瑞星卡卡安全论坛

:kaka7: :kaka7: :kaka7:

附件: SREngLOG1.log

用解压工具WinRAR依路径打开找C:\WINDOWS\文件夹内是否有个rundll32.exe文件

没有

那么其他人不要回贴

我急需要测试工具

首先作好所有准备，然后断网处理

下载我附件中的EasyDelete工具，依照操作说明图删除下面文件：

附件: EasyDelete.rar (2008-11-30 9:03:02, 129.86 K)
该附件被下载次数 289

删除：
C:\WINDOWS\system32\csrss.dll
C:\WINDOWS\system32\sh01023.dll
C:\WINDOWS\system32\sh03007.dll
C:\WINDOWS\system32\sh05008.dll
C:\WINDOWS\system32\sh09008.dll
C:\WINDOWS\system32\sh14021.dll
C:\WINDOWS\system32\sh15014.dll
C:\WINDOWS\system32\sh18031.dll
C:\WINDOWS\system32\sh23010.dll
C:\WINDOWS\system32\HBmhly.dll
C:\WINDOWS\system32\HBTL.dll
C:\WINDOWS\system32\HBDNF.dll
C:\WINDOWS\system32\HBWOW.dll
C:\WINDOWS\system32\HBJTLQ.dll
C:\WINDOWS\system32\HBWD.dll
C:\WINDOWS\system32\HBXMJ.dll
C:\WINDOWS\system32\pcpo32.dll
C:\WINDOWS\system32\12316E69.dll
C:\WINDOWS\system32\08223B03.dll
C:\WINDOWS\system32\D7C79813.dll
C:\WINDOWS\system32\DA63E650.dll
C:\WINDOWS\system32\14F7F80A.dll
C:\WINDOWS\system32\DFB3DAC5.dll
C:\WINDOWS\system32\122B901E.dll
C:\WINDOWS\system32\5934EA2B.dll
C:\WINDOWS\system32\56BC86C7.dll
C:\WINDOWS\system32\950D1600.dll
C:\WINDOWS\system32\A1A6BC2E.dll
C:\WINDOWS\system32\2EF0D734.dll
C:\WINDOWS\system32\39349BEE.dll
C:\WINDOWS\system32\06EA0A93.dll
C:\WINDOWS\system32\9CA963CA.dll
C:\WINDOWS\system32\bpdtbafr.dll
C:\WINDOWS\system32\34A25F04.dll
C:\WINDOWS\system32\E0D39066.dll
C:\WINDOWS\system32\E4814792.dll
C:\WINDOWS\system32\66AFCB56.dll
C:\WINDOWS\system32\System.exe
C:\WINDOWS\rundll32.exe
C:\WINDOWS\pcpo32.exe
C:\WINDOWS\system32\pcpo32.exe
C:\WINDOWS\system32\bpdtbafr.dll
C:\Program Files\Internet Explorer\58u1NtMe.2ys
C:\WINDOWS\system32\vordisa.dll
C:\WINDOWS\system32\6457aed.sys
C:\WINDOWS\System32\Drivers\aliimz.sys
C:\WINDOWS\system32\b160485.sys
C:\WINDOWS\system32\b71fe93.sys
C:\WINDOWS\system32\drivers\HBKernel32.sys

不论结果怎样，执行完以后，立即按下键盘上的“power”键关机并重启电脑，继续下面操作
————————————————————————————————————————
去找相同系统里的userinit.exe文件。
先复制到C:\WINDOWS\system32\dllcache文件夹里替换。
再复制到C:\WINDOWS\system32文件夹里替换。

可以这贴里找相关文件下载。
http://bbs.ikaka.com/showtopic-8417665.aspx

替换前先在任务管理器里结束Userinit.exe进程。没进程就直接替换。
————————————————————————————————————
按照这贴进行相关文件替换操作恢复rpcss服务以及恢复其对应rpcss.dll文件
http://bbs.ikaka.com/showtopic-8561436.aspx
————————————————————————————————————————
运行下载的删除映像劫持工具,清除检测到的所有映像劫持项。
http://bbs.ikaka.com/attachment.aspx?attachmentid=429561
————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里将<AppInit_DLLs>项目置空（就是选择“编辑”）这必须关闭杀毒软件的监控，否则改不了可能。
启动项目
注册表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><1,HBmhly.dll,HBTL.dll,HBDNF.dll,HBWOW.dll,HBJTLQ.dll,HBWD.dll,HBXMJ.dll>  [N/A]
就是将 <AppInit_DLLs> 的“值”项编辑置空

你可以选择其中一个红色项，然后编辑时你可能看不到什么，只需要在值项里输入任意一个字母或数字即可。
————————————————————————————————————
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除：
启动项目
注册表
    <HBService32><System.exe>  []
    <Startwd><rundll32.exe>  [N/A]
    <nwiz><pcpo32.exe>  []
    <{06EA0A93-F850-4155-B819-BD0D9B5F25EE}><06EA0A93.dll>  []
    <{9CA963CA-107C-4089-B0AB-31380F90D7E3}><9CA963CA.dll>  []
    <{39349BEE-BE43-47E4-8670-8B34570E112D}><39349BEE.dll>  []
    <{2EF0D734-21FD-4225-A1A2-BCD296182AAF}><2EF0D734.dll>  []
    <{A1A6BC2E-C6A1-43C1-8884-A31D772F42B8}><A1A6BC2E.dll>  []
    <{71A78CD4-E470-4a18-8457-E0E0283DD507}><C:\WINDOWS\system32\bpdtbafr.dll>  []
    <{950D1600-DE4A-448D-93B4-7BAE5A7A8052}><950D1600.dll>  []
    <{56BC86C7-0692-4F94-A2C1-6CF1DBF8096C}><56BC86C7.dll>  []
    <{5934EA2B-B2C4-4BE7-BF7A-FBA781A12E40}><5934EA2B.dll>  []
    <{122B901E-493F-4AD9-BC69-7DE8C3E52FCC}><122B901E.dll>  []
    <{DFB3DAC5-B0B5-4B05-BFCF-FB42737778FA}><DFB3DAC5.dll>  []
    <{14F7F80A-0FE7-4A24-83CC-639D42BE410C}><14F7F80A.dll>  []
    <{DA63E650-537C-4042-87BB-9D19D844680B}><DA63E650.dll>  []
    <{D7C79813-9233-4AE0-832C-99B2E8019673}><D7C79813.dll>  []
    <{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}><08223B03.dll>  []
    <{34A25F04-008D-403E-8EE6-2307BC02FA2E}><34A25F04.dll>  []
    <{E0D39066-96D7-4891-8527-488ADAFCD60F}><E0D39066.dll>  []
    <{E4814792-EFA3-4C20-93D0-8B130A59F9A8}><E4814792.dll>  []
    <{12316E69-4CE5-4CD7-A174-C0BD57529D5A}><12316E69.dll>  []
    <{F6A454AE-156A-415E-9F89-3795677A8A91}><C:\Program Files\Internet Explorer\58u1NtMe.2ys>  [File is missing]
    <{66AFCB56-FAA9-42D2-8C72-2767A46C7FA8}><66AFCB56.dll>  []
    <tmuoyscl.dll><C:\WINDOWS\system32\bpdtbafr.dll>  []
    <ttyutqmb.dll><C:\WINDOWS\system32\anrefrxh.dll>  [File is missing]
    <hscinvyn.dll><C:\WINDOWS\system32\bpdtbafr.dll>  []
    <anrefrxh.dll><C:\WINDOWS\system32\anrefrxh.dll>  [File is missing]
    <bpdtbafr.dll><C:\WINDOWS\system32\bpdtbafr.dll>  []
————————————————————————————————————
在扫日志的SRENG工具》启动项目》服务》驱动程序》里面找下面项删除，
==================================
驱动程序
[6457aed / 6457aed][Running/Manual Start]
  <\??\C:\WINDOWS\system32\6457aed.sys><N/A>

[aliimz / aliimz][Stopped/Manual Start]
  <System32\Drivers\aliimz.sys><N/A>

[b160485 / b160485][Running/Manual Start]
  <\??\C:\WINDOWS\system32\b160485.sys><N/A>

[b71fe93 / b71fe93][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32\b71fe93.sys><N/A>

[HBKernel32 Driver / HBKernel32][Stopped/Boot Start]
  <\SystemRoot\system32\drivers\HBKernel32.sys><N/A>
—————————————————————————————
在扫日志的SRENG工具》系统修复》浏览器加载项》里面找下面删除
==================================
浏览器加载项
[]
  {F6A454AE-156A-415E-9F89-3795677A8A91} <C:\Program Files\Internet Explorer\58u1NtMe.2ys, N/A>
————————————————————————————————————
在扫日志的SRENG工具》系统修复》HOSTS文件》选择“重置”再“保存”

—————————————————————————————————————
用下载的“清理临时文件工具ATF-Cleaner-cn”，全选所有项目，点击“立即清理”
下载：http://bbs.ikaka.com/attachment.aspx?attachmentid=447126

用W i n d o w s 清理助手 ，清理你那系统。
W i n d o w s 清理助手 下载：http://www.arswp.com/
————————————————————————————————————
再重启电脑，反复检查，操作的结果，

杀毒软件如果有异常，可能需要卸载重装，升级至最新版本全盘杀。

记得打打系统漏洞补丁

你安装在其他盘的QQ以及其他下载工具什么的软件，可能需要考虑删除放弃了。

SRENG工具的各项操作看这里：http://bbs.ikaka.com/showtopic-8545446.aspx

最后设置系统显示隐藏文件、显示系统文件。
然后全机搜索rundll32.exe文件，看看到底有几个？？？

但是你可别没事删它噢，我只是想看看有几个而已

:default7:

处理完以后，一定要再扫描一个最新SRENG日志来我看看系统怎样。

找不到 userinit.exe 这个文件

唉
你千万别连网操作啊

连网状态下，你的这个系统极重要程序userinit.exe 会继续下载新病毒

这userinit.exe 文件既不能删除，也不能不替换回来

你必须设置系统显示隐藏文件和系统文件才能用随意打开文件夹的方式找到它。

所以我建议的是
可以按照这贴进行相关文件复制粘贴替换，建议使用wsyscheck工具操作
http://bbs.ikaka.com/showtopic-8561436.aspx

愿意的话

处理完后，还是用解压工具WinRAR依路径打开将C:\WINDOWS\system32\rundll32.exe这个文件，压缩来看看

文件不动它，我只是想看看而已

最好依照我在6楼说的详细搜索搜索

怎么不回来了？？？

难道系统彻底完蛋了？？？:default2:

:default3:
怎么不自己用虚拟机测么:default3:

已经请别人试了

:default3:

真想楼主回来告诉情况如何

我急需要测试工具

这一句

楼主怕了

成实验品了:default3:
以后
唉
别这么干了

这工具是已经自己删除过大量不同种类的文件后测试没异常，才开始论坛里用的

只是一直没实际测试删除木马群大量病毒文件的效果

这贴是第一次实战

我就怕是楼主替换系统文件导致不断注销不能进系统。

所以好想知道情况呀

5楼不是让

去找相同系统里的userinit.exe文件。
先复制到C:\WINDOWS\system32\dllcache文件夹里替换。
再复制到C:\WINDOWS\system32文件夹里替换。


可是我在其他电脑里没找到userinit.exe

你没注意我推荐的下载贴？？？

其他电脑找不到，就下载我们论坛里提供的相同系统 的吧

1个rundll32.exe 都没有



最新日志

附件: SREngLOG1.log

参考
http://bbs.ikaka.com/showtopic-8561436.aspx
替换rpcss.dll

附件粉碎文件：
C:\WINDOWS\system32\sh27010.dll

附件: 3-6-0-文-件-粉-碎-器1.4版.rar

附件: 修改的2007年金-山-粉-碎-器.rar

下面两文件需要继续删除
C:\WINDOWS\system32\csrss.dll
C:\WINDOWS\system32\sh27010.dll

以及需要正确替换那个c:\windows\system32\rpcss.dll文件

文件的删除是用我提供的那个工具删除的么？？

你再试试还用那工具删除这两个病毒文件试试

恩，是用你提供的

我再去试一下

等给你看日志

不用

用你提供的那个删除工具

不太好使

开机去复制 提示这个

哎呀你折腾什么呢？

还用那EasyDelete工具:http://bbs.ikaka.com/attachment.aspx?attachmentid=459970

删除不了下面的两文件？
C:\WINDOWS\system32\csrss.dll
C:\WINDOWS\system32\sh27010.dll
——————————————————————————————
至于rpcss.dll文件，不需要删除的，只是使用wsyscheck工具操作
按照这贴进行相关文件替换操作恢复rpcss服务以及恢复其对应rpcss.dll文件
http://bbs.ikaka.com/showtopic-8561436.aspx

嗯

你提供的那个好像是删除不了

我删除了然后重启，就复制不过去

提示那个截图的提示

用你说的这个wsyscheck工具 也一样


我用冰刃把那个文件删了

才复制过去

也有可能事我操作有问题



附件: SREngLOG1.log

好绕人呀

你到底哪个删除不了？？

C:\WINDOWS\system32\csrss.dll
C:\WINDOWS\system32\sh27010.dll
这两文件？？？

还是说rpcss.dll文件？？？

需要知道极准确的情况

日志没什么了

听我慢慢道来

1.我用你提供的wsyscheck工具，替换csrss.dll
    出来提示正在被使用，无法替换

2.我使用EasyDelete工具，删除sh27010.dll和csrss.dll
  提示要重启，我就重启了，重启过后，我复制csrss.dll
  还是提示 正在被使用

3.我使用冰刃强制删除csrss.dll
    重启过后，使用CTRL+V成功复制csrss.dll


  这下说下清楚了么？

哈哈

清楚了

说明那两文件还是可以删除的。

至于替换系统文件rpcss.dll文件，你原本可以将这病毒的改个名。

然后再复制正常系统的那个进去

————————————————————————
你说

3.我使用冰刃强制删除csrss.dll
    重启过后，使用CTRL+V成功复制csrss.dll

文件名打错了吧？？？不是csrss.dll吧？？？

是rpcss.dll


:default2:

好了

系统日志已经看不出什么了

象个正常的了

实际我置顶关于木马群的贴就有关于它的部分

只是我想测试那个删除工具，所以就直接回你了的
:default6:

那工具还行，蛮不错的。

删除能力真强