /t>
[tngncqeub]    <C:\WINDOWS\system32\oibixlzpw.dll>
[dpvvoxmh.dll]    <C:\WINDOWS\system32\dpvvoxmh.dll>
[adsntzt.dll]    <C:\WINDOWS\system32\adsntzt.dll>
[lweurqhx.dll]    <C:\WINDOWS\system32\lweurqhx.dll>
[comuidsg.dll]    <C:\WINDOWS\system32\comuidsg.dll>
[cliconfgzx.dll]    <C:\WINDOWS\system32\cliconfgzx.dll>
[certmgrkd.dll]    <C:\WINDOWS\system32\certmgrkd.dll>
[dispexcb.dll]    <C:\WINDOWS\system32\dispexcb.dll>
[bootvidgj.dll]    <C:\WINDOWS\system32\bootvidgj.dll>

    启动项目 －－ 服务－－ 驱动程序之如下项禁用：
[HiddFldy / HiddFldy]    <\??\C:\WINDOWS\system32\d32dx9.sys>
[hia / hia]    <\??\C:\WINDOWS\system32\drivers\hia.sys>
[HiddFldy / HiddFldy]    <\??\C:\WINDOWS\system32\d32dx9.sys>
[poal / poal]    <\??\C:\WINDOWS\system32\drivers\poal.sys>