瑞星卡卡安全论坛

中毒了。。。。:default2:
所有的删除扫描工具都无法打开
或打开了 一点修复安全模式之类的就消失
IE主页被改 安全模式损坏
任何和杀毒软件工具有关的字
只要出现
所在程序被结束

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1)

用SRENG工具扫描系统日志发这论坛来

下载SRENG工具：http://bbs.ikaka.com/attachment.aspx?attachmentid=462487
操作方法可以看这贴2楼：http://bbs.ikaka.com/showtopic-8442813.aspx

建议日志文件以附件形式发来
点击我这贴右下角的“引用”或最右下角的那个较大的“回复”然后就应该知道怎么发了。

建议用u盘安装一个winpe系统，可以参考我博客上面的过程
http://hi.baidu.com/795303/blog/item/7c55b1080129f5920a7b82e9.html
安装之后，在里面可以安装杀毒软件杀毒

啊~~~天月哥哥
是我啊
要是我能扫的话
就不麻烦你了

有没有尝试改扫描工具的文件名呢？

试过 唉
现在在pe下找
但是不确定都能找出来

会不会是磁碟机什么的···

用这个修改过的sreng扫描试试

附件: SR.rar

什么嘛

我置顶那里的那个修改的瑞星听诊器，你肯定没去试:default6:

日志

附件: SREngLOG.log

怎么不扫描日志上来:default1:

我发现这病毒很聪明
有自我学习功能

日志发上去了
在pe下删了好几个东西
sre总算能用了
不过只能用一次
扫过一次就不行了
好像那些东西都重建了

日志显示有劫持项。

。。。。。我也知道有啊
可是主要不是那个
那个删了1秒钟就会重建

都是些什么？？？？？？
==================================
服务
[MATLAB Server / matlabserver][Stopped/Manual Start]
  <C:\MATLAB6p5\webserver\bin\win32\matlabserver.exe><N/A>

==================================
驱动程序
[KernelCheck / KernelCheck][Stopped/Manual Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\neyq\KpCheck.sys><N/A>

[MHDRV / MHDRV][Stopped/Auto Start]
  <\??\C:\WINDOWS\system32\drivers\mhdrv.sys><Rainbow China Co,.Ltd>

[naks / naks][Stopped/Manual Start]
  <\??\C:\WINDOWS\fonts\naks.sys><N/A>

[nbcstsvzjiff / nbcstsvzjiff][Stopped/Manual Start]
  <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\hfciesgekxpn><N/A>

==================================
浏览器加载项
[CAdLogic Object]
  {11F09AFD-75AD-4E51-AB43-E09E9351CE16} <C:\Program Files\Common Files\PushWare\cpush.dll, N/A>
[Info cache]
  {296AB8C6-FB22-4D17-8834-064E2BA0A6F0} <C:\WINDOWS\Intel\baiduc.dll, Hello Loons.Fad>
[InstaFred]
  {1F831FA1-42FC-11D4-95A6-0080AD30DCE1} <C:\WINDOWS\DOWNLO~1\InstFred.ocx, N/A>
[NOXLATE-BANR]
  {AE563722-B4F5-11D4-A415-00108302FDFD} <C:\WINDOWS\DOWNLO~1\InstBanr.ocx, N/A>
[AcPreview 控件]
  {F281A59C-7B65-11D3-8617-0010830243BD} <C:\WINDOWS\DOWNLO~1\ACPREV~1.OCX, N/A>
[CAdLogic Object]
  {11F09AFD-75AD-4E51-AB43-E09E9351CE16} <C:\Program Files\Common Files\PushWare\cpush.dll, N/A>
——————————————————————————————————————
其中下面这文件一定得找来，还有将你放在其他盘的所有原本能单文件运行的.exe，尽量多找些发来看看
==================================
正在运行的进程
    [C:\WINDOWS\system32\LINKINFO.dll]  [Beijing Rising Information Technology Co., Ltd., 21, 0, 0, 21]

好不容易把主页改过来了
但是校园网要用锐捷
只能上2分钟
然后锐捷就挂掉了

==================================
服务
[MATLAB Server / matlabserver][Stopped/Manual Start]
  <C:\MATLAB6p5\webserver\bin\win32\matlabserver.exe><N/A>

==================================
这个是没问题的

C:\WINDOWS\fonts\naks.sys
C:\Program Files\Common Files\PushWare\cpush.dll
我很肯定是有问题的
可是 删不掉 删不掉。。。

啊啊啊
最郁闷的是连金山词霸这种东西都被毙
什么都干不了了

我回你的，你干什么呢？？？

不想给我文件？？？？

找不到文件:default2:

http://baike.360.cn/5028300/18060669.html?page=2
这个文件貌似没问题，一并发上来看看···

用WinRAR打开文件夹找C:\WINDOWS\system32\LINKINFO.dll

用冰刃找，进PE系统内找

必须找

还有其他盘我说的小程序也要找

你怎么了？？？

找个文件都不太会？

[C:\WINDOWS\system32\LINKINFO.dll]  [Beijing Rising Information Technology Co., Ltd., 21, 0, 0, 21]

最好把非系统分区的某个小点的可以独立运行的EXE文件发上来

:default3: 冰刃不能用了
用pe显示那两个文件没有
我现在在别人的电脑上啊
我那个电脑不敢动太多东西
有些东西只能用一次
第二次就再也打不开了

不惜一切代价找来

包括其他盘原本可以单文件运行的.exe小程序

你自己考虑了

你这样的情况已有其他类似求助的

也是我要到样本的唯一机会了

你得将所有需要用的工具都放在系统Windows文件夹内运行

你平时学没学些什么哟

“不惜一切代价”－－又来了:default6:

>_<
用gmer找了两个给lqqk7了
你能不能向他要下
用有染毒风险的优盘在人家的电脑上传东西
是很不方便的

唉 天月哥哥就知道样本