进程里满是cmd.exe，是毒是马？我就是想知道为什么瑞星连一点反应都没有..... bbs.ikaka.com

lambhead - 2010-5-2 16:39:00

如题，请大家帮助哈，下附日志

这玩意就占内存，不占cpu

如果是病毒或木马恶搞，为什么瑞星查来查去没反应，

我的瑞星2010免费半年版，程序版本：22.00.03.72，病毒库版本：22.45.06..4

附件: SREngLOG.log (2010-5-2 17:42:05, 180.05 K)
该附件被下载次数 303

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

iiiihhggffd - 2010-5-2 17:34:00

是不是开了什么东西啊？看的我内牛满面~

是昔流芳 - 2010-5-2 17:54:00

清理计划任务看看如何，将计划任务的内容全部删除。
cmd.exe如果可以的话最好替换一下。

木马bbbb - 2010-5-2 18:33:00

打开计划任务，除了SogouImeMgr，把其他的都删除。
楼主可以把其中一个压缩后以附件的形式发上来。

lambhead - 2010-5-2 19:02:00

引用:

原帖由 木马bbbb 于 2010-5-2 18:33:00 发表
打开计划任务，除了SogouImeMgr，把其他的都删除。
楼主可以把其中一个压缩后以附件的形式发上来。

SReng的截图

c:\windows\tasks的截图 (这些东西都是干什么的啊！？)

附计划任务文件夹中的.job
随意打包了三个
类似的文件共有3638个

附件: 计划任务文件夹中的.jobs——随意打包了三个——类似的文件共有3638个.zip (2010-5-2 19:01:56, 1.28 K)
该附件被下载次数 206

木马bbbb - 2010-5-2 19:53:00

把计划任务里面的内容都删除。
另外把c:\windows\system32\svchots.exe找到以附件的形式发上来。

lambhead - 2010-5-2 20:15:00

计划里的东西还没删，先留下做个纪念，等把问题彻底弄清楚了再删哈哈~

附件: svchost.zip (2010-5-2 20:15:12, 7.41 K)
该附件被下载次数 211

木马bbbb - 2010-5-2 20:27:00

囧，留着纪念干嘛，那不是正常的计划任务。删除了吧。
不是svchost.exe这个文件，svchost.exe是正常的系统文件，
计划任务中调用的是c:\windows\system32\SVCHOTS.EXE
是svchots.exe不是svchost.exe:kaka6:

lambhead - 2010-5-2 20:45:00

SVCHOTS.EXE!

晕~
前两天我看到进程里有这个，觉得不眼熟以为是恶意程序呢，
把它结束后就一并删了

刚搜遍C盘只在C:\WINDOWS\Prefetch 里找到个 SVCHOTS.EXE-344C841F.pf
不知道能不能派上用场

情况就这么个情况

附件: SVCHOTS.EXE-344C841F.zip (2010-5-2 20:45:11, 3.66 K)
该附件被下载次数 205

木马bbbb - 2010-5-2 20:51:00

SVCHOTS.EXE-344C841F.zip已经上报了，
查询地址：http://mailcenter.rising.com.cn/FileCheck/Default.aspx
查询编号：RS20100502204300437379
SVCHOTS.EXE能搜索到吗？如果文件搜索不到的话直接把计划任务里面的任务删除后重启电脑观察一下是否正常。可能是残留文件。

byxxdrls - 2010-5-2 21:38:00

PF文件是系统预读取文件，没问题的。

lambhead - 2010-5-3 20:40:00

计划任务里的所有东西我都删掉了啊，毫不留情地....
可进程里的cmd.exe还是一会跳出一个，跟没删计划任务之前没什么两样

论坛里前些关于cmd.exe的帖子我也看了，可跟我这个不一样，我是菜鸟，想解决问题，更想知道这东西的来龙去脉，请各位高手费一字半句指点江山:kaka9:

香橙香橙 - 2010-5-4 15:24:00

SVCHOTS.EXE文件能找到吗，不是SVCHOTS.EXE-344C841F

lambhead - 2010-5-5 14:08:00

引用:

原帖由 香橙香橙 于 2010-5-4 15:24:00 发表
SVCHOTS.EXE文件能找到吗，不是SVCHOTS.EXE-344C841F

SVCHOTS.EXE前些日子被我删了，现在整个电脑里没这个文件。

hfhbutn - 2010-5-5 16:49:00

打开计划任务，把任务里的cmd全部删除就可以了。

hfhbutn - 2010-5-5 16:50:00

既然删除了，就再上传一份Sreng报告吧，扫描时请暂时关闭所有可以关闭的软件。

lambhead - 2010-5-6 18:48:00

引用:

原帖由 hfhbutn 于 2010-5-5 16:50:00 发表
既然删除了，就再上传一份Sreng报告吧，扫描时请暂时关闭所有可以关闭的软件。

这是刚才扫描的，扫描时只有瑞星开着。
有劳了~

附件: SREngLOG.log (2010-5-6 18:48:24, 46.09 K)
该附件被下载次数 181

hfhbutn - 2010-5-7 17:21:00

计划任务没删除完，如果是删除了自动出现再另外讨论。楼主有使用打印机么？没有的话请禁用服务中的[Print spooler/spoller]。

lambhead - 2010-5-7 17:43:00

引用:

原帖由 hfhbutn 于 2010-5-7 17:21:00 发表
计划任务没删除完，如果是删除了自动出现再另外讨论。楼主有使用打印机么？没有的话请禁用服务中的[Print spooler/spoller]。

计划任务文件夹里就剩“添加任务计划”了啊~

办公室电脑嘛，有打印机的，两台共享
前阵子打印机出了问题，总是提示spoolsv有问题，弄来弄去弄好了，不知道跟这个有没有关系

刚用autoruns看了看，看不明白，咔了几张图片传上来让大家帮忙看看，也不知道能用着不

孙悟色 - 2010-5-8 2:56:00

计划任务服务貌似可以关了

jiehu2008 - 2010-5-9 2:29:00

楼主！我也遇到了你这样的问题！！！

goodjmh - 2010-5-10 15:52:00

:kaka4: :kaka4: 我也碰到了相同的问题了

networkedition - 2010-5-10 16:08:00

将C:\Program Files\Internet Explorer\system.dll 跟帖打包上报。

coneyaw - 2010-5-10 19:53:00

21楼骂的真好。我的电脑也出现这个问题了，连瑞星监控都没了。

goodjmh - 2010-5-10 20:09:00

23楼的，没有找到你所说的文件啊

jiehu2008 - 2010-5-11 1:39:00

我的监控可以打开可以正常升级，查杀无毒！再看进程若干cmd.exe ,

瑞星工程师19 - 2010-5-11 10:31:00

lambhead 、jiehu2008 、goodjmh 、coneyaw 请把邮箱短消息给我，以便发送相关的检测工具

lambhead - 2010-5-11 11:25:00

引用:

原帖由 networkedition 于 2010-5-10 16:08:00 发表
将C:\Program Files\Internet Explorer\system.dll 跟帖打包上报。

没有找到这个文件，搜索整个C盘也没有。

coneyaw - 2010-5-12 18:26:00

已将检测工具提取的文件上传，盼早日解决。:kaka4:

瑞星卡卡安全论坛