瑞星卡卡安全论坛

首先是看了个论文网，想找篇文章，然后瑞星监控和卡卡就被关闭了，并且无法再次运行，重启也不行。

然后自动安装funshion、酷狗等软件，主页被改成www.3929.cn?tn=1027152，（别点，肯定是毒）。

开机后有个类似QQ系统消息的喇叭闪动，打开后说中奖。

我的电脑、任务管理器、瑞星、卡卡都打不开了，双击后鼠标还是箭头，没反应。

c、d、e、f4个盘都有auto.exe和autorun.inf这2个文件，删了一遍，又出来，并且无法显示隐藏文件了。


我打算重装系统，可是重装只能解决C盘，def怎么办还不知道，所以没有冒然行动。

请教各位老大怎样能完整地解决这一系列问题？  顺便发个牢骚，以后都不敢上网了，看个论文都中毒

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; MAXTHON 2.0)

下载windows清理助手，用它清理一下。

如果还有问题
下载SREng
下载之后解压缩，运行SREngLdr.EXE；（如果不能运行，可以尝试改名为123.com）
点击“智能扫描”，勾选所有扫描项，勾选“检查进程模块的数字签名”；
然后点击“扫描”；
等待扫描完成，点击“保存报告”；
将保存的日志文件SREnglog.log作为附件上传到论坛；

 附件: 您所在的用户组无法下载或查看附件


大哥 上边是附件  帮我看看能解决吗 ？


我电脑现在几乎无法运行了  我想问问如果重装系统  那么d:e:f:里边的auto也能一起解决吗？还是说病毒会死灰复燃？

如果重装能解决的话 我就去装了  因为我重装一次要好几个小时  我怕晚上工作学习和睡觉

auto.exe这个文件一定要设法复制并压缩后发来

OMG,又是蝗虫，楼主的盘符里没看到auto
先修复ifeo。去金山下载蝗虫专杀，再用你的瑞星杀毒
日志就不看了，现在杀软都能杀出大部分的

C:\WINDOWS\system32\ctfmon.exe也很可疑，如不嫌麻烦也可以上传检测下:default6:

开机后右下角有个类似QQ的喇叭闪动，打开后是这个网页

http://www.5azz.com/jmsd/test.asp?cpid=2388&interid=333


罪魁祸首肯定就是他


楼上说的ctfmon确实有问题，因为防火墙还能用，总能看见这个文件请求访问网络。我给拒绝了。


我的瑞星现在打不开了，用蝗虫专杀后就可以打开了吗？ 不然的话怎么杀毒？

磁碟机
可以重装
但麻烦
把C盘重要的东西放到别的盘
重装后下载个杀毒软件安装到C盘（千万别开别的盘！)
杀完毒后把别的盘一个一个的格式化（重要文件先放到C：\）

需要下面几个文件，你用解压工具WinRAR依路径打开找他们，复制压缩发来。

C:\WINDOWS\system32\vmdetdhc.exe
C:\WINDOWS\qq02.exe
C:\WINDOWS\system\llwzjy081126.exe
C:\WINDOWS\system32\srsvc.dll
C:\WINDOWS\system32\wiaservc.dll
C:\WINDOWS\system32\w32time.dll
C:\0525fb001293857f.dat
C:\42e305548873889f.dat
C:\cd33ab0c0ae1cfc2.dat
C:\d16736b4a3b98f97.dat
C:\WINDOWS\system32\drivers\HBKernel32.sys
C:\WINDOWS\system32\drivers\aqcicd.sys
C:\WINDOWS\system32\drivers\mlyou.ahc
C:\WINDOWS\system32\drivers\nquxad.sys
C:\WINDOWS\system32\NsPass0.sys
C:\WINDOWS\system32\NsPass1.sys
C:\WINDOWS\system32\NsPass2.sys
C:\WINDOWS\system32\NsPass3.sys
C:\WINDOWS\system32\NsPass4.sys
C:\WINDOWS\system32\Nskhelper2.sys
c:\I0.SYS
C:\WINDOWS\system32\csrss.dll
C:\WINDOWS\system32\sh18024.dll
C:\WINDOWS\system32\HBASKTAO.dll
C:\WINDOWS\system32\drivers\clipsru_1.sys
C:\WINDOWS\system32\drivers\clipsru_2.sys
C:\WINDOWS\system\mvjaj32dla.dll

从下面各项可以看到，你系统重要文件被病毒恶意替换。
启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <ctfmon.exe><C:\WINDOWS\system32\ctfmon.exe>  [(Infected) Microsoft Corporation]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe>  [Microsoft Corporation]

==================================
服务
[DCOM Server Process Launcher / DcomLaunch][Running/Auto Start]
  <C:\WINDOWS\system32\svchost -k DcomLaunch-->%SystemRoot%\system32\rpcss.dll><N/A>

[Remote Procedure Call (RPC) / RpcSs][Running/Auto Start]
  <C:\WINDOWS\system32\svchost -k rpcss-->c:\windows\system32\rpcss.dll><N/A>

[System Restore Service / srservice][Running/Auto Start]
  <C:\WINDOWS\system32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\srsvc.dll><N/A>

[Windows Image Acquisition (WIA) / stisvc][Running/Auto Start]
  <C:\WINDOWS\system32\svchost.exe -k imgsvc-->%SystemRoot%\system32\wiaservc.dll><N/A>

[Windows Time / W32Time][Running/Auto Start]
  <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\w32time.dll><N/A>

他这木马群的病毒和磁碟机有什么关系？？？

我现在打不开我的电脑和winrar这些东西  所有软件必须改了名字才能运行

我把瑞星rav.exe改了32.exe  正在全盘杀毒

下了个360卫士改了123.exe  正在全盘杀木马

木马群、磁碟等专杀工具，win清理、SREng等软件，都必须改名才能运行，可是运行后没有任何作用


我正在回复这个帖子的时候，突然字体变小了。是不是系统正在被一点点侵蚀，快崩溃了

那你在我置顶工具贴找找wsyscheck工具下载

下载后改名运行

在wsyscheck的“文件管理”项里找那些文件，一个一个全复制来，压缩在一起发来

需要看文件，不然很多不认识的不能帮你的

注意：

8楼版主所说的c:\I0.sys，第三个字母是数字而非字母……:default7:

 附件: 您所在的用户组无法下载或查看附件


有些文件找不到，自己添加了些感觉可疑的



以下是360查杀记录

xav2                                          c:\windows\system32\ctfmon.exe
trojan/onlinegame.ab                c:\windows\system32\csrss.dll
trojan/onlinegame.ab                c:\windows\system32\sh18024.dll
trojan/onlinegame.ab                c:\windows\system32\rpcss.dll
gametj                                      c:\windows\qq.exe
trojan/startpage                        c:\windows\system32\dhnl.dll
trojan/onlinegame.ab                c:\windows\system32\sh18024.exe

瑞星杀毒软件20.72.22版本
Trojan.DL.Win32.Mnless.bqu    clipsru.exe
Trojan.DL.Win32.Mnless.bqu    clipsru_1.sys
Trojan.DL.Win32.Mnless.bqu    clipsru_2.sys
RootKit.Win32.Mnless.amc    I0.SYS
Trojan.PSW.Win32.GameOL.rzm    sh18024.exe
Worm.Win32.DownLoader.db    srsvc.dl
Worm.Win32.DownLoader.db    w32time.dll
Worm.Win32.DownLoader.db    wiaservc.dll

上传的其他文件已经提交分析，有结果会给您回复。

1、文件名：mlyou.ahc

病毒名：RootKit.Win32.Undef.zp

2、文件名：QQ.exe

病毒名：Trojan.Win32.Undef.thz

3、文件名：nquxad.sys

病毒名：RootKit.Win32.Agent.aax

4、文件名：help.exe
不是病毒

5、文件名：csrsrv.dll
不是病毒

6、文件名：csrss.exe
不是病毒

7、文件名：ntio804.sys
不是病毒

8、文件名：ntdos.sys
不是病毒

9、文件名：ntdos404.sys
不是病毒

10、文件名：ntdos411.sys
不是病毒

11、文件名：ntdos412.sys
不是病毒

12、文件名：ntdos804.sys
不是病毒

13、文件名：ntio.sys
不是病毒

14、文件名：ntio404.sys
不是病毒

15、文件名：ntio411.sys
不是病毒

16、文件名：ntio412.sys
不是病毒


您所上报的病毒文件将在瑞星2008的20.72.31版本中处理解决，如遇特殊情况可能会推后几个版本。

使用江民09 2008-11-27毒库扫描您上传的全都为木马文件！