瑞星卡卡安全论坛

大家好！原帖地址http://bbs.ikaka.com/showtopic-8590224.aspx
是一位仁兄叫我重开帖！（发发牢骚：为这个病毒我注册了3个号！，刚注册，下次上就说什么错误了，那贴的LZ和16，17楼都是我。。。。还有论坛的背景怎么老变啊，一下红一下白的- -）
这个毒只有开Q的时候才跳出。如果开迅雷的话也会无故关闭。今天再开Q，迅雷就罢工拉，点图标没反应了
原来用那费尔勉强可以上Q，病毒可以抑制一段时间，但还是会再生。我现在不敢随便开Q了，大家看看是什么情况

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

附件: du.rar

附件: SREngLOG.log

SReng——启动项目 －－ 注册表之如下项删除：
[IFEO[Thunder5.exe]]    <svchost.exe>

开QQ时再扫描sreng日志

开Q还弹出毒啊郁闷

附件: SREngLOG1.log

:kaka6: 日志里没机器狗特征啊
个人认为以下为风险级的：
[PID: 644 / SYSTEM][C:\WINDOWS\system32\nvsvc32.exe]  [NVIDIA Corporation, 6.14.10.5303]
[PID: 3864 / Administrator][E:\kof\KOF10A3.exe]  [, 1, 4, 8, 0]
机器狗病毒的判断方法：
    方法1：打开C:\WINDOWS\system32文件夹 （或打开系统对应目录），找到userinit.exe、explorer.exe点击右键查看文件的属性，若在属性窗口中看不到文件的版本标签则说明该文件已经被病毒替换系统已经染毒。
    方法2：双击瑞星杀毒软件的快捷方式，以及卡卡上网安全助手的快捷方式，没有任何反应（不是窗口打开后迅速关闭或报错崩溃）。
看看有没这个情况
有的话专杀你都试试
360
http://dl.360safe.com/killer_rodog.exe
KAS
[url=http://cu003.www.duba.net/duba/tools/dubatools/dbtools_cdj.com]http://cu003.www.duba.net/duba/tools/dubatools/dbtools_cdj.com[/url]
(加上CU003）
RISING
http://download.rising.com.cn/zsgj/RavEdog.exe

ls的我搜了下没有explorer.exe，这有关系吗》

SORRY,
exporer.exe在C:\Windows

KOF10A3.exe好象是某个模拟器的进程
nvsvc32.exe　这个有签名　应该是显卡的

哦。都有版本标.现在我用360杀住，还真有毒==先

你的迅雷和QQ貌似被IFEO镜像劫持了，用sreng扫下看下有没有。置顶贴里有工具。你也可以去我的帖子里去下 http://bbs.ikaka.com/showtopic-8593174.aspx

360找出2个 也杀不了
看图

楼主，图呢？你那图怎么是个QQ空间的封面？

再来

我晕。。。这次换成百度封面了。。

将图片复制到本地硬盘，然后将本地硬盘的图片文件作为附件上传……:default21:

BAIDU和QQ空间都禁止盗链，你用它们的网页图片相册的图片文件链接的话，只能是孤芳自赏……:default20:

都感染到瑞星安装路径来了。由于瑞星的自我保护功能，你把瑞星先卸载了再用360专杀。记得记下路径，366搞不定就用工具手动灭它。置顶贴里有工具包，建议你用网路巡警暴力强杀，注意看操作说明。
PS：你那图路径看不全，重新发个。

!!!我的瑞星是别人装的。。没盘，除了就没了

这个。。。你把瑞星的自我保护先关一会，然后试试用360能不能不重启就杀了，或是用工具手工杀。
再PS，需要看详细路径

那个路径就显示这么一小部分，要怎么搞？

在那个360的窗口中有个“状态“左边有个”|“，拖动它来改变“路径”显示的大小

看图，鼠标停在图中红圈处会变样，然后按住鼠标左键往右拖：

建议
1、换个其他的杀毒；
2、从别人机器上拷这个文件C:\WINDOWS\system32\uxtheme.dll，替换本机文件；日志中基本哪个进程中都有这个dll，感觉很不正常，所以...
3、当然之前最后用windows清理助手全盘查查，这个助手有绿色版的，可以找到，用前更新至最新；
4、修复文件关联 Error项，这个是SREng自身带的修复功能；
5、特殊特权被允许： SeDebugPrivilege [PID = 948, C:\DOCUME~1\ADMINI~1\LOCALS~1\TEMP\RARSFX0\9999.EXE]
特殊特权被允许： SeLoadDriverPrivilege [PID = 948, C:\DOCUME~1\ADMINI~1\LOCALS~1\TEMP\RARSFX0\9999.EXE]
这个exe文件应该很是可疑了，不知道是什么东西；
可以安全模式下清空此临时文件夹，也许之前用清理助手操作时就搞定了，嘿嘿；
另外网上有清理垃圾文件的小批处理，可百度一下，定期用它清清系统。

楼主的图（晕，还发到别人的帖子下面，我倒……:default21: ）：

支持22楼。
怪了，psapi.dll 之前不是感染QQ文件么，怎么连瑞星的都盯上了。。。。
强烈要求高手来分析！！！我这个老菜鸟个人建议用工具强删。