瑞星卡卡安全论坛

瑞星杀不了,用了冰刃也杀不了!!  病毒名:Trojan.Win32.ArpCheat.fp    用arswp清理系统又有个特洛伊木马,也删出不了!!!  求助!!!

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ;  Embedded Web Browser from: http://bsalsa.com/; .NET CLR 2.0.50727)

上传病毒样本到：
（1）.论坛的可疑文件交流区  http://bbs.ikaka.com/showforum-20002.aspx
（2）.官网的邮件服务中心/病毒样本上报。http://mailcenter.rising.com.cn/uploadnew.aspx

病毒路径发上来


请严格按照以下步骤操作

个人建议不要偷懒，清理助手必须清理系统（如果可以运行的话），金山和sreng日志必须同时上传

1.扫日志前建议清理助手清理系统
清理助手下载
升级清理助手，全盘扫描，只清理报为病毒的高危险项目,其他项目请自己判断
同时观察清理助手是否报告系统文件被替换。(注：如发现系统文件被替换，请将情况报上来，勿自己随意操作。如自己私自替换的，导致不能进系统，责任自负)

如清理无效

2.扫日志前关闭无用进程，如QQ，迅雷及播放器程序
3.Sreng官方下载
SREng/智能扫描(记得勾选“检查进程的数字签名)
等扫描完成,保存日志(LOG格式)
PS：如主程序SREng**.exe无法运行,导致无法扫描日志
将主程序改名为我爱小狮子.bat
或我爱小狮子.scr
4.金山清理专家官方下载  | 免安装版直接运行版金山清理专家下载
金山清理专家-在线系统诊断（隐藏安全项）-导出诊断报告-（全选）-导出报告
5.2份日志/报告以附件上传（点击我这贴右下角的“引用”或最右下角的那个较大的“回复”然后就应该知道怎么发了。），贴到反病毒/反流氓软件论坛.如已发帖的请跟贴，勿另开新帖。

建议2份日志同时上传，起到互补的作用（原因：金山和SRENG都能扫出另一个不能扫出的内容）！！

扫描日志

附件: SREngLOG.log

1.建议使用XDelBox删除以下文件： Xdelbox1.8下载地址
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。



c:\sid.sys
c:\program files\common files\stoat\smses.exe

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 服务 －－ Win32服务应用程序之如下项禁用：
[Application Data Cache Protocol / ADCP]    <C:\Program Files\Common Files\stoat\smses.exe>

c:\sid.sys    文件不存在 我刚才用金山删了一下sid.sys 这个文件,没删除,名字变了,我重新扫个日志

附件: SREngLOG.log

试试大蜘蛛看看

ftp://ftp.drweb.com/pub/drweb/cureit/launch.exe

记得
开始后要立即中止杀毒
这个程序，默认的是快速扫描

你选中止之后，选择全面扫描再扫描

建议使用XDelBox(下载地址：http://bbs.ikaka.com/attachment.aspx?attachmentid=446806）
删除以下文件：（使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择剪贴板导入不检查路径，导入后记得勾选抑制其再生，在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储设备）
C:\Program Files\Common Files\stoat\smses.exe
C:\WINDOWS\system32\ayvwtq
C:\WINDOWS\System32\DRIVERS\l8m2q.sys
C:\WINDOWS\system32\drivers\lkdcvi.sys

删除重启后使用SREng修复下面各项：
动项目 －－ 服务 －－ Win32服务应用程序之如下项禁用：
[Application Data Cache Protocol / ADCP][Stopped/Auto Start]
  <C:\Program Files\Common Files\stoat\smses.exe><N/A>

启动项目 －－ 服务－－ 驱动程序之如下项删除:
SREng-在"启动项目->服务－>驱动程序中"选中"隐藏已认证的微软项目"然后删除下面名称的驱动程序(选中有问题的驱动后，点"删除服务"，点“设置”按钮即可。注意弹出的窗口中要点 "否NO"才是确认删除服务）(不能删除的就禁用:启动类型改为disabled,点中修改启动类型，点设置):

[ayvwtq / ayvwtq][Stopped/Disabled]
  <\??\C:\WINDOWS\system32\ayvwtq><N/A>
[l8m2 / l8m2q][Stopped/Disabled]
  <System32\DRIVERS\l8m2q.sys><N/A>
[lkdcvi / lkdcvi][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32\drivers\lkdcvi.sys><N/A>


用W i n d o w s 清理助手 ，清理系统。
W i n d o w s 清理助手 下载：http://www.arswp.com/

都试过了,查毒病毒还是在,一样的还是清除不了!!

照8L操作
之后用清理助手

8L的也试过了,不行!!

是不是在局域网？

什么时候出现病毒的？
病毒名称表示
该病毒是ARP欺骗病毒

文件能删除成功么？

不是局域网,1月17号出现的病毒  病毒名称就是我帖子名!

病毒路径是什么？

文件删除了,C盘里面这个东西删除了,重起又有:bsmain_runtime.log 这个好像是个日志

病毒路径:C:\WINDOWS\system32\WebThunder.dll

这是网页迅雷:default5:

..........
貌似是金山论坛曾经顶置的
64T0的病毒服务对应的文件:default3:

建议使用XDelBox删除以下文件： Xdelbox1.8下载地址
使用说明：先勾选抑制再生，删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除(不论文件是否存在，继续操作重启删除
)，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

C:\WINDOWS\system32\WebThunder.dll

我是局域网用户，也有这个病毒，问下，这个病毒是否严重，是否属于木马？删不掉啊
很着急

如果病毒路径也是：C:\WINDOWS\system32\WebThunder.dll

按照20楼方法操作。