瑞星卡卡安全论坛

:kaka4: 我的C:\WINDOWS\system32里面  有个几个文件msdtc.exe    msdtcCk.exe
msdtcRE.exe              我打开了任务管理器  里面有2个进程分别为msdtcCK.exe和msdtcRE.exe其中msdtcRE.exe有多个 十分占内存    而且打开网页后      瑞星开始拦截恶意网页    来源为我的电脑里C:\WINDOWS\system32\msdtRE.exe
我认为是个木马  专门下  病毒和盗号木马的那种    但是瑞星和卡卡都没有检测到
而且  当我再进程里停止了一个叫msdtc打头的一个JIP（当时忙晕了没看清  貌似是）之后    msdtcRE.exe和msdtcCk.exe都停止了运行    可是我找不到那个JIP文件  我晕死了  对了  刚才没说  msdtcRE.exe和msdtcCK.exe在进程里 结束后自动的再运行  所以在删除时不让你删  说在使用中  我用之前我反应时一位大哥提供的工具sreng2[1].71.1261版  扫描了一下其中  AppInit_DLLs这个注册表的数据应该为空  但是它有数据  我给改成空的  刷新后又变成了原来的 而且数据和原来一样
还有用卡卡检查木马的时候有个木马我都看到好几天了  清除了    明天还有  也不知道是  那个文件下的还是  没有删掉  之前我还有个帖子  麻烦高手去看看  是说那个木马的 
我把sreng2[1].71.1261版扫描出来的日志发上来了    大家看看吧    我电脑都快成幻灯机了！

用户系统信息：Mozilla/4.0 (com
 附件: 您所在的用户组无法下载或查看附件patible; MSIE 6.0; Windows NT 5.1; SV1; MAXTHON 2.0)

附件: SREngLOG.log

全盘查杀！:kaka2:

1.建议使用XDelBox（Xdelbox解压后运行）删除以下文件：(XDelBox1.8下载)
使用说明：(先勾选抑制再生)删除时复制所有要删除文件的路径，在待删除文件列表里点击右键选择从剪贴板导入不检查路径，导入后在要删除文件上点击右键，选择立刻重启删除，电脑会重启进入DOS界面进行删除操作。运行xdelbox前最好卸载所有可移动存储介质（包括U盘，MP3，手机存储卡等）。

c:\windows\system32\msdtc.pif
c:\program files\winrar\formats\nnc.exe
c:\windows\system32\xdva276.sys
c:\windows\system32\drivers\29984.sys
C:\WINDOWS\SYSTEM32\MSDTCCK.EXE

2.删除重启后使用SREng修复下面各项：

    启动项目 －－ 服务 －－ Win32服务应用程序之如下项禁用：
[Remote Data Exchange / Remote]    <C:\Program Files\WinRAR\Formats\nnc.exe -k netsvcs>

    启动项目 －－ 服务－－ 驱动程序之如下项禁用：
[XDva276 / XDva276]    <\??\C:\WINDOWS\system32\XDva276.sys>
[29984 / 29984]    <\??\C:\WINDOWS\system32\Drivers\29984.sys>
[29984 / 29984]    <\??\C:\WINDOWS\system32\Drivers\29984.sys>

**************以上分析报告由SREngLog分析助手提供******************
分析：小狮子
时间：2009-8-26
SREngLog分析助手 1.4 BY 草莽书生 (20090209 更新 BY 小金)