瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 【求助】Rpcmon.exe病毒进程如何清除~急救~

1   1  /  1  页   跳转页

【求助】Rpcmon.exe病毒进程如何清除~急救~

收藏
东方在线网管
头像
初生襁褓狮
  • 帖子:4
  • 注册: 2004-03-09
  • 来自:
发表于： 2005-08-17 15:41 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

【求助】Rpcmon.exe病毒进程如何清除~急救~

主机启动后，瑞星防火墙提示是否允许Rpcmon.exe进程访问网络，允许访问，系统正常运作3-5分钟后死机，拒绝访问网络，主机CPU占用马上到100%，无法进行其他操作，10分钟后也死掉了。。
    进入安全模式，该进程一样存在，无法结束，system32目录下找到该文件，也无法删除，查看注册表启动项，并无此进程。
    请教各位大虾，如何手工清楚掉这个病毒。小女子在此谢过各位了！！很急~``
最后编辑2005-08-19 11:21:06
分享到：
gototop
 
东方在线网管
头像
初生襁褓狮
  • 帖子:4
  • 注册: 2004-03-09
  • 来自:
发表于： 2005-08-17 15:51 | 只看楼主 短消息 资料
字号： 小 中 大 2楼

沙发自己坐，命请大家救！！
gototop
 
现在进行时
头像
锋芒艾服狮
  • 帖子:1837
  • 注册: 2005-06-24
  • 来自:
发表于： 2005-08-17 15:57 | 短消息 资料
字号： 小 中 大 3楼

用附件里的东西扫描一份日志上来看,不过我觉得这是漏洞攻击,那是不是你的系统没打全补丁呢.

附件附件:

下载次数:0
文件类型:application/octet-stream
文件大小:
上传时间:2005-8-17 15:57:28
描述:
gototop
 
东方在线网管
头像
初生襁褓狮
  • 帖子:4
  • 注册: 2004-03-09
  • 来自:
发表于： 2005-08-17 16:04 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

系统打的SP4补丁
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2005-08-17 16:32 | 短消息 资料
字号： 小 中 大 5楼

引用:
【东方在线网管的贴子】主机启动后，瑞星防火墙提示是否允许Rpcmon.exe进程访问网络，允许访问，系统正常运作3-5分钟后死机，拒绝访问网络，主机CPU占用马上到100%，无法进行其他操作，10分钟后也死掉了。。
    进入安全模式，该进程一样存在，无法结束，system32目录下找到该文件，也无法删除，查看注册表启动项，并无此进程。
    请教各位大虾，如何手工清楚掉这个病毒。小女子在此谢过各位了！！很急~``
...........................


Bot后门Rpcmon.exe的查杀：

一、结束病毒进程Rpcmon.exe。
二、删除病毒文件%system%下的病毒文件Rpcmon.exe。（安装在C盘的XP系统，病毒文件在C:\windows\system32\文件夹中。）
三清理注册表：

1、展开：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
删除：Rpcmon
2、展开：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\
删除：Rpcmon
3、展开：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\
删除：Rpcmon
gototop
 
沐晨11
头像
初生襁褓狮
  • 帖子:1
  • 注册: 2005-08-19
  • 来自:
发表于： 2005-08-19 01:02 | 短消息 资料
字号： 小 中 大 6楼

进程rpcmon删除不了（系统提示：禁止“拒绝访问“
再在注册表中照你说的那几个值，根本就没有，可是，我的机子情况和东方网管的一样。。。
还有，我把网络断掉，那个rpcmon进程就只占用1的cpu了，只要一连网，就变成99
gototop
 
天天泡泡
头像
卡卡技术团队
  • 帖子:17486
  • 注册: 2004-01-21
  • 来自:安徽安庆
论坛8周年活动礼物卡卡名人堂
发表于： 2005-08-19 11:21 | 短消息 资料
字号： 小 中 大 7楼

如果不结束病毒的进程，也可以先修改或删除掉病毒的服务：
首先，找到病毒服务“Remote Procedure Call (RPC) Monitoring”，把“启动类型”改为“已禁用”（或者直接删除病毒服务项[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Rpcmon]）
然后，重新启动计算机
重新启动后就直接删除病毒文件%Windows%\System32\Rpcmon.exe
最后，删除病毒建立的服务项信息：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Rpcmon]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Rpcmon]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Rpcmon]
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT