瑞星卡卡安全论坛

电脑昨天中的毒，这里详细的描述症状，恳请高手出招相救！！！

      中毒后电脑的瑞星杀毒及防火墙立即被自动关闭，于是马上上百度输入“在线杀毒”还没来得及打开立即被自动关闭。
      于是想到av，于是打开WIN.RAR查看每个磁盘，发现每个磁盘都有auto.exe和autorun.inf两个文件，但没有传说中的8位数字的文件，但是打开进程，发现有好多个conime.exe还有一个很奇怪的进程（具体名字不记得了，但这个进程末尾有“(x)”x为自然数，刚开始是1，我结束进程后会再跳出来，数字变成2，，，，这样每结束一次进程数字就加大一位）。
      家里电脑不敢上网，怕自动下载木马，先跑趟网吧下载了av专杀想尝试能否杀掉，但回家再开机按照av的杀毒流程，先要关闭“自动播放”，但是运行--goedit.msc，这时注册表刚打开又被关掉了，于是u盘也不敢插，av专杀用不了。。。



      求高手帮我分析下，提出个可靠的解决方法啊，，，万分紧急！！！！！！

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

能否提供日志？
有什么可疑进程？描述下？
是否有HB*.exe？



解决问题需要配合

1.扫日志前建议清理助手清理系统
http://www.arswp.com/download.html
升级清理助手，全盘扫描，只清理高危险项目,其他项目请自己判断
同时观察清理助手是否报告系统文件被替换。

如清理无效
2.扫日志前关闭无用进程，如QQ，迅雷及播放器程序

3.到官方下载SReng
下载地址
http://www.kztechs.com/sreng/download.html
SREng/智能扫描
等扫描完成,保存日志(LOG格式)

PS：如主程序SREng**.exe无法运行,导致无法扫描日志
将主程序改名为小狮子.bat

4.为了对病毒准确定位和判断，找出替换文件的病毒，必须同时上传金山清理专家日志
下载金山清理专家
http://www.duba.net/qing/
金山清理专家-在线系统诊断（隐藏安全项）-导出诊断报告-（全选）-导出报告


5.2份日志/报告以附件上传（点击我回的贴的右下角的“引用”，然后就应该知道怎么以附件发了），贴到反病毒/反流氓软件论坛.已发帖请跟贴，勿另开新帖。

如以上工具不能打开或正常运行，短消息call我

提交日志文件SREngLOG.log
下载页面：http://www.kztechs.com/sreng/download.html
操作方法：
1、下载后解压缩，运行SREngPS.EXE；
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
4、选择保存路径，文件名保持默认，直接点击【保存】；
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；
6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序。

扫描日志如下，高手帮忙。。。

附件: 新建 文本文档.txt

这毒中的
。。。。。。。。。

auto.exe
从磁盘根目录找到
发上来看看

杀毒方法随后提供

另我刚刚让朋友在家开电脑将进程抓图给我发了过来，但这时已经没有我说的那个后面是括弧里有数字的进程了，详细进程如附件里的图所

没明白，，，:default3:
每个磁盘里都有auto.exe和autorun,inf这两个东西，，，您要我发给你看什么？

C:\auto.exe
D:\auto.exe
E:\auto.exe
F:\auto.exe
G:\auto.exe
H:\auto.exe
C:\autorun.inf
D:\autorun.inf
E:\autorun.inf
F:\autorun.inf
G:\autorun.inf
H:\autorun.inf
c:\windows\system32\conime.exe
C:\WINDOWS\SYSTEM32\SYSTEM.EXE
c:\windows\system32\gdipro.dll
c:\windows\system32\sys20004.dll
c:\windows\system32\hbasktao.dll
c:\windows\system32\hbmhly.dll
c:\windows\system32\hbqqsg.dll
c:\windows\system32\hbtl.dll
c:\windows\system32\hbwow.dll
c:\windows\system32\hbxy2.dll
c:\windows\system32\aiobqogu.dll
c:\windows\system32\daundmqm.dll
c:\windows\system32\dafzgxeb.dll
c:\windows\system32\ddfafrpp.dll
c:\windows\system32\dhqnivvr.dll
c:\windows\system32\dwuudtfz.dll
c:\windows\system32\tzdwhrct.dll
c:\windows\system32\qlydulkg.dll
c:\windows\system32\qwmxroty.dll
c:\windows\system32\qznqrpel.dll
c:\windows\system32\yvyqjyta.dll
c:\windows\system32\obhtnxaz.dll
c:\docume~1\admini~1\locals~1\temp\~xxx67.tmp
c:\windows\system32\drivers\hbkernel32.sys
c:\windows\system32\drivers\cnprov.sys

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[obhtnxaz.dll]    <C:\WINDOWS\system32\obhtnxaz.dll>
[yvyqjyta.dll]    <C:\WINDOWS\system32\yvyqjyta.dll>
[qznqrpel.dll]    <C:\WINDOWS\system32\qznqrpel.dll>
[daundmqm.dll]    <C:\WINDOWS\system32\daundmqm.dll>
[aiobqogu.dll]    <C:\WINDOWS\system32\aiobqogu.dll>
[aiobqogu.dll]    <C:\WINDOWS\system32\aiobqogu.dll>
[qlydulkg.dll]    <C:\WINDOWS\system32\qlydulkg.dll>
[qwmxroty.dll]    <C:\WINDOWS\system32\qwmxroty.dll>
[ddfafrpp.dll]    <C:\WINDOWS\system32\ddfafrpp.dll>
[dwuudtfz.dll]    <C:\WINDOWS\system32\dwuudtfz.dll>
[tzdwhrct.dll]    <C:\WINDOWS\system32\tzdwhrct.dll>
[dhqnivvr.dll]    <C:\WINDOWS\system32\dhqnivvr.dll>
[dafzgxeb.dll]    <C:\WINDOWS\system32\dafzgxeb.dll>
[zfbdbnmh.dll]    <C:\WINDOWS\system32\obhtnxaz.dll>
[wjwqovzt.dll]    <C:\WINDOWS\system32\yvyqjyta.dll>
[vnhdrzgo.dll]    <C:\WINDOWS\system32\daundmqm.dll>
[iuagfuun.dll]    <C:\WINDOWS\system32\qznqrpel.dll>
[yiybhchr.dll]    <C:\WINDOWS\system32\aiobqogu.dll>
[lifyszts.dll]    <C:\WINDOWS\system32\qlydulkg.dll>
[clpaxfpm.dll]    <C:\WINDOWS\system32\ddfafrpp.dll>
[pdwxqcuv.dll]    <C:\WINDOWS\system32\qwmxroty.dll>
[bwduchgw.dll]    <C:\WINDOWS\system32\dwuudtfz.dll>
[owlqoekf.dll]    <C:\WINDOWS\system32\tzdwhrct.dll>
[fzusschz.dll]    <C:\WINDOWS\system32\dhqnivvr.dll>
[ekjmyexj.dll]    <C:\WINDOWS\system32\dafzgxeb.dll>
[hsidethp.dll]    <C:\WINDOWS\system32\dwuudtfz.dll>
[amblzbcr.dll]    <C:\WINDOWS\system32\tzdwhrct.dll>
[tgbsbixs.dll]    <C:\WINDOWS\system32\dhqnivvr.dll>
[cdcbinwf.dll]    <C:\WINDOWS\system32\dafzgxeb.dll>
[wekugpli.dll]    <C:\WINDOWS\system32\obhtnxaz.dll>
[puzoxshh.dll]    <C:\WINDOWS\system32\yvyqjyta.dll>
[puzoxshh.dll]    <C:\WINDOWS\system32\yvyqjyta.dll>
[iznpfbsb.dll]    <C:\WINDOWS\system32\qznqrpel.dll>
[vavmrgwc.dll]    <C:\WINDOWS\system32\daundmqm.dll>
[vkjxoimu.dll]    <C:\WINDOWS\system32\aiobqogu.dll>
[ilzuigyv.dll]    <C:\WINDOWS\system32\qlydulkg.dll>

    启动项目 －－ 服务－－ 驱动程序之如下项禁用：
[~xxx67 / ~xxx67]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~xxx67.tmp>
[HBKernel32 Driver / HBKernel32]    <\SystemRoot\system32\drivers\HBKernel32.sys>
[cnprov / cnprov]    <\SystemRoot\system32\drivers\cnprov.sys>

从正常的XP-SP2计算机拷文件
替换以下文件：
c:\windows\system32\conime.exe
c:\windows\system32\rpcss.dll
c:\windows\system32\wuacult.exe
C:\WINDOWS\system32\dllcache\wuacult.exe

附件清除映像劫持项

附件: 映像劫持修复工具.rar

auto.exe文件压缩后发上来

下载木马群工具专杀一下，下载地址：
http://dl.rising.com.cn/DownLoadInfo/VirusTools_More.shtml

汗
和工程师一个口气

其实专杀工具没用:kaka6: :kaka6:

附件1.木马群专杀工具
BY瑞星

2.HB专杀工具
BY金山毒霸

附件: RepairTool.rar

附件: KillHBKernel32_Troj1。7版.rar

这个毒真的超麻烦的～～超多的啊～～～
删少一个都有问题～～建议冰刃删～～那里排列比较容易查找～


我还是第一次看见这么长的日志～:default5:

冰刃
怕是打不开
映像劫持了


重装系统还不行:default3:
重装完还得删除文件


日志？
有更长的一个
曾经被我们戏称为：吉尼斯木马群:default6:

该用户帖子内容已被屏蔽

木马群的那个根本不能用啊，
还有说映像劫持修复工具检查出来123个项目全部是指向ntsd-d

123个项目全部是指向ntsd-d正常
不能打开

木马群那个工具改名试试