瑞星卡卡安全论坛

:kaka4:无语了。。

各位高手帮忙看下吧~谢谢啦！！！

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.0; Trident/4.0; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; SLCC1; .NET CLR 2.0.50727; CIBA; .NET CLR 3.5.30729; InfoPath.2; .NET CLR 3.0.30729; MAXTHON 2.0)

附件: SREngLOG.log

你以前求助过一次，现在又做什么事导致这样呢？？

你老想玩什么游戏的吧？？？

额。。没有啊，我这次是发现老跳出一个www.6621.cn得网页，查了下说用3721杀，然后我就下了，结果瑞星扫出来有毒，我杀了，再扫没了，我就安装了，结果就。。:kaka4:
怎么办？？
这次跟上次的文件好像不一样。。。
开机报错的叫ozFV.dll:kaka4: :kaka4:

现在变成http://www.9348.cn/?205474了。。:kaka7:

谁告诉你3721这玩意能帮你杀东西？？它不仅不杀，还会给你塞更多东西的哟

你可真行

还象一个月前那样，终止下面两驱动的启动

==================================
驱动程序
[srhr / srhr][Stopped/Boot Start]
  <\SystemRoot\system32\drivers\izsor.sys><N/A>

[wdql / wdql][Running/Boot Start]
  <\SystemRoot\system32\drivers\ugtru.sys><N/A>

唔。。。百度上搜的哇。。确实，360还报了俩恶意插件:kaka4:

你能不能告诉我为啥停这两个啊，省的以后再出现这状况还得麻烦你，嘿嘿:kaka16:

告诉你也没有用

因为此恶意程序每次恶搞系统的时候，那驱动都是随机名的

假设以后又会被恶搞的话，可能那驱动名又变了。

我知道啊，这次跟上次就不一样~~
所以我才想知道你是怎么知道的哇~~
授人以鱼不如授人以渔嘛:kaka16:

从日志看，下面两驱动。都是Boot Start启动类型，同时更重要的是他们的驱动项名称都是不认识的。

驱动程序
[srhr / srhr][Stopped/Boot Start]
  <\SystemRoot\system32\drivers\izsor.sys><N/A>

[wdql / wdql][Running/Boot Start]
  <\SystemRoot\system32\drivers\ugtru.sys><N/A>

又可以看到，其文件签名那是<N/A> ，没有签名的，所以可疑。

再根据此首页修改的实际测试和求助的情况看，此驱动应该是Running正在运行中的，所以确定就是ugtru.sys这个恶搞的了。

至于那个izsor.sys只是随带处理一下而已。

更更重要的是，此两驱动的实际文件名，去百度无结果。

呵呵！！！！:kaka12:

额。。。那看来还是要有相关知识积淀的才看得出来~
我放弃了。。
再被绑架还找你，哈哈:kaka16: