瑞星杀软和防火墙异常，请斑竹指点： bbs.ikaka.com

techie3000 - 2008-12-20 10:53:00

状况1：QQ程序最近几天莫名的退出，
状况2：昨晚下载了方正九鼎，现在卸载掉了；

补救措施：重新制作了瑞星安装包并安装，但是无法启动，
使用备份杀软超级巡警，查出10几个病毒：
1.发现可疑病毒:Trojan.Win32.Agent.gen
2.发现病毒:Trojan-GameThief.Win32.OnLineGames.txbq
3.
上传日志：SREngLOG（含杀毒记录）

再次谢谢！

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; TencentTraveler ; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.04506.30; MAXTHON 2.0)

附件: SREngLOG.rar

帅哥阿福 - 2008-12-20 11:12:00

C:\Program Files\Internet Explorer\SysPetNt.Sys
System32\Drivers\aliimz.sys
C:\WINDOWS\system32\b1a18a3e.sys
C:\WINDOWS\system32\b770ca2.sys
C:\WINDOWS\system32\c6424110.sys
C:\WINDOWS\system32\drivers\CdaC15BA.SYS
SYSTEM32\drivers\DS1410D.SYS
\System32\Drivers\dtscsi.sys>
System32\Drivers\FTCkillfile.sys
[C:\WINDOWS\system32\csrss.dll] [N/A, ]
[C:\WINDOWS\system32\sh05013.dll] [N/A, ]
[C:\WINDOWS\system32\sh09017.dll] [N/A, ]
[C:\WINDOWS\system32\sh14028.dll] [N/A, ]
[C:\WINDOWS\system32\sh28008.dll] [N/A, ]
[C:\WINDOWS\system32\HBDNF.dll] [N/A, ]
[C:\WINDOWS\system32\HBWOW.dll] [N/A, ]
[C:\WINDOWS\system32\HBTL.dll] [N/A, ]
[C:\WINDOWS\system32\HBmhly.dll] [N/A, ]
[C:\WINDOWS\system32\HBJXSJ.dll] [N/A, ]
[C:\WINDOWS\system32\HBCHIBI.dll] [N/A, ]
[C:\WINDOWS\system32\HBXMJ.dll] [N/A, ]
[C:\WINDOWS\system32\HBQQSG.dll] [N/A, ]
[C:\WINDOWS\system32\HBLYFX.dll] [N/A, ]
[C:\WINDOWS\system32\HBQQXX.dll] [N/A, ]
[C:\WINDOWS\system32\HBTW2.dll] [N/A, ]
[C:\WINDOWS\system32\HBWULIN2.dll] [N/A, ]
[C:\WINDOWS\system32\ipacc_v2.dll] [N/A, ]
[c:\windows\system32\rpcss.dll] [N/A, ]
[C:\WINDOWS\system32\D7C79813.dll] [N/A, ]
[C:\WINDOWS\system32\A1A6BC2E.dll] [N/A, ]
[C:\WINDOWS\system32\E1384213.dll] [N/A, ]
[C:\WINDOWS\system32\56BC86C7.dll] [N/A, ]
[C:\WINDOWS\system32\E0D39066.dll] [N/A, ]
[C:\WINDOWS\system32\122B901E.dll] [N/A, ]
[C:\WINDOWS\system32\DFB3DAC5.dll] [N/A, ]
[C:\WINDOWS\system32\198FF3D8.dll] [N/A, ]
[C:\WINDOWS\system32\08223B03.dll] [N/A, ]
[C:\WINDOWS\system32\AAC70E2B.dll] [N/A, ]
[C:\WINDOWS\system32\E783C505.dll] [N/A, ]
[C:\WINDOWS\system32\13DED518.dll] [N/A, ]
提交到这里，或者提交给瑞星，地址如下：http://mailcenter.rising.com.cn/index.shtml

techie3000 - 2008-12-20 11:57:00

有几个没找到
可能是超警或QQ医生删除了

附件：

附件: collect.rar

techie3000 - 2008-12-20 13:27:00

在线等

techie3000 - 2008-12-20 15:05:00

没人值班？

aaccbbdd - 2008-12-20 15:44:00

木马群

新日志发上来看看

techie3000 - 2008-12-20 17:25:00

最新日志:
等了一下午，，，，怎么也没人解决啊？
现在病毒可是一日千里？
哪能不闻不问呢？

附件: SREngLOG.log

aaccbbdd - 2008-12-20 17:34:00

参见
http://bbs.ikaka.com/showtopic-8561436.aspx
4楼替换
本机文件
userinit.EXE和rpcss.dll
正常文件下载：
http://bbs.ikaka.com/showtopic-8417665.aspx
2楼
替换后

1.建议使用XDelBox删除以下文件： Xdelbox1.8下载地址
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\docume~1\user\locals~1\temp\2483846
c:\docume~1\user\locals~1\temp\evcde.tmp
c:\windows\system32\csrss.dll
c:\windows\system32\sh05013.dll
c:\windows\system32\sh09017.dll
c:\windows\system32\sh14028.dll
c:\windows\system32\sh28008.dll
c:\windows\system32\hbdnf.dll
c:\windows\system32\hbjxsj.dll
c:\windows\system32\hbqqxx.dll
c:\windows\system32\hblyfx.dll
c:\windows\system32\hbtw2.dll
c:\windows\system32\hbwd.dll
c:\windows\system32\hbwulin2.dll
c:\windows\system32\hbxmj.dll
c:\windows\system32\system.exe
c:\program files\internet explorer\syspetnt.sys
c:\windows\system32\122b901e.dll
c:\windows\system32\08223b03.dll
c:\windows\system32\13ded518.dll
c:\windows\system32\4fbfd5a4.dll
c:\windows\system32\56bc86c7.dll
c:\windows\system32\a1a6bc2e.dll
c:\windows\system32\d7c79813.dll
c:\windows\system32\da63e650.dll
c:\windows\system32\dfb3dac5.dll
c:\windows\system32\e783c505.dll
c:\windows\system32\hbasktao.dll
c:\windows\system32\hbqqffo.dll
c:\windows\system32\aac70e2b.dll
c:\windows\system32\198ff3d8.dll
c:\windows\system32\alibaba32.dll
c:\windows\system32\e0d39066.dll
c:\windows\system32\e1384213.dll
c:\documents and settings\user\「开始」菜单\启动\8.bat
c:\windows\system32\drivers\aliimz.sys
c:\windows\system32\b770ca2.sys
c:\windows\system32\b1a18a3e.sys

2.删除重启后使用SREng修复下面各项：

启动项目－－注册表之如下项删除：
[{A1A6BC2E-C6A1-43C1-8884-A31D772F42B8}] <A1A6BC2E.dll>
[{13DED518-ACC3-4FA7-AF26-4E67A43B016E}] <13DED518.dll>
[{FECF558B-7141-45D9-BD23-1B0E391BA01B}] <C:\Program Files\Internet Explorer\SysPetNt.Sys>
[{FECF558B-7141-45D9-BD23-1B0E391BA01B}] <C:\Program Files\Internet Explorer\SysPetNt.Sys>
[{DFB3DAC5-B0B5-4B05-BFCF-FB42737778FA}] <DFB3DAC5.dll>
[{E783C505-FA27-48BD-9B35-C84E5CEA523F}] <E783C505.dll>
[{AAC70E2B-C79A-4717-A2E1-3563EAB93ECC}] <AAC70E2B.dll>
[{DA63E650-537C-4042-87BB-9D19D844680B}] <DA63E650.dll>
[{198FF3D8-56F1-466B-A36F-F9C28B43E440}] <198FF3D8.dll>
[{4FBFD5A4-5FE8-4444-8BD9-FD0FAFA64F96}] <4FBFD5A4.dll>
[{E1384213-0948-4A60-A9E3-875B191CC2E7}] <E1384213.dll>
[{E0D39066-96D7-4891-8527-488ADAFCD60F}] <E0D39066.dll>
[{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}] <08223B03.dll>
[{122B901E-493F-4AD9-BC69-7DE8C3E52FCC}] <122B901E.dll>
[{D7C79813-9233-4AE0-832C-99B2E8019673}] <D7C79813.dll>
[{56BC86C7-0692-4F94-A2C1-6CF1DBF8096C}] <56BC86C7.dll>
[nwiz] <alibaba32.exe>
[HBService32] <System.exe>
注意该项[AppInit_DLLs]修改：把<HBJXSJ.dll,HBWULIN2.dll,HBASKTAO.dll,HBDNF.dll,HBTW2.dll,HBQQFFO.dll,HBLYFX.dll,HBQQXX.dll,HBWD.dll,HBXMJ.dll>修改为<>即清空

启动项目－－　启动文件夹之如下项删除：
[8] <C:\Documents and Settings\user\「开始」菜单\启动\8.bat>

启动项目－－服务－－驱动程序之如下项删除：
(勾选隐藏已认证的微软项目,选中有问题的驱动/服务后，点"删除服务"，点"设置"按钮即可。注意弹出的窗口中要点"否NO"才是确认删除服务）

[aliimz / aliimz] <System32\Drivers\aliimz.sys>
[c6424110 / c6424110] <>
[c6424110 / c6424110] <>
[b770ca2 / b770ca2] <\??\C:\WINDOWS\system32\b770ca2.sys>
[b1a18a3e / b1a18a3e] <\??\C:\WINDOWS\system32\b1a18a3e.sys>

系统修复－－　浏览器加载项之如下项删除：
[] <C:\Program Files\Internet Explorer\SysPetNt.Sys>

techie3000 - 2008-12-21 13:46:00

可惜啊，楼上的朋友
你的方法我无法使用，
我在江民那边用了一个：LogAction.exe的清理了，不过现在输入密码后，加载个人设置却出现问题，，，弹出无数对话框，就是进入不了界面；
晕啊

aaccbbdd - 2008-12-21 13:52:00

LogAction.exe是
什么东东:default3:

techie3000 - 2008-12-21 14:29:00

还好安全模式可以进去；我再按你的方法试下

LogAction.exe，，，，看这里的解答；

http://forum.jiangmin.com/dispbbs.asp?boardid=40&id=534757&star=1#1507720

aaccbbdd - 2008-12-21 14:30:00

江民工程师？:default3:

不要试了
新日志发上来

晕４ - 2008-12-21 14:37:00

引用:

原帖由 aaccbbdd 于 2008-12-21 13:52:00 发表
LogAction.exe是
什么东东:default3:

安全日志处理助手...

天月来了 - 2008-12-21 14:39:00

引用:

原帖由 techie3000 于 2008-12-21 13:46:00 发表
可惜啊，楼上的朋友
你的方法我无法使用，
我在江民那边用了一个：LogAction.exe的清理了，不过现在输入密码后，加载个人设置却出现问题，，，弹出无数对话框，就是进入不了界面；
晕啊

很想知道他的哪个部分的方法或操作没用

急需知道

aaccbbdd - 2008-12-21 14:41:00

用过
忘了
不怎么顺手的东东

techie3000 - 2008-12-21 15:14:00

恩，，，头都大了
现在正在学习你的方法，还没开始动手
先发个日志（使用JM的方法后的，）吧，

使用JM的工具后，进不去界面，弹出：
应用程序正常初始化（0XC00000142）失败，请终止程序；
DLL C：\wNS、\sys32\imm32.LL为无效的WINDS映象；

附件: SREngLOG22.log

aaccbbdd - 2008-12-21 15:21:00

参见http://bbs.ikaka.com/showtopic-8561436.aspx
4楼
替换本机userinit.EXE和rpcss.dll
正常文件：http://bbs.ikaka.com/showtopic-8417665.aspx
2楼

替换后
1.建议使用XDelBox删除以下文件： Xdelbox1.8下载地址
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\system32\sh09015.dll
c:\windows\system32\sh14026.dll
c:\windows\system32\sh28007.dll
c:\windows\system32\csrss.dll
c:\windows\system32\drivers\aliimz.sys
c:\windows\system32\c6424110.sys
c:\windows\system32\b770ca2.sys
c:\windows\system32\b1a18a3e.sys

2.删除重启后使用SREng修复下面各项：

启动项目－－注册表之如下项删除：
[{56BC86C7-0692-4F94-A2C1-6CF1DBF8096C}] <56BC86C7.dll>
[{A1A6BC2E-C6A1-43C1-8884-A31D772F42B8}] <A1A6BC2E.dll>
[{122B901E-493F-4AD9-BC69-7DE8C3E52FCC}] <122B901E.dll>
[{13DED518-ACC3-4FA7-AF26-4E67A43B016E}] <13DED518.dll>
[{DFB3DAC5-B0B5-4B05-BFCF-FB42737778FA}] <DFB3DAC5.dll>
[{AAC70E2B-C79A-4717-A2E1-3563EAB93ECC}] <AAC70E2B.dll>
[{DA63E650-537C-4042-87BB-9D19D844680B}] <DA63E650.dll>
[{198FF3D8-56F1-466B-A36F-F9C28B43E440}] <198FF3D8.dll>
[{4FBFD5A4-5FE8-4444-8BD9-FD0FAFA64F96}] <4FBFD5A4.dll>
[{E0D39066-96D7-4891-8527-488ADAFCD60F}] <E0D39066.dll>
[{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}] <08223B03.dll>
[{D7C79813-9233-4AE0-832C-99B2E8019673}] <D7C79813.dll>
[nwiz] <alibaba32.exe>
[HBService32] <System.exe>
[{E783C505-FA27-48BD-9B35-C84E5CEA523F}] <E783C505.dll>
注意该项[AppInit_DLLs]修改：把<HBJXSJ.dll,HBWULIN2.dll,HBASKTAO.dll,HBDNF.dll,HBTW2.dll,HBQQFFO.dll,HBLYFX.dll,HBQQXX.dll,HBWD.dll,HBXMJ.dll>修改为<>即清空

启动项目－－服务－－驱动程序之如下项删除：
(勾选隐藏已认证的微软项目,选中有问题的驱动/服务后，点"删除服务"，点"设置"按钮即可。注意弹出的窗口中要点"否NO"才是确认删除服务）

[aliimz / aliimz] <System32\Drivers\aliimz.sys>
[c6424110 / c6424110] <\??\C:\WINDOWS\system32\c6424110.sys>
[b770ca2 / b770ca2] <\??\C:\WINDOWS\system32\b770ca2.sys>
[b1a18a3e / b1a18a3e] <\??\C:\WINDOWS\system32\b1a18a3e.sys>

techie3000 - 2008-12-21 15:23:00

只按照在安全下“开始处理”，接着重启，，，，正常启动后，输入密码，，，就提示初始化失败和IMM32。DLL错误

天月来了 - 2008-12-21 15:27:00

描述还是不够清楚

你意思是按照他在8楼回的

操作xdelbox工具，重启删除后

再进系统，就提示了？

那么你就没再继续其他的操作？

techie3000 - 2008-12-21 15:29:00

替换本机userinit.EXE和rpcss.dll
正常文件：http://bbs.ikaka.com/showtopic-8417665.aspx
2楼

请问：所要替换的这个SP2正常文件，，，全在SYSTEM32文件夹下吧:default2:

天月来了 - 2008-12-21 15:32:00

由你这一问

才知道你原来一直没按照8楼的严格操作完所有的一切

techie3000 - 2008-12-21 15:34:00

引用:

原帖由 天月来了 于 2008-12-21 15:27:00 发表
描述还是不够清楚

你意思是按照他在8楼回的

操作xdelbox工具，重启删除后

再进系统，就提示了？

那么你就没再继续其他的操作？

不是的，8#的方法没有使用
我只用了JM的工具，是昨天用的，正常启动，就进不去的；提示上述错误；
本论坛的AACCDD先生的方法还没使用
今天抱着一线希望，才来这里溜达溜达的，
实在感谢！

天月来了 - 2008-12-21 15:35:00

你等着

我给你做好这替换程序

techie3000 - 2008-12-21 15:38:00

引用:

原帖由 天月来了 于 2008-12-21 15:32:00 发表
由你这一问

才知道你原来一直没按照8楼的严格操作完所有的一切

对啊，，，
昨天JM那边回答的早了几分钟，
您看我在这里顶的几楼就可以看出了，有个时间差；

下面，问下正常文件（8417665。ASPX链接）是否都在SYS32下？

天月来了 - 2008-12-21 15:40:00

下载附件

解压后

运行

操作“执行替换”吧

然后重启电脑

其他的删除操作继续

附件: XPSP2_rpcss.rar

aaccbbdd - 2008-12-21 15:41:00

仅仅是替换rpcss.dll

userinit呢

techie3000 - 2008-12-21 15:43:00

再次感谢AACCDD和天月来了斑竹，
请静候佳音！

techie3000 - 2008-12-21 15:57:00

现在的状态是：
已经替换文件，正常进入熟悉的桌面，没有任何错误提示！

现在准备在安全模式下，手忍那些可恶的病毒！:default5:

再次感谢AACCDD和天月来了斑竹，

aaccbbdd - 2008-12-21 16:00:00

怎么不用XDElbox
多快:default3:

刚刚白回复了:default3:

天月来了 - 2008-12-21 16:03:00

他是替换文件那一关费劲:default3:

瑞星卡卡安全论坛