瑞星卡卡安全论坛

任务管理器打不，开瑞星关闭，除C盘外的盘打不开，冰刀也运行不了，在PROGAMFILES文件夹下有2个图标文件5K.ICO、QQ.ICO，桌面上有这2个图标的快捷方式，指向http://www.5kmovie.cn/和http://1y7z.cn/，卡卡不能升级，


卡卡检测可疑文件

附件: 可疑文件.zip (2008-10-24 21:16:20, 718.56 K)
该附件被下载次数 310

导出信息

附件: rslog.txt (2008-10-24 21:16:20, 106.57 K)
该附件被下载次数 300

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)

请发SRENG报告

卡卡日志一般没人看
且日志内容严重不全，不完整


解决问题需要配合

1.扫日志前建议清理助手清理系统
http://www.arswp.com/download.html
升级清理助手，全盘扫描，只清理高危险项目,其他项目请自己判断
同时观察清理助手是否报告系统文件被替换。

如清理无效
2.扫日志前关闭无用进程，如QQ，迅雷及播放器程序

3.到官方下载SReng
下载地址
http://www.kztechs.com/sreng/download.html
SREng/智能扫描
等扫描完成,保存日志(LOG格式)

PS：如主程序SREng**.exe无法运行,导致无法扫描日志
将主程序改名为小狮子.bat

4.为了对病毒准确定位和判断，找出替换文件的病毒，必须同时上传金山清理专家日志
下载金山清理专家
http://www.duba.net/qing/
金山清理专家-在线系统诊断（隐藏安全项）-导出诊断报告-（全选）-导出报告


5.2份日志/报告以附件上传（点击我回的贴的右下角的“引用”，然后就应该知道怎么以附件发了），贴到反病毒/反流氓软件论坛.已发帖请跟贴，勿另开新帖。

如以上工具不能打开或正常运行，短消息call我

图标删了，过一会又有，开始瑞星可升级，杀毒无，重启，瑞星关闭不随系统重启，运行瑞星右下角出现小伞，光标一碰就没

请马上上传SRENG日志

金山的随你便了

卡卡日志不完整

lz按着2F的方法报下日志吧，也好快点解决问题

正在清理，马上就报

清理后说什么不完整，要从网上下，以后说要重启，然后死机，重启，防火墙也关了，卡卡也运行不了，

下面这一项点上又没了

附件: SREngLOG.log (2008-10-24 21:44:35, 71.58 K)
该附件被下载次数 238

现在什么保护也没了:default46:

以前改注册表都拒绝的，现在也不知被他改了多少，NND

粗粗看了下，貌似中了木马群，还是上SRENG日志吧：

异常注册表项：
HKLM\System\CurrentControlSet\Services
      <5102a80>
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
      {D1CC9DC6-F0BC-40fc-9552-E497B05E05B8}
      {12B02216-AC3F-42A7-8313-449771237061}
      {58FF3024-8A83-4B1A-88E9-302F47646EEE}
      {BB4E3499-0132-4d3f-849A-2BE1B26D84E1}
      {A8FC611B-71F6-4B4D-BD3A-BFBCCDE96F57}
      {4BF9CBA3-8DEE-41A1-8BDB-FC28D30E949F}
      {3474A8C2-BEF9-46C8-983A-A26A0030EC30}
      {4D023DE9-F4B5-4BE0-99C6-7C7AD0CF5426}
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
      <xfeneqsj.dll>
      <urjlnkyz.dll>

异常文件
c:\documents and settings\administrator\「开始」菜单\程序\启动\dfhsqb.exe
d:\autorun.inf
d:\auto.exe
e:\autorun.inf
e:\auto.exe
f:\autorun.inf
f:\auto.exe
c:\windows\system32\12b02216.dll
c:\windows\system32\58ff3024.dll
c:\windows\system32\xfeneqsj.dll
c:\windows\system32\a8fc611b.dll
c:\windows\system32\4bf9cba3.dll
c:\windows\system32\3474a8c2.dll
c:\windows\system32\4d023de9.dll
c:\windows\system32\urjlnkyz.dll
c:\windows\system32\sys20004.dll

操作前强烈要求先断网
1.建议使用XDelBox删除以下文件：(Xdelbox1.8下载地址：  http://www.dodudou.com/down/inde ... C8%ED%BC%FE&order=0）
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\docume~1\admini~1\locals~1\temp\2.tmp
c:\documents and settings\administrator\「开始」菜单\程序\启动\dfhsqb.exe
c:\windows\system32\12b02216.dll
c:\windows\system32\4d023de9.dll
c:\windows\system\zhnhsdf081024b.dll
D:\auto.exe
E:\auto.exe
F:\auto.exe
C:\autorun.inf
D:\autorun.inf
E:\autorun.inf
c:\windows\system32\5102a80.sys
c:\windows\system32\drivers\xhfla.sys

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[{4D023DE9-F4B5-4BE0-99C6-7C7AD0CF5426}]    <4D023DE9.dll>
[{3474A8C2-BEF9-46C8-983A-A26A0030EC30}]    <3474A8C2.dll>
[{4BF9CBA3-8DEE-41A1-8BDB-FC28D30E949F}]    <4BF9CBA3.dll>
[{A8FC611B-71F6-4B4D-BD3A-BFBCCDE96F57}]    <A8FC611B.dll>
[{58FF3024-8A83-4B1A-88E9-302F47646EEE}]    <58FF3024.dll>
[{12B02216-AC3F-42A7-8313-449771237061}]    <12B02216.dll>
[{9CA963CA-107C-4089-B0AB-31380F90D7E3}]    <9CA963CA.dll>
[{01BD9E17-3A38-4BC7-B779-517102C5A41F}]    <01BD9E17.dll>
[{B3721C07-62B3-411A-9DC7-F5F27E3E21FF}]    <B3721C07.dll>
[{E3367679-4775-4244-A62E-4CFE58FC850B}]    <E3367679.dll>
[{DB2D9172-BDCF-432E-8AF3-8D2688F850DE}]    <DB2D9172.dll>
[{E4814792-EFA3-4C20-93D0-8B130A59F9A8}]    <E4814792.dll>
[{495271CA-D0C6-4052-ABE6-5B01C73CDFB0}]    <495271CA.dll>
[{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}]    <08223B03.dll>
[{DA63E650-537C-4042-87BB-9D19D844680B}]    <DA63E650.dll>
[{6E3FCC92-4080-4619-86AA-D2AF43A478EE}]    <6E3FCC92.dll>
[{8566F82E-03A4-416E-AEAC-66600D8881F1}]    <8566F82E.dll>
[{9F684DE8-3E87-4174-9033-E02A3DFD8B61}]    <9F684DE8.dll>
[{122B901E-493F-4AD9-BC69-7DE8C3E52FCC}]    <122B901E.dll>

    启动项目 －－　启动文件夹之如下项删除：
[dfhsqb]    <C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\dfhsqb.exe>

    启动项目 －－ 服务－－ 驱动程序之如下项删除：
(选中有问题的驱动/服务后，点"删除服务"，点"设置"按钮即可。注意弹出的窗口中要点"否NO"才是确认删除服务）

[5102a80 / 5102a80]    <\??\C:\WINDOWS\system32\5102a80.sys>
[xhfla / xhfla]    <\??\C:\WINDOWS\system32\drivers\xhfla.sys>

**************以上分析报告由SREngLog分析助手提供******************

木马群的也下过专杀了，也杀过了，没报有

刚刚提供的文件
怎么就不看。。:kaka6: :kaka6: :kaka6:


确实有木马群残留的

.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：

这一步找不到要删的东西

其他都执行过了

    启动项目 －－　启动文件夹之如下项删除：
[dfhsqb]    <C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\dfhsqb.exe>

    启动项目 －－ 服务－－ 驱动程序之如下项删除：
(选中有问题的驱动/服务后，点"删除服务"，点"设置"按钮即可。注意弹出的窗口中要点"否NO"才是确认删除服务）

[5102a80 / 5102a80]    <\??\C:\WINDOWS\system32\5102a80.sys>
[xhfla / xhfla]    <\??\C:\WINDOWS\system32\drivers\xhfla.sys>
这个也执行过了，就是＊。DLL的不知道在那删

还有出现这个



开始是出现这个

找不见？
汗
细心点

:default2:

入口点错误？不必理会

这地方应该能看到，我一个一个都看过了，没这些DLL的

[{4D023DE9-F4B5-4BE0-99C6-7C7AD0CF5426}]    <4D023DE9.dll>
[{3474A8C2-BEF9-46C8-983A-A26A0030EC30}]    <3474A8C2.dll>
[{4BF9CBA3-8DEE-41A1-8BDB-FC28D30E949F}]    <4BF9CBA3.dll>
[{A8FC611B-71F6-4B4D-BD3A-BFBCCDE96F57}]    <A8FC611B.dll>
[{58FF3024-8A83-4B1A-88E9-302F47646EEE}]    <58FF3024.dll>
[{12B02216-AC3F-42A7-8313-449771237061}]    <12B02216.dll>
[{9CA963CA-107C-4089-B0AB-31380F90D7E3}]    <9CA963CA.dll>
[{01BD9E17-3A38-4BC7-B779-517102C5A41F}]    <01BD9E17.dll>
[{B3721C07-62B3-411A-9DC7-F5F27E3E21FF}]    <B3721C07.dll>
[{E3367679-4775-4244-A62E-4CFE58FC850B}]    <E3367679.dll>
[{DB2D9172-BDCF-432E-8AF3-8D2688F850DE}]    <DB2D9172.dll>
[{E4814792-EFA3-4C20-93D0-8B130A59F9A8}]    <E4814792.dll>
[{495271CA-D0C6-4052-ABE6-5B01C73CDFB0}]    <495271CA.dll>
[{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}]    <08223B03.dll>
[{DA63E650-537C-4042-87BB-9D19D844680B}]    <DA63E650.dll>
[{6E3FCC92-4080-4619-86AA-D2AF43A478EE}]    <6E3FCC92.dll>
[{8566F82E-03A4-416E-AEAC-66600D8881F1}]    <8566F82E.dll>
[{9F684DE8-3E87-4174-9033-E02A3DFD8B61}]    <9F684DE8.dll>
[{122B901E-493F-4AD9-BC69-7DE8C3E52FCC}]    <122B901E.dll>

那算了
如病毒文件已经删除了
瑞星应该能打开了
全盘杀毒吧

那些不必李惠利

是的，瑞星，防火墙，卡卡都正常了，我正在杀

现在出现这些






新的日志　

附件: SREngLOG.log (2008-10-24 22:44:51, 64.81 K)
该附件被下载次数 143

F盘还是打不开，出现这个

其他盘都能打开了，就F盘不行，等杀完我重启试试

汗
F盘的AUTO.EXE和autorun.inf还在？
用WINRAR看下F盘根目录

高手呀！！！真的还在

我先用RAR删了这2个，不知道行不行？

汗
那不是病毒

http://bbs.ikaka.com/showtopic-8431406.aspx
参考下

要等杀完才能重启，汗！还要1：40分

重启？:kaka2:

我想等瑞星全盘杀完毒之后再重启电脑，然后再放那杀一次，我不管他，明天早上再看

先谢谢你们！！！

对了，改标题怎么改？