昨天晚上中毒了 bbs.ikaka.com

ss11001 - 2009-5-3 7:45:00

昨天晚上中毒了，杀的时候提示杀不掉。今天早上再杀的时候发现毒又没了，不过现在瑞星升不了级。
附上卡卡的诊断日志一份

附件: rslog.txt (2009-5-3 7:45:08, 27.65 K)
该附件被下载次数 239

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 1.1.4322)

networkedition - 2009-5-3 8:00:00

使用System Repair Engineer扫描日志，将日志作为附件上传上来。
下载页面：http://www.kztechs.com/sreng/download.html
操作方法：
1、下载后解压缩，运行SREngPS.EXE；
2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；
3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
4、选择保存路径，文件名保持默认，直接点击【保存】；
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；
6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序

ss11001 - 2009-5-3 13:53:00

谢谢楼上的！
我现在杀毒时提示C:\WINDOWS\system32中和C:\WINDOWS\Fonts中有病毒。上面显示重启生删除，但我重启后再杀毒时还有。
另外，IE的主页被改成了“http://www.kuku530.com/?010102/”怎么都改不回来，用IE修复也不行。

附件: 新建文本文档.txt (2009-5-3 13:53:07, 44.30 K)
该附件被下载次数 194

aaccbbdd - 2009-5-3 14:05:00

将附件

附件: ctfmon.rar (2009-5-3 14:05:30, 8.52 K)
该附件被下载次数 251

解压到：
C:\WINDOWS\system32
目录

1.建议使用XDelBox（Xdelbox解压后运行）删除以下文件：(XDelBox1.8下载)
使用说明：(先勾选抑制再生)删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入，导入后在要删除文件上点击右键，（在待删除文件列表里点击右键选择从剪贴板导入不检查路径，）选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\fonts\cc8kqznexnc.fon
c:\windows\fonts\f13erxr2urh.fon
c:\windows\fonts\ty5ufs434yyd.fon
c:\windows\fonts\vwuxtybhj.fon
c:\windows\system32\08223b03.dll
c:\windows\system32\122b901e.dll
c:\windows\system32\2ef0d734.dll
c:\windows\system32\56bc86c7.dll
c:\windows\system32\704c3595.dll
c:\windows\system32\a0c86020.dll
c:\windows\system32\a1a6bc2e.dll
c:\windows\system32\acg9ycsarj8y.dll
c:\windows\system32\dhdhws7ffw.dll
c:\windows\system32\ccca2fb9.dll
c:\windows\system32\e4814792.dll
c:\windows\system32\efc0c52cc1.dll
c:\windows\system32\grtzqh5snrhat.dll
c:\windows\system32\qb5bkzy7vr5m.dll
c:\windows\system32\m37tettx7ye5c.dll
c:\windows\system32\vntu2waqucza6.dll
c:\windows\system32\yp77tt3ucg74j.dll
c:\windows\system32\wf87w8xjgdw5es6tua.dll
c:\windows\system32\ufqcu5.dll
c:\windows\system32\pkvycx5khnftc7bxjt.dll
c:\windows\system32\kw5xuyzjcsnws.dll
c:\windows\system32\kt2nuqzegma.dll
c:\windows\system32\skcfujq5edn.dll
c:\program files\internet explorer\powerja.ask
c:\windows\system32\scvhost.exe

2.删除重启后使用SREng修复下面各项：

启动项目－－注册表之如下项删除：
[{E11FB24A-F766-4D0F-ADF5-237958FFA262}] <C:\WINDOWS\fonts\f13ERxR2Urh.fon>
[{71C4F360-FF1E-413E-B17A-0CA267A78E97}] <C:\WINDOWS\system32\qB5BKZy7vR5m.dll>
[{4E5CFE74-700B-4A8B-B0BF-A6B47D896C18}] <C:\WINDOWS\system32\GrTZqH5SnRhAt.dll>
[{CCCA2FB9-2D5D-4481-8BFE-1CDDC458A3F4}] <C:\WINDOWS\system32\CCCA2FB9.dll>
[{CD95107F-52A5-42A4-9914-18949993E798}] <C:\WINDOWS\fonts\tY5UFS434YYd.fon>
[{19250D1E-B733-4F49-BC56-44EFCF3BF650}] <C:\WINDOWS\system32\m37tEtTX7Ye5c.dll>
[{122B901E-493F-4AD9-BC69-7DE8C3E52FCC}] <C:\WINDOWS\system32\122B901E.dll>
[{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}] <C:\WINDOWS\system32\08223B03.dll>
[{0D267113-499A-4EEF-998D-C45731C1B313}] <C:\WINDOWS\system32\VnTU2WAqUcZA6.dll>
[{16886058-6A31-4D53-B4AC-4CC7D2248D69}] <C:\WINDOWS\fonts\vwuXtYbhj.fon>
[{56BC86C7-0692-4F94-A2C1-6CF1DBF8096C}] <C:\WINDOWS\system32\56BC86C7.dll>
[{2EF0D734-21FD-4225-A1A2-BCD296182AAF}] <C:\WINDOWS\system32\2EF0D734.dll>
[{E88AE11C-26DF-4F4D-8726-C043F513990E}] <C:\WINDOWS\system32\yp77Tt3UCG74J.dll>
[{A0C86020-5935-4B87-B20E-0B656D450264}] <C:\WINDOWS\system32\A0C86020.dll>
[{171565E3-F0BB-4FF0-9A42-C9406C79DB78}] <C:\WINDOWS\system32\wF87W8XjgDW5Es6tuA.dll>
[{704C3595-DB85-40F6-A601-8D6F346907BD}] <C:\WINDOWS\system32\704C3595.dll>
[{E4814792-EFA3-4C20-93D0-8B130A59F9A8}] <C:\WINDOWS\system32\E4814792.dll>
[{C722AD57-35DA-4460-8353-328372F32AB2}] <C:\WINDOWS\system32\ufQCU5.dll>
[{A1A6BC2E-C6A1-43C1-8884-A31D772F42B8}] <C:\WINDOWS\system32\A1A6BC2E.dll>
[{A1A6BC2E-C6A1-43C1-8884-A31D772F42B8}] <C:\WINDOWS\system32\A1A6BC2E.dll>
[{6B74576A-BB20-47B3-AE0A-046B062897D0}] <C:\WINDOWS\system32\ACg9ycsarj8y.dll>
[{36AC68E6-0C26-4D39-B98E-54B49DAB6BAA}] <C:\WINDOWS\system32\dhDhwS7fFW.dll>
[{028A997C-4262-4107-BD46-2ABBC6143E8C}] <C:\WINDOWS\system32\efc0c52cc1.dll>
[{3BF06F2A-7AA8-4474-90A2-CFAFC22D43AB}] <C:\WINDOWS\fonts\cC8kqzNExNc.fon>
[{7A93621D-BFFE-4EB1-AAE1-CD487F429840}] <C:\WINDOWS\system32\PkVyCX5kHnftC7BXjt.dll>
[{EF6EF2D9-CDC7-481D-B17C-DA8DBA33BB01}] <C:\WINDOWS\system32\kW5xUYZjcSnWs.dll>
[{1ECE2FCB-C1BB-4706-920C-F4C1076FD155}] <C:\WINDOWS\system32\kT2NuqZeGma.dll>
[{76CBCF38-0583-44C7-A1AE-D463DFE625EC}] <C:\WINDOWS\system32\skcfujQ5EDN.dll>
[{08CBFE20-8DC8-4195-B8E2-DD66F860469D}] <C:\Program Files\Internet Explorer\PowerJa.ask>
[{08CBFE20-8DC8-4195-B8E2-DD66F860469D}] <C:\Program Files\Internet Explorer\PowerJa.ask>
[RsTray] <C:\WINDOWS\system32\scvhost.exe>

系统修复－－　浏览器加载项之如下项删除：
[] <C:\Program Files\Internet Explorer\PowerJa.ask>
[] <C:\Program Files\Internet Explorer\PowerJa.ask>

**************以上分析报告由SREngLog分析助手提供******************
分析：小狮子
时间：2009-5-3
SREngLog分析助手 1.3 (20070808 更新 BY 草莽书生)

超级游戏迷 - 2009-5-3 14:26:00

异常项目如下：
=========================================
注册表
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<RsTray><C:\WINDOWS\system32\scvhost.exe> [File is missing]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
<{1ECE2FCB-C1BB-4706-920C-F4C1076FD155}><C:\WINDOWS\system32\kT2NuqZeGma.dll> []
<{EF6EF2D9-CDC7-481D-B17C-DA8DBA33BB01}><C:\WINDOWS\system32\kW5xUYZjcSnWs.dll> []
<{7A93621D-BFFE-4EB1-AAE1-CD487F429840}><C:\WINDOWS\system32\PkVyCX5kHnftC7BXjt.dll> []
<{3BF06F2A-7AA8-4474-90A2-CFAFC22D43AB}><C:\WINDOWS\fonts\cC8kqzNExNc.fon> []
<{028A997C-4262-4107-BD46-2ABBC6143E8C}><C:\WINDOWS\system32\efc0c52cc1.dll> []
<{76CBCF38-0583-44C7-A1AE-D463DFE625EC}><C:\WINDOWS\system32\skcfujQ5EDN.dll> [File is missing]
<{36AC68E6-0C26-4D39-B98E-54B49DAB6BAA}><C:\WINDOWS\system32\dhDhwS7fFW.dll> []
<{6B74576A-BB20-47B3-AE0A-046B062897D0}><C:\WINDOWS\system32\ACg9ycsarj8y.dll> []
<{A1A6BC2E-C6A1-43C1-8884-A31D772F42B8}><C:\WINDOWS\system32\A1A6BC2E.dll> []
<{C722AD57-35DA-4460-8353-328372F32AB2}><C:\WINDOWS\system32\ufQCU5.dll> []
<{E4814792-EFA3-4C20-93D0-8B130A59F9A8}><C:\WINDOWS\system32\E4814792.dll> []
<{704C3595-DB85-40F6-A601-8D6F346907BD}><C:\WINDOWS\system32\704C3595.dll> []
<{171565E3-F0BB-4FF0-9A42-C9406C79DB78}><C:\WINDOWS\system32\wF87W8XjgDW5Es6tuA.dll> []
<{A0C86020-5935-4B87-B20E-0B656D450264}><C:\WINDOWS\system32\A0C86020.dll> []
<{E88AE11C-26DF-4F4D-8726-C043F513990E}><C:\WINDOWS\system32\yp77Tt3UCG74J.dll> []
<{2EF0D734-21FD-4225-A1A2-BCD296182AAF}><C:\WINDOWS\system32\2EF0D734.dll> []
<{56BC86C7-0692-4F94-A2C1-6CF1DBF8096C}><C:\WINDOWS\system32\56BC86C7.dll> []
<{16886058-6A31-4D53-B4AC-4CC7D2248D69}><C:\WINDOWS\fonts\vwuXtYbhj.fon> []
<{0D267113-499A-4EEF-998D-C45731C1B313}><C:\WINDOWS\system32\VnTU2WAqUcZA6.dll> []
<{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}><C:\WINDOWS\system32\08223B03.dll> []
<{122B901E-493F-4AD9-BC69-7DE8C3E52FCC}><C:\WINDOWS\system32\122B901E.dll> []
<{19250D1E-B733-4F49-BC56-44EFCF3BF650}><C:\WINDOWS\system32\m37tEtTX7Ye5c.dll> []
<{CD95107F-52A5-42A4-9914-18949993E798}><C:\WINDOWS\fonts\tY5UFS434YYd.fon> []
<{CCCA2FB9-2D5D-4481-8BFE-1CDDC458A3F4}><C:\WINDOWS\system32\CCCA2FB9.dll> []
<{4E5CFE74-700B-4A8B-B0BF-A6B47D896C18}><C:\WINDOWS\system32\GrTZqH5SnRhAt.dll> []
<{71C4F360-FF1E-413E-B17A-0CA267A78E97}><C:\WINDOWS\system32\qB5BKZy7vR5m.dll> []
<{08CBFE20-8DC8-4195-B8E2-DD66F860469D}><C:\Program Files\Internet Explorer\PowerJa.ask> [File is missing]
<{E11FB24A-F766-4D0F-ADF5-237958FFA262}><C:\WINDOWS\fonts\f13ERxR2Urh.fon> []
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
<assistse><; > [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
<CnsMin>
<helper.dll>
==================================
驱动程序
[CnsStd / CnsStd][Stopped/Auto Start]
<\SystemRoot\System32\drivers\CnsStd.sys><N/A>
[sx / sx][Stopped/Manual Start]
<\??\C:\WINDOWS\system32\drivers\sx.ahc><N/A>
[xpt / xpt][Stopped/Manual Start]
<\??\C:\WINDOWS\system32\drivers\xpt.ahc><N/A>
==================================
浏览器加载项
[]
{08CBFE20-8DC8-4195-B8E2-DD66F860469D} <C:\Program Files\Internet Explorer\PowerJa.ask, N/A>
[]
{08CBFE20-8DC8-4195-B8E2-DD66F860469D} <C:\Program Files\Internet Explorer\PowerJa.ask, N/A>
==================================
正在运行的进程
[C:\WINDOWS\system32\kT2NuqZeGma.dll] [N/A, ]
[C:\WINDOWS\system32\kW5xUYZjcSnWs.dll] [N/A, ]
[C:\WINDOWS\system32\PkVyCX5kHnftC7BXjt.dll] [N/A, ]
[C:\WINDOWS\fonts\cC8kqzNExNc.fon] [N/A, ]
[C:\WINDOWS\system32\efc0c52cc1.dll] [N/A, ]
[C:\WINDOWS\system32\dhDhwS7fFW.dll] [N/A, ]
[C:\WINDOWS\system32\ACg9ycsarj8y.dll] [N/A, ]
[C:\WINDOWS\system32\A1A6BC2E.dll] [N/A, ]
[C:\WINDOWS\system32\ufQCU5.dll] [N/A, ]
[C:\WINDOWS\system32\E4814792.dll] [N/A, ]
[C:\WINDOWS\system32\704C3595.dll] [N/A, ]
[C:\WINDOWS\system32\wF87W8XjgDW5Es6tuA.dll] [N/A, ]
[C:\WINDOWS\system32\A0C86020.dll] [N/A, ]
[C:\WINDOWS\system32\yp77Tt3UCG74J.dll] [N/A, ]
[C:\WINDOWS\system32\2EF0D734.dll] [N/A, ]
[C:\WINDOWS\system32\56BC86C7.dll] [N/A, ]
[C:\WINDOWS\fonts\vwuXtYbhj.fon] [N/A, ]
[C:\WINDOWS\system32\VnTU2WAqUcZA6.dll] [N/A, ]
[C:\WINDOWS\system32\08223B03.dll] [N/A, ]
[C:\WINDOWS\system32\122B901E.dll] [N/A, ]
[C:\WINDOWS\system32\m37tEtTX7Ye5c.dll] [N/A, ]
[C:\WINDOWS\fonts\tY5UFS434YYd.fon] [N/A, ]
[C:\WINDOWS\system32\CCCA2FB9.dll] [N/A, ]
[C:\WINDOWS\system32\GrTZqH5SnRhAt.dll] [N/A, ]
[C:\WINDOWS\system32\qB5BKZy7vR5m.dll] [N/A, ]
[C:\WINDOWS\fonts\f13ERxR2Urh.fon] [N/A, ]
==================================
计划任务
[已启用] At5.job
rundll32.exe C:\Program Files\Love\qtvuwyxh.dll,uninstall
[已启用] At4.job
rundll32.exe C:\Program Files\Love\qtvuwyxh.dll,uninstall
[已启用] At3.job
rundll32.exe C:\Program Files\Love\qtvuwyxh.dll,uninstall
[已启用] At2.job
rundll32.exe C:\Program Files\Love\qtvuwyxh.dll,uninstall
[已启用] At1.job
rundll32.exe C:\Program Files\Love\qtvuwyxh.dll,uninstall
==================================
比较麻烦。
一是输入法进程c:\windows\system32\ctfmon.exe丢失,需要找个正常的放在c:\windows\system32目录下；
二是有3721等流氓软件残留；
三是木马较多。

ss11001 - 2009-5-3 21:35:00

病毒文件已经删除，但是主页被改成了“http://www.kuku530.com/?010102/”还是改不回来

超级游戏迷 - 2009-5-3 21:41:00

禁用Task Scheduler服务并重启电脑后，删除c:\windows\tasks下的at1.job、at2.job、……at5.job共5个文件，然后重新扫描SRENG日志上传。

ss11001 - 2009-5-3 22:52:00

这个，刚扫描的
IE还是无法修改

附件: 新建文本文档.txt

超级游戏迷 - 2009-5-4 11:23:00

找到和删除以下文件，之后重启电脑：
C:\Program Files\Love\qtvuwyxh.dll

ss11001 - 2009-5-4 11:25:00

现在好像出了不少IE劫持方面的流氓软件...

天月来了 - 2009-5-4 11:26:00

重启电脑后扫描个QQ医生的日志来看

可能SRENG日志里看不到恶搞的驱动