瑞星卡卡安全论坛

首页 » 技术交流区 » 反病毒/反流氓软件论坛 » 删不掉的rootkit.win32.undef.bar 怎样解决?
Qroyal - 2008-12-17 17:09:00
是一新病毒?!

每次开机都出现提示,就是怎样也删不掉,各位高手帮帮忙……T____T  谢了……

用户系统信息:Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; MAXTHON 2.0)
天月来了 - 2008-12-17 17:16:00
这贴7楼看,杀毒历史记录导出后压缩发来看看,需要知道详细病毒文件名和路径。
http://bbs.ikaka.com/showtopic-8517119.aspx
Qroyal - 2008-12-17 17:18:00
arigado 楼上

但是  瑞星已经打不开了

……
天月来了 - 2008-12-17 17:21:00
扫SRENG日志发这论坛来

下载最新版本的SRENG工具:http://www.kztechs.com/sreng/download.html
操作方法可以看这贴2楼:http://bbs.ikaka.com/showtopic-8442813.aspx

1 下载的是压缩包,必须解压缩后再运行。
2 运行SREng***.EXE
3 选择主界面左边的:智能扫描=》扫描=》保存报告
4 把报告保存后,将日志文件发这论坛来。

建议日志文件以附件形式发来
点击我这贴右下角的“引用”或最右下角的那个较大的“回复”然后就应该知道怎么发了。
请不要开新贴发日志,就原贴接贴发日志即可
Qroyal - 2008-12-17 17:24:00
开机杀毒时的提示显示C:\WINDOWS\SYSTEM32.....\ZKVPG.SYS

使用的是20.75.21版本杀的

然后开机之后,过阵子还自动蹦出QQ信息提示,而且我根本连登都没登过QQ……并且瑞星主控制面板已经无法打开

只能做到这一步了,谢谢小版同学……
天月来了 - 2008-12-17 17:27:00
看4楼

日志日志
Qroyal - 2008-12-17 17:30:00
嗯嗯  下了拿过去用了

一会完了来报告你

附件: SREngLOG.log
Qroyal - 2008-12-17 17:36:00
好了


扫描完了  日志传楼上了
谢谢
天月来了 - 2008-12-17 17:46:00
看我置顶关于木马群的贴,同样方法操作删除这几个文件:

C:\WINDOWS\System32\Drivers\aliimz.sys
C:\WINDOWS\system32\b770ca2.sys
C:\WINDOWS\system32\drivers\HBKernel32.sys
C:\WINDOWS\system32\drivers\zkvpg.sys
C:\Program Files\Internet Explorer\JetnNt64.987
C:\WINDOWS\system32\ihsajvua.dll
C:\WINDOWS\system32\alitao32.dll
C:\WINDOWS\system32\WILPAR32.DLL
C:\WINDOWS\system32\WILCOM32.DLL


将你系统内被病毒替换掉的重要系统文件C:\WINDOWS\system32\userinit.exe也用我那贴介绍的方法,替换回正确的。

然后还那贴清除映像劫持后,启动杀毒软件全盘杀吧


记住要断网操作噢
Qroyal - 2008-12-17 17:55:00
OK……

谢谢小版……


某先去研究去了……


跪谢
海上涛头雪 - 2008-12-17 18:02:00
断网处理
1.建议使用XDelBox删除以下文件:(XDelBox1.8下载)
使用说明:删除时复制所有要删除文件的路径,在待删除文件列表里点击右键选择从剪贴板导入,导入后在要删除文件上点击右键,选择立刻重启删除,电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质(包括U盘,MP3,手机存储卡等)。

c:\windows\system32\craoek.exe
c:\program files\internet explorer\jetnnt64.987
c:\windows\system32\alitao32.dll
c:\windows\system32\ihsajvua.dll
c:\windows\system32\wilcom32.dll
c:\windows\system32\wilpar32.dll
c:\docume~1\admini~1\locals~1\temp\sv30.tmp
c:\windows\system32\system.exe
c:\windows\system32\tomttod.dll
c:\windows\system32\drivers\adprot.sys
c:\windows\system32\drivers\zkvpg.sys
c:\windows\system32\drivers\hbkernel32.sys
c:\windows\system32\drivers\bdguard.sys
c:\windows\system32\b770ca2.sys
c:\windows\system32\drivers\aliimz.sys

2.删除重启后使用SREng修复下面各项:

    启动项目 -- 注册表之如下项删除:
[ihsajvua.dll]    <C:\WINDOWS\system32\ihsajvua.dll>
[{71A78CD4-E470-4a18-8457-E0E0283DD507}]    <C:\WINDOWS\system32\ihsajvua.dll>
[{72C7B634-DEB3-48BD-90C1-6BBBFE171C75}]    <C:\Program Files\Internet Explorer\JetnNt64.987>
注意该项[AppInit_DLLs]修改:把<craoe.dll woodken.dll lenyuns.dll wonlins.dll meyotme.dll kodens.dll xuntxn.dll zesttns.dll zongxim.dll jolinen.dll docyanx.dll qensng.dll qanhllao.dll rexljeh.dll xsisco.dll cenvta.dll qzyerd.dll cenbezn.dll kandawf.dll tldcoco.dll fliecods.dll delnice.dll>修改为<>即清空
[654564]    <C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\sv30.tmp>
[HBService32]    <System.exe>
[IFEO[360Safe.exe]]    <IFEOFILE>
[IFEO[360safebox.exe]]    <IFEOFILE>
[IFEO[360tray.exe]]    <IFEOFILE>
[IFEO[avast.exe]]    <IFEOFILE>
[IFEO[avcenter.exe]]    <IFEOFILE>
[IFEO[avguard.exe]]    <IFEOFILE>
[IFEO[avp.exe]]    <IFEOFILE>
[IFEO[CCenter.exe]]    <IFEOFILE>
[IFEO[guard.exe]]    <IFEOFILE>
[IFEO[kav32.exe]]    <IFEOFILE>
[IFEO[kissvc.exe]]    <IFEOFILE>
[IFEO[kpfw32.exe]]    <IFEOFILE>
[IFEO[nod32krn.exe]]    <IFEOFILE>
[IFEO[nod32kui.exe]]    <IFEOFILE>
[IFEO[Rav.exe]]    <IFEOFILE>
[IFEO[Ravmon.exe]]    <IFEOFILE>
[IFEO[RavmonD.exe]]    <IFEOFILE>
[IFEO[rfwmain.exe]]    <IFEOFILE>
[IFEO[rfwproxy.exe]]    <IFEOFILE>
[IFEO[rfwsrv.exe]]    <IFEOFILE>
[IFEO[runiep.exe]]    <IFEOFILE>
[IFEO[safeboxTray.exe]]    <IFEOFILE>
[IFEO[sched.exe]]    <IFEOFILE>
[IFEO[wscntfy.exe]]    <IFEOFILE>
[IFEO[wuauclt.攀砀攀]]    <IFEOFILE>

    启动项目 -- 服务 -- Win32服务应用程序之如下项禁用:
[Background Intelligent Transfer Service / BITS]    <C:\WINDOWS\system32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\TomttoD.dll>

    启动项目 -- 服务-- 驱动程序之如下项禁用:
[ADProt / ADProt]    <\SystemRoot\system32\drivers\ADProt.sys>
[ujaz / ujaz]    <\SystemRoot\system32\drivers\zkvpg.sys>
[HBKernel32 Driver / HBKernel32]    <\SystemRoot\system32\drivers\HBKernel32.sys>
[BdGuard / BdGuard]    <\SystemRoot\system32\drivers\BDGuard.SYS>
[b770ca2 / b770ca2]    <\??\C:\WINDOWS\system32\b770ca2.sys>
[aliimz / aliimz]    <System32\Drivers\aliimz.sys>
天月来了 - 2008-12-17 18:08:00
被替换的系统重要文件

不替换回去了??

就这么删删了事???
Qroyal - 2008-12-18 9:43:00
:default3:  昨天研究了一个网上也没有明白,现在 机器上只要是安装软件就不能点击使用: 提示找不到软件...
那个XDelbox 软件杂用哦?@
Qroyal - 2008-12-19 9:55:00
看来隔行如隔山啊 终于解决了!!
非常感谢版主啊!!!:default6: :default6: :default6:
wenli0306 - 2008-12-22 10:01:00
帮忙看看我这个怎么办

附件: SREngLOG.log
xiaoyu_2009 - 2008-12-22 10:56:00
学习点!
Qroyal - 2008-12-23 16:52:00
我也不知道呢:default3:  我是按照版主的那个帖子做的,你也去看看,按部就班来做就就可以了!!
可恶的电脑病毒!!!
朱德康 - 2008-12-23 17:17:00
版主,我也想学如何判断最基本的查病毒的方法,能推荐我看些什么方面的书吗pc055@163.com" target="_blank">~~~~pc055@163.com(这是我的邮箱)
1
查看完整版本: 删不掉的rootkit.win32.undef.bar 怎样解决?