瑞星卡卡安全论坛

首页 » 技术交流区 » 反病毒/反流氓软件论坛 » 电脑中了奇怪的木马,请高手指教
windy0618 - 2008-11-4 17:10:00
每次打开IE都会上http://www.6700.cn/?tn=102760到这里,改掉了,可下次打开还是这个,我怀疑电脑里有木马,但不知道怎么去掉木马,请高手指教.

用户系统信息:Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.04506.30; InfoPath.2; .NET CLR 3.0.04506.648; MS-RTC LM 8)
piao2008 - 2008-11-4 17:12:00
1.展开注册表到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main下,在右半部分窗口中找到串值“Start Page”双击 ,将Start Page的键值改为“about:blank”
2.展开注册表到
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
在右半部分窗口中找到串值“Start Page” 直接删除掉这个就可以
windy0618 - 2008-11-4 17:15:00
我按照这个做法做了,可是重新打开IE,还是进到那个网页了
天月来了 - 2008-11-4 17:17:00
扫SRENG日志发这论坛来

下载最新版本的SRENG工具:http://www.kztechs.com/sreng/download.html

1 下载的是压缩包,必须解压缩后再运行。
2 运行SREng***.EXE
3 选择主界面左边的:智能扫描=》扫描=》保存报告
4 把报告保存后,将日志完整发这论坛来。不要有遗漏。

建议以附件形式发来
点击我这贴右下角的“引用”或最右下角的那个较大的“回复”然后就应该知道怎么发了。
不要随意开多贴求助,随意开多贴求助,将被删除多余求助贴。
windy0618 - 2008-11-4 17:27:00
报告在附件里,另外瑞星查出一个病毒Trojan.Win32.Undef.say,文件名是jiocs.dll

附件: SREngLOG.log
天月来了 - 2008-11-4 18:17:00
已经看到异常

好想帮你

可我得回家了

等其他人帮你吧
windy0618 - 2008-11-4 19:01:00
明天也可以,其他人也没有回复我的,我还是等版主明天帮我解决吧!先谢谢啦
windy0618 - 2008-11-4 19:21:00
另外还出现了突然黑屏关机,同时和我QQ聊天的人也会同时这样,刚才就好几个人这样了,好厉害的木马啊,高手一定帮我解决啊,谢谢先.
windy0618 - 2008-11-4 19:37:00
另外启动的时候瑞星会有一段时间小伞没打开,是红色的,等启动完成的时候,小伞又自动打开变成绿色的了.有关系吗?
卡卡查到启动项里                                                     
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
zgnaqacf.dll
C:\WINDOWS\SYSTEM32\ZGNAQACF.DLL
瑞星查出这个文件是病毒,并删掉了这个文件,我在注册表里找到了,键值是{F0930A2F-D971-4828-8209-B7DFD266ED44},但怎么也删不掉,删完了又出现了,怎么办?这个是问题的所在吗?

又查到一个病毒C:\WINDOWS\system32\SafeMon0.sys 病毒名是RootKit.Win32.Undef.VB,瑞星杀不掉,显示已经删掉,可再查还有.注册表里的数值名称是ImagePath数值数据是\??\C:\WINDOWS\system32\SafeMon0.sys,我没敢删,等高手指点解决吧.我没装过360安全卫士.

我把我自己能发现的问题都写到这里,请高手指点.谢谢
天月来了 - 2008-11-5 8:40:00
下面要你操作删除的东西全部不认识,如果有你认为正确的,你可以不删

你只有用XDELBOX工具删除下面文件了:

XDELBOX工具下载:http://bbs.ikaka.com/attachment.aspx?attachmentid=446806

按照内附使用说明图操作,复制粘贴下面文件操作删除:

C:\WINDOWS\system32\zgnaqacf.dll
C:\WINDOWS\TEMP\TZB08A.EXE
C:\WINDOWS\system32\zFZ3Qn.dll
C:\WINDOWS\system32\drivers\ulwsi.sys
C:\WINDOWS\system32\SafeMon0.sys

重启电脑自动运行完毕进入系统后,再立即继续下面操作。
————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除:
启动项目
注册表
    <ipZq><%systemroot%\system32\rundll32.exe %systemroot%\system32\zFZ3Qn.dll,DllRegisterServer>  []
    <nwiz><alalin.exe>  []
    <{F0930A2F-D971-4828-8209-B7DFD266ED44}><C:\WINDOWS\system32\zgnaqacf.dll>  []
    <zgnaqacf.dll><C:\WINDOWS\system32\zgnaqacf.dll>  []
    <IFEO[enc98.EXE]><C:\WINDOWS\system32\svchost.exe>  [(Verified)Microsoft Windows Component Publisher]
    <IFEO[Thunder.exe]><svchost.exe>  [(Verified)Microsoft Windows Component Publisher]
    <IFEO[ua80.EXE]><C:\WINDOWS\system32\svchost.exe>  [(Verified)Microsoft Windows Component Publisher]
————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》驱动程序》里面找下面项删除,
==================================
驱动程序
[9fd8db / 9fd8db][Stopped/Disabled]
  <\??\C:\WINDOWS\system32\9fd8db.sys><N/A>

[aliimz / aliimz][Stopped/Disabled]
  <System32\Drivers\aliimz.sys><N/A>

[Kisstusb / Kisstusb][Stopped/Disabled]
  <\??\C:\DOCUME~1\user\LOCALS~1\Temp\Migsni.sys><N/A>

[360 safe mon / SafeMon0][Running/System Start]
  <\??\C:\WINDOWS\system32\SafeMon0.sys><N/A>

[ulwsi / ulwsi][Running/Boot Start]
  <\SystemRoot\system32\drivers\ulwsi.sys><N/A>
————————————————————————————————————
在扫日志的SRENG工具》系统修复》文件关联》修复文件关联

—————————————————————————————————————
用下载的“清理临时文件工具ATF-Cleaner-cn”,全选所有项目,点击“立即清理”
下载:http://bbs.ikaka.com/attachment.aspx?attachmentid=447126

用W i n d o w s 清理助手 ,清理你那系统。
W i n d o w s 清理助手 下载:http://www.arswp.com/
————————————————————————————————————
再重启电脑,反复检查,操作的结果,

杀毒软件如果有异常,可能需要卸载重装,升级至最新版本全盘杀。

记得打打系统漏洞补丁

SRENG工具的各项操作看这里:http://bbs.ikaka.com/showtopic-8545446.aspx
windy0618 - 2008-11-5 10:18:00
其他几个需要下载的软件都已经下载,但XDELBOX下载一半就下载不了了,请斑竹再提供一个下载地址吧
天月来了 - 2008-11-5 10:23:00
再下载嘛

偶尔没成功而已

你右键选择“目标另存为”试试
windy0618 - 2008-11-5 12:08:00
我一直试到现在都下载不了,一到800多K的时候就停了.还有别的地方可以下吗?

刚刚找到不能下载的原因,是因为我电脑里officescan这个软件查出XDELBOX可能有病毒,显示的是POSSIBLE_MLWR-24,所以拒绝下载.

XDELBOX工具是不是真的也有病毒啊?
appleone - 2008-11-5 13:07:00
直接用卡卡就可以杀掉的~~~
windy0618 - 2008-11-5 13:17:00


引用:
原帖由 appleone 于 2008-11-5 13:07:00 发表
直接用卡卡就可以杀掉的~~~


杀不掉,重新启动后还有!
天月来了 - 2008-11-5 13:54:00
那就换置顶工具贴里的超级巡警文件删除器试试

至于XD工具被不少杀毒软件误报,这已经很常见了
windy0618 - 2008-11-5 14:36:00
超级巡警删除失败,不过重新启动后,好多问题都没有了,看来是解决了,不过我在重新杀毒,不知道我是不是全弄掉了,感谢斑竹的大力帮助.谢谢!
天月来了 - 2008-11-5 14:44:00
想知道有没有全弄掉

就再来最新日志呗
1
查看完整版本: 电脑中了奇怪的木马,请高手指教