版主/高手们:机器狗、盗号木马无法清除(应版主要求再次回馈结果) bbs.ikaka.com

摆渡人生 - 2008-11-6 18:06:00

机器狗、盗号木马无法清除

我的电脑装的是瑞星2008及360安全卫士:

1、发现瑞星被劫持，启动不了，重装也不行。

2、用360专杀工具杀了，重装还是发现有毒。360也启动不了。

3、登陆QQ提示有盗号木马。

4、用瑞星安装盘全部扫描了一次。

5、进入桌面后，瑞星可以启动，全盘扫描杀毒一次。

6、瑞星自动更新，重启中开机杀毒，发现病毒（如PSW等）并删除，进入桌面，现像同1、2。

4、瑞星是正版的（此前买的），希望瑞星也支持一下哈。

附:扫描报告（系统中我的QQ已卸载）

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

附件: SREngLOG.log

超级游戏迷 - 2008-11-6 18:07:00

点击下载 System Repair Engineer
1 、解压缩sreng2.zip
2、运行SREngldr.exe
3 、智能扫描=》扫描=》保存报告
4 、将日志以附件方式上传。

lihaihu - 2008-11-6 18:12:00

http://dl.rising.com.cn/DownLoadInfo/2008-06-18/1213783336d47779.shtml
http://dl.rising.com.cn/DownLoadInfo/2008-04-26/1209209417d46482.shtml
先用下这两个工具试试。

逍遥浪子45 - 2008-11-6 18:19:00

应该不是机器狗,应该是HB蝗虫,哪个BT的家伙.建议扫描SRENG日志来分析

安全初级工程师 - 2008-11-6 19:13:00

该用户帖子内容已被屏蔽

天月来了 - 2008-11-6 19:27:00

楼上两人已发现你们多次无意义的回帖

下不为例

尤其是6楼就那么一说，求助的不知道删哪里，不知道怎么删才更方便

虎头*蛇尾 - 2008-11-6 20:53:00

引用:

原帖由 虎头*蛇尾 于 2008-11-6 20:52:00 发表
本人的与楼主的一样，请高手帮帮。
我有机器狗专杀。状态说杀毒失败。
用木马群专杀。每一步明明连接网络了，可还是说连接失败。
附：日志

附件: SREngLOG.log

摆渡人生 - 2008-11-7 15:15:00

版主及大虾，我已扫描并上传文件

摆渡人生 - 2008-11-7 15:28:00

上午出差,刚回到办公室,谁帮忙分析一下我的系统日志及怎么解决啊,谢谢了

aaccbbdd - 2008-11-7 15:32:00

操作前强烈要求先断网
1.建议使用XDelBox删除以下文件： Xdelbox1.8下载地址
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\docume~1\admini~1\locals~1\temp\969378
c:\docume~1\admini~1\locals~1\temp\941159
c:\docume~1\admini~1\locals~1\temp\917893
c:\docume~1\admini~1\locals~1\temp\svcde.tmp
c:\windows\system32\system.exe
c:\windows\system32\hbdnf.dll
c:\windows\system32\hbjtlq.dll
c:\windows\system32\hbmhly.dll
c:\windows\system32\hbqqsg.dll
c:\windows\system32\hbqqxx.dll
c:\windows\system32\hbtl.dll
c:\windows\system32\hbwd.dll
c:\docume~1\admini~1\locals~1\temp\wowinitcode.dat
c:\program files\internet explorer\53u1ttme.2ys
c:\windows\system32\08223b03.dll
c:\windows\system32\122b901e.dll
c:\windows\system32\3f21aa0c.dll
c:\windows\system32\43acdcc5.dll
c:\windows\system32\4bf9cba3.dll
c:\windows\system32\58ff3024.dll
c:\windows\system32\66afcb56.dll
c:\windows\system32\8566f82e.dll
c:\windows\system32\9ca963ca.dll
c:\windows\system32\9f684de8.dll
c:\windows\system32\alxlin.dll
c:\windows\system32\b3721c07.dll
c:\windows\system32\ba7edf54.dll
c:\windows\system32\c8ffd223.dll
c:\windows\system32\d7c79813.dll
c:\windows\system32\da63e650.dll
c:\windows\system32\dfec5cb7.dll
c:\windows\system32\e0d39066.dll
c:\windows\system32\e4814792.dll
c:\windows\system32\f2cbfac4.dll
c:\windows\system32\f65bdec7.dll
c:\windows\system32\d7b49fa.sys
c:\windows\system32\ca99d57.sys
c:\windows\system32\19b5406.sys

c:\windows\system32\drivers\hbkernel32.sys
c:\windows\system32\drivers\aliimz.sys

2.删除重启后使用SREng修复下面各项：

启动项目－－注册表之如下项删除：
[{F6A454AE-156A-415E-9F89-3795677A8A91}] <C:\Program Files\Internet Explorer\53u1ttMe.2ys>
[{E0D39066-96D7-4891-8527-488ADAFCD60F}] <E0D39066.dll>
[{9CA963CA-107C-4089-B0AB-31380F90D7E3}] <9CA963CA.dll>
[{66AFCB56-FAA9-42D2-8C72-2767A46C7FA8}] <66AFCB56.dll>
[{8566F82E-03A4-416E-AEAC-66600D8881F1}] <8566F82E.dll>
[{B3721C07-62B3-411A-9DC7-F5F27E3E21FF}] <B3721C07.dll>
[{DA63E650-537C-4042-87BB-9D19D844680B}] <DA63E650.dll>
[{3F21AA0C-2A9E-4BE9-9083-9E58AB41BA01}] <3F21AA0C.dll>
[{4BF9CBA3-8DEE-41A1-8BDB-FC28D30E949F}] <4BF9CBA3.dll>
[{F2CBFAC4-6FF9-4DE9-BCB1-0F2FA2AA0B4C}] <F2CBFAC4.dll>
[{9F684DE8-3E87-4174-9033-E02A3DFD8B61}] <9F684DE8.dll>
[{122B901E-493F-4AD9-BC69-7DE8C3E52FCC}] <122B901E.dll>
[{F65BDEC7-4BF3-4512-840F-68B166B6D7AC}] <F65BDEC7.dll>
[{E4814792-EFA3-4C20-93D0-8B130A59F9A8}] <E4814792.dll>
[{BA7EDF54-8408-4B21-B351-7B447B344BA4}] <BA7EDF54.dll>
[{DFEC5CB7-E2AA-4B0A-BEB3-D140E59ED53A}] <DFEC5CB7.dll>
[{C8FFD223-C0FB-40C5-94A0-FD7891AC18E9}] <C8FFD223.dll>
[{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}] <08223B03.dll>
[{43ACDCC5-9009-4AF4-B80A-93BC656EF298}] <43ACDCC5.dll>
[{D7C79813-9233-4AE0-832C-99B2E8019673}] <D7C79813.dll>
[{3474A8C2-BEF9-46C8-983A-A26A0030EC30}] <3474A8C2.dll>
[{3474A8C2-BEF9-46C8-983A-A26A0030EC30}] <3474A8C2.dll>
[{58FF3024-8A83-4B1A-88E9-302F47646EEE}] <58FF3024.dll>
[{2EF0D734-21FD-4225-A1A2-BCD296182AAF}] <2EF0D734.dll>
[{22D75360-199D-4F79-880D-82E766675F06}] <22D75360.dll>
[svt234] <C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\969378>
[nwiz] <alxlin.exe>
[HBService32] <System.exe>

启动项目－－服务－－驱动程序之如下项删除：
(选中有问题的驱动/服务后，点"删除服务"，点"设置"按钮即可。注意弹出的窗口中要点"否NO"才是确认删除服务）

[d7b49fa / d7b49fa] <\??\C:\WINDOWS\system32\d7b49fa.sys>
[ca99d57 / ca99d57] <\??\C:\WINDOWS\system32\ca99d57.sys>
[19b5406 / 19b5406] <\??\C:\WINDOWS\system32\19b5406.sys>
[Kisstusb / Kisstusb] <>
[HBKernel32 Driver / HBKernel32] <\SystemRoot\system32\drivers\HBKernel32.sys>
[aliimz / aliimz] <System32\Drivers\aliimz.sys>

系统修复－－　浏览器加载项之如下项删除：
[] <C:\Program Files\Internet Explorer\53u1ttMe.2ys>

附件清除映像劫持项

附件: 映像劫持修复工具.rar

天月来了 - 2008-11-7 15:50:00

没看见附件:default14:

天月来了 - 2008-11-7 15:52:00

还有小狮子

你好象回的不是楼主的日志

楼主的日志在顶楼呢

aaccbbdd - 2008-11-7 15:53:00

刚刚死机

忘了:default3:

摆渡人生 - 2008-11-7 16:09:00

高贵耄耋狮的回复是不是针对我的啊,我看版主回复像是搞错了啊

谢谢啊,先帮忙看一下,附件是上传成功了的

aaccbbdd - 2008-11-7 16:16:00

操作前强烈要求先断网
1.建议使用XDelBox删除以下文件： Xdelbox1.8下载地址
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\temp\638409
c:\windows\system32\a.exe
c:\windows\system32\system.exe
c:\windows\system32\hbdnf.dll
c:\windows\system32\hbqqsg.dll
c:\windows\temp\wowinitcode.dat
c:\program files\internet explorer\53u1ttme.2ys
c:\windows\system32\08223b03.dll
c:\windows\system32\3f21aa0c.dll
c:\windows\system32\43acdcc5.dll
c:\windows\system32\4bf9cba3.dll
c:\windows\system32\58ff3024.dll
c:\windows\system32\66afcb56.dll
c:\windows\system32\8566f82e.dll
c:\windows\system32\9ca963ca.dll
c:\windows\system32\9f684de8.dll
c:\windows\system32\alxlin.dll
c:\windows\system32\b3721c07.dll
c:\windows\system32\ba7edf54.dll
c:\windows\system32\da63e650.dll
c:\windows\system32\dfec5cb7.dll
c:\windows\system32\e0d39066.dll
c:\windows\system32\f65bdec7.dll
c:\windows\system32\hbjtlq.dll
c:\windows\system32\hbmhly.dll
c:\windows\system32\hbqqxx.dll
c:\windows\system32\hbtl.dll
c:\windows\system32\hbwd.dll
c:\windows\system32\19b5406.sys
c:\windows\system32\drivers\tfw.sys
c:\windows\system32\drivers\hbkernel32.sys
c:\windows\system32\d7b49fa.sys
c:\windows\system32\d7b49fa.sys
c:\windows\system32\ca99d57.sys
c:\windows\system32\drivers\aliimz.sys

2.删除重启后使用SREng修复下面各项：

启动项目－－注册表之如下项删除：
[{DA63E650-537C-4042-87BB-9D19D844680B}] <DA63E650.dll>
[{DFEC5CB7-E2AA-4B0A-BEB3-D140E59ED53A}] <DFEC5CB7.dll>
[{3F21AA0C-2A9E-4BE9-9083-9E58AB41BA01}] <3F21AA0C.dll>
[{58FF3024-8A83-4B1A-88E9-302F47646EEE}] <58FF3024.dll>
[{4BF9CBA3-8DEE-41A1-8BDB-FC28D30E949F}] <4BF9CBA3.dll>
[{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}] <08223B03.dll>
[{F2CBFAC4-6FF9-4DE9-BCB1-0F2FA2AA0B4C}] <F2CBFAC4.dll>
[{D7C79813-9233-4AE0-832C-99B2E8019673}] <D7C79813.dll>
[{F2CBFAC4-6FF9-4DE9-BCB1-0F2FA2AA0B4C}] <F2CBFAC4.dll>
[{43ACDCC5-9009-4AF4-B80A-93BC656EF298}] <43ACDCC5.dll>
[{F6A454AE-156A-415E-9F89-3795677A8A91}] <C:\Program Files\Internet Explorer\53u1ttMe.2ys>
[{F6A454AE-156A-415E-9F89-3795677A8A91}] <C:\Program Files\Internet Explorer\53u1ttMe.2ys>
[{9CA963CA-107C-4089-B0AB-31380F90D7E3}] <9CA963CA.dll>
[{E0D39066-96D7-4891-8527-488ADAFCD60F}] <E0D39066.dll>
[{9CA963CA-107C-4089-B0AB-31380F90D7E3}] <9CA963CA.dll>
[{C8FFD223-C0FB-40C5-94A0-FD7891AC18E9}] <C8FFD223.dll>
[{66AFCB56-FAA9-42D2-8C72-2767A46C7FA8}] <66AFCB56.dll>
[{8566F82E-03A4-416E-AEAC-66600D8881F1}] <8566F82E.dll>
[{B3721C07-62B3-411A-9DC7-F5F27E3E21FF}] <B3721C07.dll>
[{9F684DE8-3E87-4174-9033-E02A3DFD8B61}] <9F684DE8.dll>
[{122B901E-493F-4AD9-BC69-7DE8C3E52FCC}] <122B901E.dll>
[{F65BDEC7-4BF3-4512-840F-68B166B6D7AC}] <F65BDEC7.dll>
[{E4814792-EFA3-4C20-93D0-8B130A59F9A8}] <E4814792.dll>
[{BA7EDF54-8408-4B21-B351-7B447B344BA4}] <BA7EDF54.dll>
注意该项[AppInit_DLLs]修改：把<HBDNF.dll,HBQQSG.dll,HBmhly.dll,HBJTLQ.dll,HBWD.dll,HBTL.dll,HBQQXX.dll>修改为<>即清空
[nwiz] <alxlin.exe>
[HBService32] <System.exe>

启动项目－－服务－－驱动程序之如下项删除：
(选中有问题的驱动/服务后，点"删除服务"，点"设置"按钮即可。注意弹出的窗口中要点"否NO"才是确认删除服务）

[19b5406 / 19b5406] <\??\C:\WINDOWS\system32\19b5406.sys>
[Kisstusb / Kisstusb] <>
[Kisstusb / Kisstusb] <>
[TorjanFW / TorjanFW] <\??\C:\WINDOWS\system32\drivers\TFW.SYS>
[HBKernel32 Driver / HBKernel32] <\SystemRoot\system32\drivers\HBKernel32.sys>
[d7b49fa / d7b49fa] <\??\C:\WINDOWS\system32\d7b49fa.sys>
[d7b49fa / d7b49fa] <\??\C:\WINDOWS\system32\d7b49fa.sys>

[ca99d57 / ca99d57] <\??\C:\WINDOWS\system32\ca99d57.sys>
[aliimz / aliimz] <System32\Drivers\aliimz.sys>

系统修复－－　浏览器加载项之如下项删除：
[] <C:\Program Files\Internet Explorer\53u1ttMe.2ys>

摆渡人生 - 2008-11-7 16:51:00

高贵,照样去做了,但删除不了啊

如图

附件: Snap1.jpg

aaccbbdd - 2008-11-7 16:54:00

附件1吧

解压后运行

从附件2导入文件路径

删除文件时勾选抑制再生

附件: 3-6-0-文-件-粉-碎-器1.4版.rar

附件: 新建文本文档 (2).txt

天月来了 - 2008-11-7 17:02:00

这XD工具可能需要将其主程序放在系统盘C盘的根目录使用

不能放在其他盘启动删除

aaccbbdd - 2008-11-7 17:03:00

汗
啥时候成这样了:kaka6:

你没告诉过我。。

摆渡人生 - 2008-11-7 17:07:00

用360度,一选粉碎就死机,蓝屏,满屏英文,没看内容

并且,重启后开机瑞星杀毒还是有病毒

aaccbbdd - 2008-11-7 17:09:00

附件1吧，解压后运行（软件需要一条一条复制，粘贴输入路径）

或附件2

附件: 费-尔-文-件删-除-工-具.rar

附件: c-_j_-x-_j.rar

天月来了 - 2008-11-7 17:10:00

这个一般在系统盘为NTFS的时候，将XD放在其他盘，可能概率性的出现那样的提示。

天月来了 - 2008-11-7 17:13:00

楼主你只有用SmtDel这个工具去删除病毒文件：

SmtDel主程序下载：http://bbs.ikaka.com/attachment.aspx?attachmentid=445125

再下载我下面提供的附件SmtDel.dat

附件: SmtDel.rar (2008-11-7 17:12:58, 446 B)
该附件被下载次数 138

然后，将你下载的SmtDel.dat文件和SmtDel主程序解压出来放到系统盘C盘的同一文件夹里启动运行。

按照内附使用说明操作，重启电脑自动运行完毕进入系统后，再立即继续其他操作。

天月来了 - 2008-11-7 17:17:00

360文件粉碎器使用时，一般不建议勾选“阻止被删除文件再次生成”那玩意易出现异常

还有当日志进程部分显示有下面情况时

[PID: 560 / SYSTEM][\??\C:\WINDOWS\system32\winlogon.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\system32\HBDNF.dll] [N/A, ]
[C:\WINDOWS\system32\HBQQSG.dll] [N/A, ]

一般不建议使用系统内的删除工具

一般建议延时重启删除或XD的删除方式删除为好

摆渡人生 - 2008-11-7 17:30:00

谢谢,我可爱的小雨伞又出现了,

是照23\24楼天月的办法及工具处理的哈,

21楼AACC的方法还是不行哈,一条一条的拷也是要蓝屏融会死机的,

我在天月的方法前试过,只拷一条测试,结果蓝屏,.死机

再次谢谢各位

天月来了 - 2008-11-7 17:40:00

因为病毒还可能又继续下载一些新玩意

愿意的话

就扫描最新SRENG日志来看看怎样了

摆渡人生 - 2008-11-7 17:43:00

我正在全盘查杀,要一会儿,发现好多木马病毒,等杀完了我上传给你们做参考

全盘查杀要两个多小时,明天我回办公室上扫描上传给您们

顺祝周未愉快!

天月来了 - 2008-11-7 19:17:00

就我这贴里说的这些

也不知道其他看贴的，以及实习生们有没学点什么:default3:

aaccbbdd - 2008-11-7 19:25:00

实习生？
这个东东名存实亡了

摆渡人生 - 2008-11-10 13:29:00

版主,杀毒后扫描报告已上传,

但老是出现这第一个提示,是怎么回事

附件: SREngLOG.log

瑞星卡卡安全论坛