瑞星卡卡安全论坛

电脑不知道中了什么毒，有个蓝色的星状图标隔几分钟就跳出来，在屏幕上晃悠，显示
：“the computer is being attacked”
这是什么病毒?
另外 U盘插到电脑里,里边的文件夹便会自动感染为*.exe文件，这又是什么在作怪，而且
瑞星还查不出来
过上半分钟左右就会出现一次，一张图片，上面写“the computer is being attacked”，文字右边还有一个头部是星星的魔法棒，电脑还一直发出bi、bi的声音，控制面板进去以后没有一个图标，也就是没有一个可以进行控制的东西，对象是零。

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; QQDownload 1.7; .NET CLR 1.1.4322)

黑客逗你玩
就这

1.扫日志前关闭无用进程，如QQ，迅雷及播放器程序

2.到官方下载SReng
下载地址
http://www.kztechs.com/sreng/download.html
SREng/智能扫描

等扫描完成,保存日志(LOG格式)

PS：如主程序SREng**.exe无法运行,导致无法扫描日志
将主程序改名为小狮子.bat

3.为了最大程度减少对病毒的误判，和对病毒准确定位，最好同时上传金山清理专家日志
下载金山清理专家
http://www.duba.net/qing/

金山清理专家-在线系统诊断（隐藏安全项）-导出诊断报告-（全选）-导出报告

（4.如都以上软件无法正常运行
尝试该版本SRENG
http://bbs.ikaka.com/attachment.aspx?attachmentid=412527）
如2.6的能用，还是用2.6的

5.2份日志/报告以附件上传（点击我回的贴的右下角的“引用”，然后就应该知道怎么以附件发了），贴到反病毒区.已发帖请跟贴，勿另开新帖。

前两个下不了！后一个扫描了，没效果！

不能生成日志么？

这应该是耍你的
不过还是检查下有没有别的问题比较好

可能攻击你的电脑，找到源IP，给用防火墙禁掉。

以前不联网，就有了

试试附件的SRENG

附件: sreng1018修改版.rar

附件: SREngLOG.log

操作前强烈要求先断网
1.建议使用XDelBox删除以下文件：(Xdelbox1.7下载地址：http://www.qispace.com.cn/read.php/1.htm    的工具19或http://www.dodudou.com/down/index.php?dirpath=./01.原创软件&order=0）
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。
C:\WINDOWS\Fonts\Fonts.exe   
C:\WINDOWS\system\KEYBOARD.exe
C:\windows\system32\drivers\ztebunq.sys
C:\MS-DOS.com
D:\MS-DOS.com
E;\MS-DOS.com
C:\autorun.inf
D:\autorun.inf
E:\autorun.inf
2.重启后，使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：

<sys><C:\WINDOWS\Fonts\Fonts.exe>  []
<><C:\WINDOWS\system\KEYBOARD.exe>  []
启动项目 －－ 服务－－ 驱动程序之如下项删除：
(选中有问题的驱动/服务后，点"删除服务"，点"设置"按钮即可。注意弹出的窗口中要点"否NO"才是确认删除服务）

[ztebunq / ztebunq][Running/Boot Start]
  <\SystemRoot\system32\drivers\ztebunq.sys><>



C:\WINDOWS\pchealth\helpctr\binaries\HelpHost.com
这个东东上传下

为什么中了这个病毒 连重装都重装不了？？？这个病毒会影响光驱读盘么？

建议取下主板电池

清空下BIOS

附件: SREngLOG.log

一、日志中的问题如下：
==================================
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]
    <><C:\WINDOWS\system32\dllcache\Default.exe>  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <><C:\WINDOWS\system\KEYBOARD.exe>  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]
    <><C:\WINDOWS\system32\dllcache\Default.exe>  []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
    <sys><C:\WINDOWS\Fonts\Fonts.exe>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\auto.exe]
    <IFEO[auto.exe]><C:\WINDOWS\system32\drivers\drivers.cab.exe>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\autorun.exe]
    <IFEO[autorun.exe]><C:\WINDOWS\system32\drivers\drivers.cab.exe>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\autoruns.exe]
    <IFEO[autoruns.exe]><C:\WINDOWS\system32\drivers\drivers.cab.exe>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\boot.exe]
    <IFEO[boot.exe]><C:\WINDOWS\Fonts\fonts.exe>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ctfmon.exe]
    <IFEO[ctfmon.exe]><C:\WINDOWS\Fonts\Fonts.exe>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe]
    <IFEO[msconfig.exe]><C:\WINDOWS\Media\rndll32.pif>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ProcessManager.exe]
    <IFEO[ProcessManager.exe]><C:\WINDOWS\pchealth\helpctr\binaries\HelpHost.com>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\procexp.exe]
    <IFEO[procexp.exe]><C:\WINDOWS\pchealth\helpctr\binaries\HelpHost.com>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rundll32.exe]
    <IFEO[rundll32.exe]><C:\WINDOWS\Fonts\Fonts.exe>  []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe]
    <IFEO[taskmgr.exe]><C:\WINDOWS\Fonts\tskmgr.exe>  []
[HKEY_CURRENT_USER\Control Panel\Desktop]
    <SCRNSAVE.EXE><C:\WINDOWS\pchealth\helpctr\binaries\HelpHost.com>  []
==================================
浏览器加载项
[SrchHook Class]
  {F08555B0-9CC3-11D2-AA8E-000000000000} <C:\WINDOWS\system32\IEBHO.dll, >
[番茄工具条 3.0]
  {6451F285-9E41-4D8C-813D-794CA7BFEAB4} <C:\WINDOWS\system32\IETool.dll, N/A>
[番茄工具条 3.0]
  {6451F285-9E41-4D8C-813D-794CA7BFEAB4} <C:\WINDOWS\system32\IETool.dll, N/A>
[SrchHook Class]
  {F08555B0-9CC3-11D2-AA8E-000000000000} <C:\WINDOWS\system32\IEBHO.dll, >
==================================
正在运行的进程
c:\windows\system32\uptool.dll
C:\WINDOWS\system32\dllcache\Recycler.{645FF040-5081-101B-9F08-00AA002F954E}\Global.exe
C:\WINDOWS\system32\dllcache\Recycler.{645FF040-5081-101B-9F08-00AA002F954E}\system.exe
==================================
Autorun.inf
[C:\]
[autorun]
Open=MS-DOS.com
Shellexecute=MS-DOS.com
Shell\Open\command=MS-DOS.com
Shell\Explore\command=MS-DOS.com
[D:\]
[autorun]
Open=MS-DOS.com
Shellexecute=MS-DOS.com
Shell\Open\command=MS-DOS.com
Shell\Explore\command=MS-DOS.com
[E:\]
[autorun]
Open=MS-DOS.com
Shellexecute=MS-DOS.com
Shell\Open\command=MS-DOS.com
Shell\Explore\command=MS-DOS.com
[F:\]
[autorun]
Open=MS-DOS.com
Shellexecute=MS-DOS.com
Shell\Open\command=MS-DOS.com
Shell\Explore\command=MS-DOS.com
==================================
进程特权扫描
特殊特权被允许： SeLoadDriverPrivilege [PID = 116, C:\WINDOWS\SYSTEM32\DLLCACHE\RECYCLER.{645FF040-5081-101B-9F08-00AA002F954E}\GLOBAL.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 208, C:\WINDOWS\SYSTEM32\DLLCACHE\RECYCLER.{645FF040-5081-101B-9F08-00AA002F954E}\SYSTEM.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 2016, C:\WINDOWS\SYSTEM32\DLLCACHE\RECYCLER.{645FF040-5081-101B-9F08-00AA002F954E}\SVCHOST.EXE]
==================================

二、涉及病毒文件如下：
==================================
C:\WINDOWS\system\KEYBOARD.exe
C:\WINDOWS\system32\dllcache\Default.exe
C:\WINDOWS\system32\drivers\drivers.cab.exe
C:\WINDOWS\Media\rndll32.pif
C:\WINDOWS\Fonts\Fonts.exe
C:\WINDOWS\Fonts\tskmgr.exe
C:\WINDOWS\pchealth\helpctr\binaries\HelpHost.com
C:\windows\system32\uptool.dll
C:\WINDOWS\system32\IEBHO.dll
C:\WINDOWS\system32\IETool.dll
C:\WINDOWS\SYSTEM32\DLLCACHE\RECYCLER.{645FF040-5081-101B-9F08-00AA002F954E}\GLOBAL.EXE
C:\WINDOWS\SYSTEM32\DLLCACHE\RECYCLER.{645FF040-5081-101B-9F08-00AA002F954E}\SYSTEM.EXE
C:\WINDOWS\SYSTEM32\DLLCACHE\RECYCLER.{645FF040-5081-101B-9F08-00AA002F954E}\SVCHOST.EXE
C:\MS-DOS.com
C:\Autorun.inf
D:\MS-DOS.com
D:\Autorun.inf
E:\MS-DOS.com
E:\Autorun.inf
F:\MS-DOS.com
F:\Autorun.inf
=================================

三、建议：用冰刃解决。设置“禁止进线程创建”后，先删病毒文件，再删病毒创建的前述注册表项（注意红色注册表项将注册表值项的数据修改为空即可，不可删除值项本身）。