瑞星卡卡安全论坛

中毒了,瑞星杀毒都不能用,打不到.下别的杀毒软件,也是一样打不开.
下了个木马群.瑞星在升级的时候,电脑自动关机重启.

急!快帮帮我!

日志:

QQKav系统诊断报告!--2008.10.1
生成时间：2008-11-21  21:33:11
操作系统：Windows XP 5.1.2600.2.Service Pack 2
IE版本：Internet Explorer v6.0.2900.2180
本机内存:247.49 MB - 可用内存:35.42 MB
==================================================
系统启动项：
ctfmon.exe|C:\WINDOWS\system32\ctfmon.exe|
SiS Tray|C:\WINDOWS\system32\sistray.EXE|
!!QQKav |C:\Documents and Settings\Administrator\桌面\qqkav.exe|
RavTask |"C:\Program Files\Rising\Rav\RavTask.exe" -system|
RfwMain |"C:\Program Files\Rising\Rfw\rfwmain.exe" -Startup|
runeip|"C:\Program Files\Rising\AntiSpyware\rstray.exe" /startup|
HBService32 |System.exe|
系统进程列表：
[System Process]   
System             
\SystemRoot\System32\smss.exe
\??\C:\WINDOWS\system32\csrss.exe
\??\C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\savedump.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Rising\Rfw\rfwProxy.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\sistray.EXE
C:\Documents and Settings\Administrator\桌面\qqkav.exe
C:\WINDOWS\system32\ctfmon.exe
未知IE加载项：
{06A70D58-8D40-49DD-B46B-DC00AA3ADCA4}
||
{9FAFB576-6933-4CCC-AB3D-B988EC43D04E}
||
{B070D3E3-FEC0-47D9-8E8A-99D4EEB3D3B0}
|FlashGetBHO|C:\Documents and Settings\All Users\Application Data\FlashGetBHO\FlashGetBHO.dll
{F6A454AE-156A-415E-9F89-3795677A8A91}
||
{FB5DA724-162B-11D3-8B9B-AA70B4B0B525}
||
未知BHO插件：
{b070d3e3-fec0-47d9-8e8a-99d4eeb3d3b0}
|FlashGetBHO|C:\Documents and Settings\All Users\Application Data\FlashGetBHO\FlashGetBHO.dll
未知系统Hooks插件：
{5934EA2B-B2C4-4BE7-BF7A-FBA781A12E40}
||5934EA2B.dll
{4FBFD5A4-5FE8-4444-8BD9-FD0FAFA64F96}
||4FBFD5A4.dll
{F8E07BB2-7A19-4057-80F1-E14646E630B4}
||F8E07BB2.dll
{16AF66EB-93C8-49F9-BB09-B4F87CEDCE46}
||16AF66EB.dll
{201476D0-2B18-462E-AB9F-3E2B0CC8732B}
||201476D0.dll
{29EA67E0-9EE5-4D1A-A056-5B7BDAC4CF97}
||29EA67E0.dll
{E1D19FCC-4777-4D71-B863-6A0A5B4E59BC}
||E1D19FCC.dll
{A1A6BC2E-C6A1-43C1-8884-A31D772F42B8}
||A1A6BC2E.dll
{2EF0D734-21FD-4225-A1A2-BCD296182AAF}
||2EF0D734.dll
{56BC86C7-0692-4F94-A2C1-6CF1DBF8096C}
||56BC86C7.dll
{DA63E650-537C-4042-87BB-9D19D844680B}
||DA63E650.dll
{58FF3024-8A83-4B1A-88E9-302F47646EEE}
||58FF3024.dll
{34A25F04-008D-403E-8EE6-2307BC02FA2E}
||34A25F04.dll
{66AFCB56-FAA9-42D2-8C72-2767A46C7FA8}
||66AFCB56.dll
{BA7EDF54-8408-4B21-B351-7B447B344BA4}
||BA7EDF54.dll
{122B901E-493F-4AD9-BC69-7DE8C3E52FCC}
||122B901E.dll
未知系统服务：
Rising Personal Firewall Service|RfwService|C:\Program Files\Rising\Rfw\rfwsrv.exe|
Rising Process Communication Center|RsCCenter |"C:\Program Files\Rising\Rav\CCenter.exe"|
Rising ProxyService|RfwProxySrv |C:\Program Files\Rising\Rfw\rfwProxy.exe|
Rising RealTime Monitor|RsRavMon|"C:\PROGRAM FILES\RISING\RAV\Ravmond.exe"|

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Mozilla/4.0(Compatible EmbeddedWB- 14.59  from: http://bsalsa.com/ )

QQKAV
日志
狂汗

哪里有上传这个东东的？


建议1.参见http://bbs.ikaka.com/showtopic-8565484.aspx
建议2.

请严格按照以下步骤操作

1.扫日志前建议清理助手清理系统
清理助手下载
解压后运行，升级清理助手，全盘扫描，只清理高危险项目,其他项目请自己判断
同时观察清理助手是否报告系统文件被替换。(注：如发现系统文件被替换，请将情况报上来，勿自己随意操作
如清理无效
2.扫日志前关闭无用进程，如QQ，迅雷及播放器程序
3.Sreng官方下载
SREng/智能扫描(记得勾选“检查进程的数字签名)
等扫描完成,保存日志(LOG格式)
PS：如主程序SREng**.exe无法运行,导致无法扫描日志
将主程序改名为小狮子.bat
或小狮子.scr
4.金山清理专家官方下载  | 免安装版直接运行版金山清理专家下载
金山清理专家-在线系统诊断（隐藏安全项）-导出诊断报告-（全选）-导出报告
5.2份日志/报告以附件上传（点击我回的贴的右下角的“引用”，然后就应该知道怎么以附件发了），贴到反病毒/反流氓软件论坛.已发帖请跟贴，勿另开新帖。
建议2份日志同时上传，起到互补的作用（原因：金山和SRENG都能扫出另一个不能扫出的内容）！！

金山日志(附件)

附件: Report.txt

附件: Report.txt

http://bbs.ikaka.com/showtopic-8565484.aspx
里的这部分
xpsp2系统的相关文件替换程序：

附件: XPSP2系统下的文件替换程序.rar (2008-11-20 17:13:49, 211.79 K)
该附件被下载次数 99


完了上传新日志

晕死，2份金山扫描日志。。。:default3:

sreng2日志

附件: SREngLOG.log

看看QQ安装目录里有没有psapi.dll？

然后
安照5楼操作


完了后

1.建议使用XDelBox删除以下文件： Xdelbox1.8下载地址
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。


c:\windows\235780m.exe
c:\windows\tciocp64.exe
c:\windows\ptshell.exe
c:\windows\system32\b160485.sys
c:\windows\system32\d7b49fa.sys
c:\windows\system32\c39e8db.sys



2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[{2EF0D734-21FD-4225-A1A2-BCD296182AAF}]    <2EF0D734.dll>
[{F8E07BB2-7A19-4057-80F1-E14646E630B4}]    <F8E07BB2.dll>
[{E1D19FCC-4777-4D71-B863-6A0A5B4E59BC}]    <E1D19FCC.dll>
[{A1A6BC2E-C6A1-43C1-8884-A31D772F42B8}]    <A1A6BC2E.dll>
[{29EA67E0-9EE5-4D1A-A056-5B7BDAC4CF97}]    <29EA67E0.dll>
[{16AF66EB-93C8-49F9-BB09-B4F87CEDCE46}]    <16AF66EB.dll>
[WinSysM]    <; C:\WINDOWS\235780M.exe>
[tciocp64]    <; C:\WINDOWS\tciocp64.exe>
[ptshell]    <; C:\WINDOWS\ptshell.exe>

    启动项目 －－ 服务－－ 驱动程序之如下项禁用：
[b160485 / b160485]    <\??\C:\WINDOWS\system32\b160485.sys>
[HBKernel32 Driver / HBKernel32]    <>
[d7b49fa / d7b49fa]    <\??\C:\WINDOWS\system32\d7b49fa.sys>
[c39e8db / c39e8db]    <\??\C:\WINDOWS\system32\c39e8db.sys>
[anti qqsg / antisg]    <\??\C:\Documents and Settings\Administrator\antisg.sys>
[Net Manager / Net Manager]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1.sys>

新日志
谢谢了

附件: SREngLOG.log

附件: Report.txt

http://bbs.ikaka.com/showtopic-8565484.aspx
里的这部分
xpsp2系统的相关文件替换程序：

附件: XPSP2系统下的文件替换程序.rar (2008-11-20 17:13:49, 211.79 K)
该附件被下载次数 99


怎么不操作呢？

断网么
替换文件么

还上传新日志


[(Infected) Microsoft Corporation]

根本就没替换文件

病毒正在下载病毒DLL
PS：如不断网，如不替换文件
后果自负

:kaka6:
不仅原来的病毒还在.
好像还多了几个....:kaka11:

因为楼主未替换userinit文件

C:\WINDOWS\system32\userinit.exe
我那次中伪EXPOLRER.exe下载者、AUTO的时候金山清理专家发现了这个

断网替换文件了.

不好意思了,只有晚上有时间,帮我再看看.:default2:

附件: Report.txt

附件: SREngLOG.log

啥也不说了
还是没换成:default3:
严格按照
http://bbs.ikaka.com/showtopic-8565484.aspx
处理去
处理完
就没啥么了

你好.用XDelBox重启删除时,出现
<windows root>\system32\ntoskrnl.exe
无法启动.
怎么办

按重启见重启

换这个工具

http://bbs.ikaka.com/showtopic-8555677.aspx