瑞星卡卡安全论坛

怀疑中了病毒，症状如下：
开始--所有程序--启动 出现名为“AA2354”等文件，只要启动一次就增加一个，可以删除，但启动会再次添加。
看了属性，是位于"C:\WINDOWS\system32\008216\AA2354.EXE"等。
看了system32文件夹下多出好多隐藏文件夹。
用的是小红伞的FREE版，更新到最新，查不出来。

病毒文件包和日志在下面

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; CNCDialer; MAXTHON 2.0)

附件: SREngLOG.log

附件: 008216.rar

1.建议使用XDelBox删除以下文件： Xdelbox1.8下载地址
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\system32\512060\28067a4.exe
c:\windows\system32\512060\f58b3e.exe
c:\documents and settings\月舞.63c8e2ec0e5544d.000\「开始」菜单\程序\启动\f58b3e.lnk
c:\windows\system32\drivers\mkgvd.sys

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[F58B3E]    <C:\WINDOWS\system32\512060\F58B3E.EXE>

    启动项目 －－　启动文件夹之如下项删除：
[F58B3E]    <C:\Documents and Settings\月舞.63C8E2EC0E5544D.000\「开始」菜单\程序\启动\F58B3E.lnk>

    启动项目 －－ 服务－－ 驱动程序之如下项删除：
(选中有问题的驱动/服务后，点"删除服务"，点"设置"按钮即可。注意弹出的窗口中要点"否NO"才是确认删除服务）

[mkgvd / mkgvd]    <\SystemRoot\system32\drivers\mkgvd.sys>

多谢了！！！我先试试！

如不行
试试这个
http://www.usbcleaner.cn/analyse.htm
专杀工具

我按您说的删了。。。现在还加载啊。、。。。

加载？加载病毒启动项？

我重扫了一遍，您重新给分析一下吧

附件: 新建文件.log

附件: 008216.rar

对。。。加载病毒启动项

改进了

1.建议使用XDelBox删除以下文件： Xdelbox1.8下载地址
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\system32\512060\com.run
c:\windows\system32\512060\dp1.fne
c:\windows\system32\512060\eapi.fne
c:\windows\system32\512060\internet.fne
c:\windows\system32\512060\krnln.fnr
c:\windows\system32\512060\regex.fnr
c:\windows\system32\512060\shell.fne
c:\windows\system32\512060\spec.fne
c:\windows\system32\512060\28067a4.exe
c:\windows\system32\512060\f58b3e.exe
c:\documents and settings\月舞.63c8e2ec0e5544d.000\「开始」菜单\程序\启动\f58b3e.lnk
c:\windows\system32\drivers\mkgvd.sys

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[F58B3E]    <C:\WINDOWS\system32\512060\F58B3E.EXE>

    启动项目 －－　启动文件夹之如下项删除：
[F58B3E]    <C:\Documents and Settings\月舞.63C8E2EC0E5544D.000\「开始」菜单\程序\启动\F58B3E.lnk>
[F58B3E]    <C:\Documents and Settings\月舞.63C8E2EC0E5544D.000\「开始」菜单\程序\启动\F58B3E.lnk>

    启动项目 －－ 服务－－ 驱动程序之如下项删除：
(选中有问题的驱动/服务后，点"删除服务"，点"设置"按钮即可。注意弹出的窗口中要点"否NO"才是确认删除服务）

[mkgvd / mkgvd]    <\SystemRoot\system32\drivers\mkgvd.sys>

咦

不对呀

小狮子看哪个日志呢？？？？？

我怎没看到那些

只看到

==================================
启动文件夹
[AA2354]
  <C:\Documents and Settings\snoopy\「开始」菜单\程序\启动\AA2354.lnk --> C:\WINDOWS\system32\008216\AA2354.EXE [N/A]><N>



[PID: 2560 / snoopy][C:\WINDOWS\system32\008216\AA2354.EXE]  [N/A, ]
    [C:\WINDOWS\system32\008216\krnln.fnr]  [N/A, ]
    [C:\WINDOWS\system32\008216\com.run]  [, 1, 0, 0, 1]
    [C:\WINDOWS\system32\008216\shell.fne]  [N/A, ]
    [C:\WINDOWS\system32\008216\dp1.fne]  [N/A, ]
    [C:\WINDOWS\system32\008216\eAPI.fne]  [N/A, ]
    [C:\WINDOWS\system32\008216\internet.fne]  [, 1, 0, 0, 1]
    [C:\WINDOWS\system32\008216\RegEx.fnr]  [N/A, ]
    [C:\WINDOWS\system32\008216\spec.fne]  [N/A, ]

失误了。。

1.建议使用XDelBox删除以下文件： Xdelbox1.8下载地址
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。


c:\windows\system32\008216\34ff34d.exe
c:\windows\system32\008216\aa2354.exe
c:\windows\system32\008216\com.run
c:\windows\system32\008216\dp1.fne
c:\windows\system32\008216\eapi.fne
c:\windows\system32\008216\internet.fne
c:\windows\system32\008216\krnln.fnr
c:\windows\system32\008216\regex.fnr
c:\windows\system32\008216\shell.fne
c:\windows\system32\008216\spec.fne
c:\documents and settings\snoopy\「开始」菜单\程序\启动\aa2354.lnk

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[AA2354]    <C:\WINDOWS\system32\008216\AA2354.EXE>

    启动项目 －－　启动文件夹之如下项删除：
[AA2354]    <C:\Documents and Settings\snoopy\「开始」菜单\程序\启动\AA2354.lnk>