瑞星卡卡安全论坛

游戏帐号又次被盗.请高手帮忙

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

附件: SREngLOG.log

该用户帖子内容已被屏蔽

请高手帮忙

问题项目如下：
一、注册表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
    <kcien32><kncer30.exe>  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <HBService><explore.exe>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    <{E0F3526A-4165-4589-80CD-50B6FBAC3BDA}><C:\WINDOWS\system32\adsntzt.dll>  []
    <{7A6DF30E-D0F2-446f-B4F0-BF4232D60E07}><C:\WINDOWS\system32\cliconfgzx.dll>  []
    <{D3112B69-A745-4805-874E-ABD480EA1299}><C:\WINDOWS\system32\bootvidgj.dll>  []
    <{67AC9076-C898-B098-D098-A18319080976}><C:\WINDOWS\system32\nhmxfjkl.dll>  []
    <{2CB77746-8ECC-40ca-8217-10CA8BE5EFC8}><C:\WINDOWS\system32\tscfgwmijxsj.dll>  []
    <{628DF602-9541-A985-210A-984A698C6F26}><C:\WINDOWS\Fonts\ptjhfhlp.dll>  []
    <{A2C3BA54-DF75-4881-8EB3-E54B26BBBBC9}><C:\WINDOWS\system32\nwapi32dj.dll>  []
    <{1A093234-9201-3412-8952-1254379023A1}><C:\WINDOWS\Fonts\edchakae.dll>  []
    <{7A069845-2036-6084-9054-6087502480A7}><C:\WINDOWS\Fonts\ozfygbyt.dll>  []
    <{EB9660D8-E1CD-4ff0-B4A9-00CD907F928A}><C:\WINDOWS\system32\slbiopfs2.dll>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
    <adsntzt.dll><C:\WINDOWS\system32\adsntzt.dll>  []
    <cliconfgzx.dll><C:\WINDOWS\system32\cliconfgzx.dll>  []
    <bootvidgj.dll><C:\WINDOWS\system32\bootvidgj.dll>  []
    <tscfgwmijxsj.dll><C:\WINDOWS\system32\tscfgwmijxsj.dll>  []
    <nwapi32dj.dll><C:\WINDOWS\system32\nwapi32dj.dll>  []
    <slbiopfs2.dll><C:\WINDOWS\system32\slbiopfs2.dll>  []
类似以下项目的众多IFEO项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe]
    <IFEO[360rpt.exe]>

二、服务
[HBKernel Driver / HBKernel][Running/Boot Start]
  <\SystemRoot\system32\DRIVERS\HBKernel.sys><N/A>

三、正在运行的进程
正在运行的进程
    [C:\WINDOWS\system32\HBmhly.dll]  [N/A, ]
    [C:\WINDOWS\system32\nhmxfjkl.dll]  [N/A, ]
    [C:\WINDOWS\system32\nhmxfjkl.dll]  [N/A, ]
    [C:\WINDOWS\system32\slbiopfs2.dll]  [N/A, ]
    [C:\WINDOWS\system32\nwapi32dj.dll]  [N/A, ]
    [C:\WINDOWS\system32\tscfgwmijxsj.dll]  [N/A, ]
    [C:\WINDOWS\system32\bootvidgj.dll]  [N/A, ]
    [C:\WINDOWS\system32\cliconfgzx.dll]  [N/A, ]
    [C:\WINDOWS\system32\adsntzt.dll]  [N/A, ]
    [C:\WINDOWS\Fonts\ptjhfhlp.dll]  [N/A, ]
    [C:\WINDOWS\Fonts\edchakae.dll]  [N/A, ]
    [C:\WINDOWS\Fonts\ozfygbyt.dll]  [N/A, ]
    [C:\WINDOWS\system32\explore.exe]  [N/A, ]

没仔细看，应该还有遗漏，反正是中了木马群，可以考虑先用瑞星的木马群专杀搞下……

顶啊！！！

能杀的干净吗？

下载附件，解压后运行修复IFEO映像劫持

1.用XDelBox勾选抑制再生后删除以下文件：(XDelBox1.7支持奥运版下载)
使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\system32\explore.exe
c:\windows\system32\hbmhly.dll
c:\windows\system32\nhmxfjkl.dll
c:\windows\system32\adsntzt.dll
c:\windows\system32\bootvidgj.dll
c:\windows\system32\cliconfgzx.dll
c:\windows\system32\nwapi32dj.dll
c:\windows\system32\slbiopfs2.dll
c:\windows\system32\tscfgwmijxsj.dll
c:\windows\fonts\edchakae.dll
c:\windows\fonts\ozfygbyt.dll
c:\windows\fonts\ptjhfhlp.dll
c:\windows\system32\kncer30.exe
c:\windows\system32\explore.exe
c:\windows\system32\drivers\hbkernel.sys

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[slbiopfs2.dll] 
[nwapi32dj.dll] 
[tscfgwmijxsj.dll]
[bootvidgj.dll] 
[cliconfgzx.dll] 
[adsntzt.dll]   
[{EB9660D8-E1CD-4ff0-B4A9-00CD907F928A}] 
[{7A069845-2036-6084-9054-6087502480A7}] 
[{1A093234-9201-3412-8952-1254379023A1}] 
[{A2C3BA54-DF75-4881-8EB3-E54B26BBBBC9}] 
[{628DF602-9541-A985-210A-984A698C6F26}] 
[{2CB77746-8ECC-40ca-8217-10CA8BE5EFC8}] 
[{67AC9076-C898-B098-D098-A18319080976}] 
[{D3112B69-A745-4805-874E-ABD480EA1299}] 
[{7A6DF30E-D0F2-446f-B4F0-BF4232D60E07}] 
[{E0F3526A-4165-4589-80CD-50B6FBAC3BDA}] 
注意该项[AppInit_DLLs]修改：把< mduaey.dll ringtte.dll nvipat.dll mcromo.dll lensch.dll qsafetl.dll pciboxl.dll wllame.dll cupops.dll micsus.dll cmbdaf.dll aotoppt.dll,aaa.dll,HBmhly.dll,nhmxfjkl.dll johandy.dll catower.dll jolndyo.dll>修改为<>即清空
[kcien32] 
[HBService]

    启动项目 －－ 服务－－ 驱动程序之如下项删除：
[HBKernel Driver / HBKernel] 

    系统修复－－　浏览器加载项之如下项删除：
[]
  {1345F3CB-7C40-41C2-9AC2-87CF8B68E34E} <, >
[]
  {6096E38F-5AC1-4391-8EC4-75DFA92FB32F} <, >
[]
  {C03733E5-912E-4163-BC5E-2A8516F9828F} <, >
[]
  {FB5F1910-F110-11D2-BB9E-00C04F795683} <, >

    系统修复－－　高级修复－－　API HOOK检查－－　查看详情－－　修复入口点错误

做完下载以下软件清理一次并更新杀毒软件至最新进行全盘杀毒一次

清理系统临时文件和IE临时文件夹
http://www.atribune.org/public-beta/ATF-Cleaner.exe
用金山清理专家清理恶意软件
http://www.duba.net/zt/ksc/down.shtml
下载 windows清理助手清理一遍
http://www.arswp.com/download/arswp2/arswp2.zip

附件: IFEO修复程序（修复映像劫持）.rar

谢谢斑竹... 还有份我自己的日志也帮忙看一下吧.. 刚才我从病毒计算机那里传送文件过来..重起以后就提示内存不能为XXXX 记不太清楚了.. 反正卡卡助手是没有启动..
还有一个问题就是  SREng 驱动服务里面的AECXXX  文件是什么意思..

附件: SREngLOG.log

斑竹啊... 帮我看看下面的日志啊

日志没问题

貌似无毒,可能是硬件或驱动问题,你可以去搜一下"内存不能为XXXX"的问题,看网上有没有相同的(XXX要记住啊)

系统修复－－　高级修复－－　API HOOK检查－－　查看详情－－　修复入口点错误
这一步做不了 .. 说是在 进程里面没有发现API HOOK 的进程

没事去整什么SRENG工具呢？？？

那不是给普通用户玩的

这SRENG工具过多的功能本是好事

没想到现在所有接触它的普通用户都喜欢没事找事的去折腾它

它的那些东西，你懂才能折腾

不懂就不要没事弄着玩

谁告诉你没事需要修复入口点错误了？？？

谁说没事就必须要发现API HOOK 的进程？？？？

难道没发现API HOOK 的进程，就是不正常的？？？

这又是哪听到的？？？