瑞星卡卡安全论坛

今天发现有很多病毒，就重启删除了几个，发现电脑重启后就跳出什么一键还原系统，一键备份系统，..........
只能启动时按F8里面的正常启动电脑才能正常启动
不知道这是为什么
请高手帮忙下

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; GTB6)

附件: SREngLOG.log

我删除了这些，不知道删错了什么
C:\Windows\System32\Qmgr.dll
C:\Windows\System32\Browser.dll
C:\Windows\System32\Irmon.dll
C:\Windows\System32\Iprip.dll
C:\Windows\System32\Appmgmts.dll
C:\Windows\System32\Drivers\Wmisvc.sys
C:\Windows\System32\704c3595.dll
C:\Windows\System32\Q9q2mhj3utberm7wc.dll
C:\Windows\System32\Emfvcsfcrkarfbbtqw5v5.dll

该用户帖子内容已被屏蔽

将系统盘根目录下的boot.ini文件提来看看

嗯，把系统文件都删错了
扫SRENG日志后，将扫描结果以附件形式发这论坛来
下载SRENG2.6版工具：http://www.kztechs.com/sreng/download.html
SRENG工具的扫描日志操作，看这贴2楼：http://bbs.ikaka.com/showtopic-8442813.aspx

附件: SREngLOG.log (2009-8-18 13:56:16, 81.09 K)
该附件被下载次数 175

是这个扫描的吗？

为什么就不能正常重启呢
都要按F8选择正常启动才可以

怎么没人来帮我:kaka4:

下载IFEO修复程序
http://bbs.ikaka.com/attachment.aspx?attachmentid=435625



建议使用XDelBox删除以下文件
复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入,重启删除

c:\windows\fonts\a97cracb.fon
c:\windows\fonts\bqgc5yhmsd4yd.fon
c:\windows\fonts\vds9ae5g5fmed.fon
c:\windows\system32\08223b03.dll
c:\windows\system32\122b901e.dll
c:\windows\system32\2ef0d734.dll
c:\windows\system32\704c3595.dll
c:\windows\system32\76b9ba7a.dll
c:\windows\system32\appmgmts.dll
c:\windows\system32\bmsg6pdmd4ht.dll
c:\windows\system32\btmband89jc9pspq5eknj.dll
c:\windows\system32\crsaqd4hw.dll
c:\windows\system32\dhdhws7ffw.dll
c:\windows\system32\ed78ab9.dll
c:\windows\system32\emfvcsfcrkarfbbtqw5v5.dll
c:\windows\system32\empppccsa8gtjurjn.dll
c:\windows\system32\enyn5x48hrtxc.dll
c:\windows\system32\gu6f5sw42mdc.dll
c:\windows\system32\jy8sgunwqbzb3x2bphy.dll
c:\windows\system32\mfr9fpruefz9vndrvejunw3.dll
c:\windows\system32\ndxq9awmc.dll
c:\windows\system32\q9q2mhj3utberm7wc.dll
c:\windows\system32\rfpz9wwyy2np.dll
c:\windows\system32\scevfjrcmab7.dll
c:\windows\system32\wdgsvbqas3xk.dll
c:\windows\system32\xatgkbdb3yxc.dll
c:\windows\system32\y4npjwjnr.dll
c:\windows\system32\z5wrxqhagksjxwt.dll
c:\docume~1\admini~1\locals~1\temp\tmp.tmp
c:\windows\system32\emhnpubaaf7xjuxbbdxsg.dll
c:\windows\system32\6to4.dll
c:\windows\system32\wmdmpmsp.dll
c:\windows\system32\mspmsnsv.dll
c:\windows\system32\rasauto.dll
c:\windows\system32\nwsapagent.dll
c:\windows\system32\nwcworkstation.dll
c:\windows\system32\ntmssvc.dll
c:\windows\system32\ias.dll
c:\windows\system32\appmgmts.dll
c:\docume~1\admini~1\locals~1\temp\cqhabmjtqoao
c:\windows\system32\drivers\asyncmac.sys
c:\windows\system32\drivers\bdguard.sys
c:\windows\system32\drivers\wmisvc.sys

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[{737858A9-9AEA-4838-9B49-54DA731F7F37}]    <C:\WINDOWS\system32\BMsg6pdMD4ht.dll>
[{93F33500-527E-4E33-AECA-69B15243A90E}]    <C:\WINDOWS\system32\cRsAQd4hw.dll>
[{50EBD6A5-0CF6-4E59-AE08-CCD991AA0596}]    <C:\WINDOWS\system32\GU6f5sW42mdc.dll>
[{38FEFE05-702C-440D-AD5C-B796209A1CC5}]    <C:\WINDOWS\system32\Y4npJWJNr.dll>
[{1719B301-B494-4185-9379-242461F9CF02}]    <C:\WINDOWS\system32\BtmBAnd89jc9PsPq5EKNj.dll>
[{822775B8-E45B-4E55-9325-0753A0C1DC00}]    <C:\WINDOWS\system32\wdGSVBqAs3Xk.dll>
[{5C901F36-6395-4667-AF85-B1B64AD3693F}]    <C:\WINDOWS\system32\XatgKbDb3Yxc.dll>
[{A5CA6C70-7185-4466-AB45-B1C34E7A37CA}]    <C:\WINDOWS\system32\ed78ab9.dll>
[{8E6D4583-0FA1-41B2-BAAA-63352E6333CA}]    <C:\WINDOWS\system32\jY8sGUnWqbZb3x2BPhY.dll>
[{0A2D7F10-1153-4061-AA4B-ACB870212B57}]    <C:\WINDOWS\system32\z5WRXqHagksJxWt.dll>
[{51AA0D89-E9A9-4284-93E8-40C0FDD59304}]    <C:\WINDOWS\system32\eNyN5X48HrtXc.dll>
[{2EF0D734-21FD-4225-A1A2-BCD296182AAF}]    <C:\WINDOWS\system32\2EF0D734.dll>
[{23DA65D2-C696-4EE4-BEE8-B4841DEC3E30}]    <C:\WINDOWS\system32\ndxq9awMc.dll>
[{BD07AE7E-DB9C-4FFB-BD21-99DCC8434610}]    <C:\WINDOWS\system32\EMPPpCCSA8GtjURjn.dll>
[{CD478099-014D-4B3A-A4BB-B518F1019BC7}]    <C:\WINDOWS\system32\SCEVFJRCmaB7.dll>
[{4642593F-4159-4C7B-9036-33D6CD7F1750}]    <C:\WINDOWS\fonts\vds9ae5G5FmED.fon>
[{1055CA44-51F8-486B-8CBD-DC7AD4213F1E}]    <C:\WINDOWS\fonts\bQgc5yHMSD4yd.fon>
[{36AC68E6-0C26-4D39-B98E-54B49DAB6BAA}]    <C:\WINDOWS\system32\dhDhwS7fFW.dll>
[{8708994F-1758-4C2C-9A3F-FA22D6CCCB41}]    <C:\WINDOWS\fonts\A97CRaCB.fon>
[{08223B03-1B38-4A33-A83A-A4D3CC1D6E4E}]    <C:\WINDOWS\system32\08223B03.dll>
[{704C3595-DB85-40F6-A601-8D6F346907BD}]    <C:\WINDOWS\system32\704C3595.dll>
[{108DA6C0-CFBF-41D4-9A09-C4D06AE6FFD2}]    <C:\WINDOWS\system32\Q9q2MHJ3uTBErM7wc.dll>
[{76B9BA7A-81D0-4979-8598-8471F2AB5186}]    <C:\WINDOWS\system32\76B9BA7A.dll>
[{0220FBE7-F757-4C74-B246-D6703DCF1087}]    <C:\WINDOWS\system32\EmfVcSFcRkARFbbTQW5V5.dll>
[{9AD1DE62-196C-4C01-9A2F-0BEDEF727C59}]    <C:\WINDOWS\system32\mFr9FPruEFZ9VNdrveJunw3.dll>
[{5405A7B2-F3F5-446F-8715-2A4EF674E079}]    <C:\WINDOWS\system32\rfpz9wwyy2np.dll>
[{122B901E-493F-4AD9-BC69-7DE8C3E52FCC}]    <C:\WINDOWS\system32\122B901E.dll>
[{E3531A16-FFEA-416F-82DF-32FEDE02EABF}]    <C:\WINDOWS\system32\emHnPuBAaF7XjuXBbdxSg.dll>

    启动项目 －－ 服务 －－ Win32服务应用程序之如下项禁用：
[6to4 / 6to4]    <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\6to4.dll>
[WmdmPmSp / WmdmPmSp]    <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\WmdmPmSp.dll>
[Portable Media Serial Number Service / WmdmPmSN]    <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\mspmsnsv.dll>
[Remote Access Auto Connection Manager / RasAuto]    <C:\WINDOWS\system32\svchost.exe -k netsvcs-->%SystemRoot%\System32\rasauto.dll>
[Nwsapagent / Nwsapagent]    <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\Nwsapagent.dll>
[NWCWorkstation / NWCWorkstation]    <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\NWCWorkstation.dll>
[Removable Storage / NtmsSvc]    <C:\WINDOWS\system32\svchost.exe -k netsvcs-->%SystemRoot%\system32\ntmssvc.dll>
[Ias / Ias]    <C:\WINDOWS\System32\svchost.exe -k netsvcs-->C:\WINDOWS\system32\Ias.dll>
[Application Management / AppMgmt]    <C:\WINDOWS\system32\svchost.exe -k netsvcs-->%SystemRoot%\System32\appmgmts.dll>

    启动项目 －－ 服务－－ 驱动程序之如下项禁用：
[atoptqqamnqt / atoptqqamnqt]    <\??\C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\cqhabmjtqoao>
[RAS Asynchronous Media Driver / AsyncMac]    <system32\DRIVERS\asyncmac.sys>
[BdGuard / BdGuard]    <\SystemRoot\system32\drivers\BDGuard.SYS>
[WmiSvc / WmiSvc]    <\??\C:\WINDOWS\system32\drivers\WmiSvc.sys>


替换附件中的文件哦。

附件: appmgmts.rar

附件: SmtRpl.rar

系统被感染的挺严重，你删的那几个文件中有系统文件，不过也都是被感染的了
所以还是重装系统吧

http://www.dodudou.com/down/IFEO.rar
好象不能下载

如果重装系统要怎么弄？
没用过，电脑里的东西还会在吗？
重装要多久啊？

你还没操作过吗？？

在“我的电脑”右键属性里找“高级”选项中找“启动和故障恢复”里看启动菜单顺序还是默认的Windows自身吗？还是变成一键恢复的什么东西了？？

至于系统内的病毒，你再扫描个最新SRENG日志来看吧，别乱操作。

先把你电脑中重要的资料备份出来
最简单的就是光盘安装，正常装一个完整系统差不多1个多小时，安装过程在精华区里有步骤
从这帖子30楼开始    http://bbs.ikaka.com/showtopic-7590157-3.aspx#1342223

这样可以吗？
一定要重装吗

附件: SREngLOG.log

重装只会影响C盘（你的系统盘符），其他的不会受影响，等你重装完后 记得不要打开任何非系统盘符也不要打开任何软件，直接安装瑞星，然后升级它，断网后全盘查杀（切记）

PS：LZ 能不能把这几个文件提取下 发到可疑文件交流区，帮忙解除我的疑惑 谢谢
如果直接弄不到，用这个软件提取下，麻烦了
http://bbs.ikaka.com/showtopic-8442813.aspx#3637453

C:\WINDOWS\system32\Irmon.dll
C:\WINDOWS\system32\Iprip.dll
C:\WINDOWS\system32\Ias.dll
C:\WINDOWS\system32\qmgr.dll

要选择成这个

一定要重装啊
怎么提取那文件啊
我什么都不懂
重装要很久吧
除了重装就没别的办法吗
？

你先选择那地方默认为Windows自身的启动哟

至于病毒问题

我看看日志再说

重装比较省事啊，你手动恢复太麻烦了，可能你还不会操作
原版系统的重装时间要长些大概40分钟左右，ghost的比较短，你找个系统盘来重装吧
提取那几个文件也很简单，你去直接去c:\windows\system32里看看有没有那四个文件，能直接找到的话  用rar打包下 传到可疑文件交流区，如果找不到，请下载下 我上面给的网址里的 文件提取器，输入那四个文件的地址 提取即可

没系统盘
主要是电脑不是自己家的
是朋友他公司的，要在5点前弄好
不然老板回来了就惨了
如果乱装帮他们东西弄没了更惨
求各位帮帮忙，看看有别的方法没

提取了3个
倒数第2个没找到
已经发到可疑文件交流区了

C:\Program Files\kingsoft\KSM2.0\COMRes.dll
C:\WINDOWS\COMRes.dll

这两文件找到压缩发来看

汗，忘记了 可疑文件交流区 俺没权限下载, 你查看下右上角的短消息，我发QQ号给你了，麻烦你QQ 传我下

这两个吧

瑞星工程师19：样本已经上报，请继续关注瑞星

附件: 新建文件夹.rar

我这不能Q的
可以就在这发附件，你能下载吗？

恩 那也可以，谢谢了

只找到3个

瑞星工程师19：样本已经上报，请继续关注瑞星

附件: 新建文件夹.rar

((本附件程序仅适合这位求助者使用，因为涉及系统重要文件的替换，所以任何其他求助者绝对不能随意使用这个附件程序。))
下载附件，解压至桌面，启动里面的程序后，点击“开始替换”，程序提示重启电脑时，暂时不重启，继续下面操作

附件: XPSP3.rar (2009-8-18 15:30:02, 1152.49 K)
该附件被下载次数 149

这里下载费尔木马强力清除助手,点选“抑制文件再生”删除下面文件。
附件: 费 尔.rar(内附说明）（右键选择“目标另存为”下载）本链接不支持迅雷等下载工具下载

删除：
C:\WINDOWS\system32\6to4.dll
C:\WINDOWS\system32\Ias.dll
C:\WINDOWS\system32\Iprip.dll
C:\WINDOWS\system32\Irmon.dll
C:\WINDOWS\system32\NWCWorkstation.dll
C:\WINDOWS\system32\Nwsapagent.dll
C:\WINDOWS\system32\WmdmPmSp.dll
C:\WINDOWS\system32\drivers\aec.sys
C:\WINDOWS\system32\DRIVERS\asyncmac.sys
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\cqhabmjtqoao
C:\WINDOWS\system32\drivers\WmiSvc.sys
C:\WINDOWS\system32\122B901E.dll
C:\WINDOWS\system32\rfpz9wwyy2np.dll
C:\WINDOWS\system32\mFr9FPruEFZ9VNdrveJunw3.dll
C:\WINDOWS\system32\EmfVcSFcRkARFbbTQW5V5.dll
C:\WINDOWS\system32\76B9BA7A.dll
C:\WINDOWS\system32\Q9q2MHJ3uTBErM7wc.dll
C:\WINDOWS\system32\704C3595.dll
C:\WINDOWS\system32\08223B03.dll
C:\WINDOWS\fonts\A97CRaCB.fon
C:\WINDOWS\system32\dhDhwS7fFW.dll
C:\WINDOWS\fonts\bQgc5yHMSD4yd.fon
C:\WINDOWS\fonts\vds9ae5G5FmED.fon
C:\WINDOWS\system32\SCEVFJRCmaB7.dll
C:\WINDOWS\system32\EMPPpCCSA8GtjURjn.dll
C:\WINDOWS\system32\ndxq9awMc.dll
C:\WINDOWS\system32\2EF0D734.dll
C:\WINDOWS\system32\eNyN5X48HrtXc.dll
C:\WINDOWS\system32\z5WRXqHagksJxWt.dll
C:\WINDOWS\system32\jY8sGUnWqbZb3x2BPhY.dll
C:\WINDOWS\system32\ed78ab9.dll
C:\WINDOWS\system32\XatgKbDb3Yxc.dll
C:\WINDOWS\system32\wdGSVBqAs3Xk.dll
C:\WINDOWS\system32\BtmBAnd89jc9PsPq5EKNj.dll
C:\WINDOWS\system32\Y4npJWJNr.dll
C:\WINDOWS\system32\GU6f5sW42mdc.dll
C:\WINDOWS\system32\cRsAQd4hw.dll
C:\WINDOWS\system32\BMsg6pdMD4ht.dll
C:\WINDOWS\COMRes.dll
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.tmp

不论删除结果如何立即重启电脑

这里下载映像劫持清除管理工具，清除检测到的劫持项。
附件: 映像劫持清除管理以及修复工具.rar(内附说明）（右键选择“目标另存为”下载）本链接不支持迅雷等下载工具下载

用W i n d o w s 清理助手 ，清理你那系统。
W i n d o w s 清理助手 下载：http://www.arswp.com/

杀毒软件升级至最新版本全盘杀。反复查杀无毒后即可。

记得打全系统漏洞补丁

这里下载映像劫持清除管理工具，清除检测到的劫持项。
附件: 映像劫持清除管理以及修复工具.rar(内附说明）（右键选择“目标另存为”下载）本链接不支持迅雷等下载工具下载

用W i n d o w s 清理助手 ，清理你那系统。
W i n d o w s 清理助手 下载：http://www.arswp.com/

杀毒软件升级至最新版本全盘杀。反复查杀无毒后即可。

记得打全系统漏洞补丁
这些步骤是重启后做的吗？