SubSeven木马 bbs.ikaka.com

clearlywate - 2009-5-11 21:04:00

如图:显示有木马,但是没查到病毒

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; .NET CLR 2.0.50727; InfoPath.1)

lrxyhrm - 2009-5-11 21:07:00

用卡卡安全助手扫描一下木马试试。

clearlywate - 2009-5-11 21:07:00

下面是瑞星个人放火墙检测出来的信息:
TCP
State=TIME_WAIT, Local 127.0.0.1:4267[SubSeven木马], Remote 127.0.0.1:2408
(Remote 的端口还有2410等等很多)
一会又没有,一会又运行很多,是中了什么病毒?

lrxyhrm - 2009-5-11 21:14:00

扫SRENG日志发这论坛来

下载最新版本的SRENG工具：http://www.kztechs.com/sreng/download.html
操作方法可以看这贴2楼：http://bbs.ikaka.com/showtopic-8442813.aspx

1 下载的是压缩包，必须解压缩后再运行。
2 运行SREng***.EXE
3 选择主界面左边的：智能扫描=》扫描=》保存报告
4 把报告保存后，将日志文件发这论坛来。

建议日志文件以附件形式发来
点击我这贴右下角的“引用”或最右下角的那个较大的“回复”然后就应该知道怎么发了。

clearlywate - 2009-5-11 21:15:00

查过没发现木马,

夲號ヱ被ジ盜 - 2009-5-11 21:17:00

没发现不代表没有

快点传SRENG日志

是昔流芳 - 2009-5-11 21:22:00

个人认为这是瑞星防火墙对可疑端口的标识。
这个链接应该是由瑞星的程序发起的，加上经过查杀没有发现问题，应该是安全的。

clearlywate - 2009-5-11 21:33:00

请看附件

附件: SREngLOG.log

CPU_ring0 - 2009-5-11 21:42:00

该用户帖子内容已被屏蔽

夲號ヱ被ジ盜 - 2009-5-11 21:43:00

可疑文件（不是病毒）：上传到
http://bbs.ikaka.com/showforum-20002.aspx

[Data Information Record Services / mdrw][Stopped/Auto Start]
<C:\Program Files\dezsea\mamnos.exe><N/A>

C:\WINDOWS\system32\notifyf2.dll
C:\WINDOWS\system32\tphklock.dll

clearlywate - 2009-5-11 22:20:00

引用:

原帖由 CPU_ring0 于 2009-5-11 21:42:00 发表
API HOOK
入口点错误：NtCreateFile (危险等级: 高, 被下面模块所HOOK: 0x003D5BB5)
入口点错误：NtCreateKey (危险等级: 高, 被下面模块所HOOK: 0x003D5D55)
入口点错误：NtLoadDriver (危险等级: 高, 被下面......

怎样解除上面的HOOK?

clearlywate - 2009-5-11 22:21:00

引用:

原帖由 夲號ヱ被ジ盜 于 2009-5-11 21:43:00 发表

可疑文件（不是病毒）：上传到
http://bbs.ikaka.com/showforum-20002.aspx

[Data Information Record Services / mdrw][Stopped/Auto Start]
<C:\Program Files\dezsea\mamnos.exe><N......

文件已经上传. 谢谢各位

是昔流芳 - 2009-5-12 13:07:00

引用:

原帖由 CPU_ring0 于 2009-5-11 21:42:00 发表
API HOOK
入口点错误：NtCreateFile (危险等级: 高, 被下面模块所HOOK: 0x003D5BB5)
入口点错误：NtCreateKey (危险等级: 高, 被下面模块所HOOK: 0x003D5D55)
入口点错误：NtLoadDriver (危险等级: 高, 被下面......

这些应是瑞星软件所致，没有问题

瑞星卡卡安全论坛