瑞星卡卡安全论坛

救命啊，搞了几天了

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; TencentTraveler 4.0)

附件: SREngLOG.log

什么问题,请详细说明一下

出现数字进程，杀毒软件都没用

1.
d:\program files\qq2009\bin\usp10.dll
打包发上来

2.
http://bbs.ikaka.com/showtopic-8417665.aspx
2楼附件里找到ctfmon.exe
替换到
C:\WINDOWS\system32
文件夹
替换方法参见
http://bbs.ikaka.com/showtopic-8561436.aspx

3.搜索C盘外的usp10.dll
全部删除

4.建议使用XDelBox删除以下文件：(XDelBox1.8下载)
使用说明：删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入，导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\docume~1\admini~1\locals~1\temp\orz.exe
c:\docume~1\admini~1\locals~1\temp\wowinitcode.dat
c:\program files\internet explorer\powernt.onz
c:\windows\system32\anymie360.dll
c:\windows\system32\anahdmno.dll
c:\windows\system32\aohmjeim.dll
c:\windows\system32\bckdkjle.dll
c:\windows\system32\dhcfagmf.dll
c:\windows\system32\ejbgnjff.dll
c:\windows\system32\emjfblak.dll
c:\windows\system32\gcpfbcmg.dll
c:\windows\system32\hpgoahbi.dll
c:\windows\system32\ifhlgkbp.dll
c:\windows\system32\ipcdgbai.dll
c:\windows\system32\jjnenpjj.dll
c:\windows\system32\kbpmklpn.dll
c:\windows\system32\mbhackgn.dll
c:\windows\fonts\ctmres.dll
c:\windows\fonts\comres.dll
c:\windows\system32\04e412d4.dat
c:\windows\system32\drivers\msiffei.sys


5.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[337E7933]    <C:\WINDOWS\system32\jjnenpjj.dll>
[E3B073FF]    <C:\WINDOWS\system32\ejbgnjff.dll>
[E3B073FF]    <C:\WINDOWS\system32\ejbgnjff.dll>
[4B964597]    <C:\WINDOWS\system32\kbpmklpn.dll>
[29CD0BA2]    <C:\WINDOWS\system32\ipcdgbai.dll>
[BC4D435E]    <C:\WINDOWS\system32\bckdkjle.dll>
[2F1504B9]    <C:\WINDOWS\system32\ifhlgkbp.dll>
[1908A1B2]    <C:\WINDOWS\system32\hpgoahbi.dll>
[A8163E26]    <C:\WINDOWS\system32\aohmjeim.dll>
[A8163E26]    <C:\WINDOWS\system32\aohmjeim.dll>
[6B1AC407]    <C:\WINDOWS\system32\mbhackgn.dll>
[E63FB5A4]    <C:\WINDOWS\system32\emjfblak.dll>
[0C9FBC60]    <C:\WINDOWS\system32\gcpfbcmg.dll>
[D1CFA06F]    <C:\WINDOWS\system32\dhcfagmf.dll>
[A7A1D678]    <C:\WINDOWS\system32\anahdmno.dll>
[{478932A2-862F-4A34-A264-54A6EB998FDE}]    <C:\Program Files\Internet Explorer\PowerNt.Onz>
[{337E7933-E62B-45D3-807B-FF8BB381558A}]    <C:\WINDOWS\system32\jjnenpjj.dll>
[{E3B073FF-1424-4649-B12B-90BD8AB6C4EB}]    <C:\WINDOWS\system32\ejbgnjff.dll>
[{4B964597-29B6-4BD9-BC23-F8E60CD2A605}]    <C:\WINDOWS\system32\kbpmklpn.dll>
[{29CD0BA2-D5EF-422A-A6F5-28536F11D583}]    <C:\WINDOWS\system32\ipcdgbai.dll>
[{BC4D435E-8A1F-4F79-A54B-1D409E27A7AA}]    <C:\WINDOWS\system32\bckdkjle.dll>
[{2F1504B9-9CB0-4414-B121-32CF5D2374E7}]    <C:\WINDOWS\system32\ifhlgkbp.dll>
[{2F1504B9-9CB0-4414-B121-32CF5D2374E7}]    <C:\WINDOWS\system32\ifhlgkbp.dll>
[{1908A1B2-C298-4797-9B80-FE352D5DE094}]    <C:\WINDOWS\system32\hpgoahbi.dll>
[{A8163E26-E4EB-48BE-BFD4-AA4D1E40504C}]    <C:\WINDOWS\system32\aohmjeim.dll>
[{6B1AC407-6687-4179-B3F5-5E86B3044EC2}]    <C:\WINDOWS\system32\mbhackgn.dll>
[{E63FB5A4-A026-4D05-9B13-779349A6099E}]    <C:\WINDOWS\system32\emjfblak.dll>
[{0C9FBC60-28CC-4E60-B931-25C10040C4CC}]    <C:\WINDOWS\system32\gcpfbcmg.dll>
[{D1CFA06F-CF29-4136-A19B-FA1709813CE8}]    <C:\WINDOWS\system32\dhcfagmf.dll>
[{A7A1D678-117A-479A-BBAA-CD755F18278D}]    <C:\WINDOWS\system32\anahdmno.dll>
[IFEO[Thunder5.exe]]    <svchost.exe>
注意该项[AppInit_DLLs]修改：把<C:\WINDOWS\fonts\CtmRes.dll C:\WINDOWS\fonts\ComRes.dll anahdmno.dll,dhcfagmf.dll,gcpfbcmg.dll,emjfblak.dll,mbhackgn.dll,aohmjeim.dll,hpgoahbi.dll,ifhlgkbp.dll,bckdkjle.dll,ipcdgbai.dll,kbpmklpn.dll,ejbgnjff.dll,jjnenpjj.dll>修改为<>即清空

  启动项目 －－ 服务－－ 驱动程序之如下项删除：
(勾选隐藏已认证的微软项目,选中有问题的驱动/服务后，点"删除服务"，点"设置"按钮即可。注意弹出的窗口中要点"否NO"才是确认删除服务）


[Safe Mon 360 / SafeMon0]    <\??\C:\WINDOWS\system32\04E412D4.dat>
[msiffei / msiffei]    <System32\Drivers\msiffei.sys>
[io / io]    <>
[io / io]    <>

    系统修复－－　浏览器加载项之如下项删除：
[]    <C:\Program Files\Internet Explorer\PowerNt.Onz>

在d:\program files\qq2009\bin\usp10.dll没有找到usp10.dll，怎么办？

估计你U盘也有···找到后一同发上来然后删除了

不好意思，上图中ＷＩＮＮＴ是什么？

winrar操作方法
使用winrar如何找文件，如何打包文件

明白，谢谢，已经找到那个文件，再怎么办？

打包发上来
放入附件

是这一个文件还是全部？

一个usp10.dll就行

附件: usp10.rar

下一步？

下一步看4楼

文件名：ctfmon.exe
文件版本：5.1.2600.2180
路径：%systemroot%\system32
MD5：4cc6277445d2d388a4cd827086a5f5f0
文件名：explorer.exe
文件版本：6.0.2900.3156
路径：%systemroot%
MD5：0b55963e2c8129d9d2504a3c291447e0
怎么弄？

看4楼
文字内容已修正

要重启??

XDelBox1.8怎么下载??

？
替换不用重启吧
貌似
删除文件才用吧:default2:

那个工具替换文件好像要重启，重启替换的
不然替换不了，ctfmon.exe始终有这个进程在

orz.exe是利用Adobe Flash Player ActiveX插件（9.0.124.0以下版本）漏洞作恶的老马了。

建议杀毒后，立即联网升级Adobe Flash Player ActiveX为10或以上版本，防微杜渐吧。

算了,不搞了,再格一次

别泄气嘛，不然大家都白忙活了
哪里不明白我慢慢陪你就是了:default6:

哎,谢谢各位啦

重装也得删除非系统目录的usp10.dll
要不重装无效:default3:

xdelbox<<<<点击下载

下载时点击网页上部原创软件

文件已看

我置顶木马群的清理工具内早就已添加

如果重装系统，可疑看我那木马群的贴的2楼详细描述