瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 卡巴斯基提示有木马程序,但是无法清除,只能够删除,重启后病毒还是有!

1   1  /  1  页   跳转页

卡巴斯基提示有木马程序,但是无法清除,只能够删除,重启后病毒还是有!

收藏
香水有毒315
头像
初生襁褓狮
  • 帖子:50
  • 注册: 2006-09-25
  • 来自:
发表于： 2006-10-07 19:01 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

卡巴斯基提示有木马程序,但是无法清除,只能够删除,重启后病毒还是有!

下面是我的扫描日记,我不知道怎么样才能彻底清除!
Logfile of HijackThis v1.99.1
Scan saved at 18:50:20, on 2006-10-7
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\Program Files\Samsung\SmarThru\PORTCTRL.EXE
C:\PROGRA~1\阿里巴巴\贸易通\AliTalk.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\user\LOCALS~1\Temp\Rar$EX00.140\HijackThis.exe

R3 - Default URLSearchHook is missing
O4 - HKLM\..\Run: [kav] "D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [RfwMain] "C:\Program Files\Rising\Rfw\rfwmain.exe" -Startup
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [GW Port Controller] C:\Program Files\Samsung\SmarThru\PORTCTRL.EXE
O4 - HKLM\..\Run: [Alitalk] C:\PROGRA~1\阿里巴巴\贸易通\AliTalk.EXE -hideframe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O8 - Extra context menu item: 上传到QQ网络硬盘 - C:\Program Files\Tencent\QQ\AddToNetDisk.htm
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://c:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: 添加到QQ自定义面板 - C:\Program Files\Tencent\QQ\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - C:\Program Files\Tencent\QQ\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - C:\Program Files\Tencent\QQ\SendMMS.htm
O9 - Extra button: Web反病毒保护 - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O16 - DPF: {52DF16E3-6C4F-4B22-8BAF-09263E463B48} - http://www.duba.net/cab/KOSInit.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{561CA40E-6967-4464-A793-BAD279796CDC}: NameServer = 202.96.128.166 202.96.134.133
O17 - HKLM\System\CCS\Services\Tcpip\..\{EAA436C3-1503-48E1-A1AC-619B8A8EB0EA}: NameServer = 202.96.134.133,202.96.128.68
O18 - Protocol: about - {3050F406-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\Mshtml.dll
O18 - Protocol: cdl - {3DD53D40-7B8B-11D0-B013-00AA0059CE02} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: dvd - {12D51199-0DB5-46FE-A120-47A3D7D937CC} - C:\WINDOWS\system32\msvidctl.dll
O18 - Protocol: file - {79EAC9E7-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: ftp - {79EAC9E3-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: gopher - {79EAC9E4-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: http - {79EAC9E2-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: https - {79EAC9E5-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: ipp - (no CLSID) - (no file)
O18 - Protocol: its - {9D148291-B9C8-11D0-A4CC-0000F80149F6} - C:\WINDOWS\system32\itss.dll
O18 - Protocol: javascript - {3050F3B2-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\Mshtml.dll
O18 - Protocol: local - {79EAC9E7-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: mailto - {3050F3DA-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\Mshtml.dll
O18 - Protocol: mhtml - {05300401-BCBC-11D0-85E3-00C04FD85AB4} - C:\WINDOWS\system32\inetcomm.dll
O18 - Protocol: mk - {79EAC9E6-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: ms-its - {9D148291-B9C8-11D0-A4CC-0000F80149F6} - C:\WINDOWS\system32\itss.dll
O18 - Protocol: msdaipp - (no CLSID) - (no file)
O18 - Protocol: res - {3050F3BC-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\Mshtml.dll
O18 - Protocol: sysimage - {76E67A63-06E9-11D2-A840-006008059382} - C:\WINDOWS\system32\Mshtml.dll
O18 - Protocol: tv - {CBD30858-AF45-11D2-B6D6-00C04FBBDE6E} - C:\WINDOWS\system32\msvidctl.dll
O18 - Protocol: vbscript - {3050F3B2-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\Mshtml.dll
O18 - Protocol: wia - {13F3EA8B-91D7-4F0A-AD76-D2853AC8BECE} - C:\WINDOWS\system32\wiascr.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O23 - Service: 卡巴斯基反病毒软件6.0 (AVP) - Unknown owner - D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
最后编辑2006-10-07 21:39:07
分享到：
gototop
 
newcenturymoon
头像
社区嘉宾
  • 帖子:15158
  • 注册: 2005-08-03
  • 来自:
论坛8周年活动礼物幸运草
发表于： 2006-10-07 19:02 | 短消息 资料
字号： 小 中 大 2楼

卡巴提示的病毒路径？
gototop
 
独孤剑客
头像
飘泊而立狮
  • 帖子:620
  • 注册: 2005-08-15
  • 来自:
发表于： 2006-10-07 19:27 | 短消息 资料
字号： 小 中 大 3楼

O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
gototop
 
香水有毒315
头像
初生襁褓狮
  • 帖子:50
  • 注册: 2006-09-25
  • 来自:
发表于： 2006-10-07 20:00 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

上午的时候提示是:
C:\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\TEMP\RUN.EXE\NSPACK,

后来在使用过程中又提示过别的地址也有,我记不清楚具体地址了.
gototop
 
westbeck
头像
初生襁褓狮
  • 帖子:3572
  • 注册: 2006-07-27
  • 来自:
发表于： 2006-10-07 20:26 | 短消息 资料
字号： 小 中 大 5楼

安全模式清空C:\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\TEMP试试
gototop
 
香水有毒315
头像
初生襁褓狮
  • 帖子:50
  • 注册: 2006-09-25
  • 来自:
发表于： 2006-10-07 20:43 | 只看楼主 短消息 资料
字号： 小 中 大 6楼

关键是我在C:\DOCUMENTS AND SETTINGS\USER下面根本就找不到LOCAL SETTINGS 这个文件
gototop
 
天天泡泡
头像
卡卡技术团队
  • 帖子:17486
  • 注册: 2004-01-21
  • 来自:安徽安庆
论坛8周年活动礼物卡卡名人堂
发表于： 2006-10-07 20:48 | 短消息 资料
字号： 小 中 大 7楼

那是个隐藏的文件夹
gototop
 
建能
头像
横据古稀狮
  • 帖子:5755
  • 注册: 2005-04-01
  • 来自:
发表于： 2006-10-07 20:48 | 短消息 资料
字号： 小 中 大 8楼

O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
这是卡巴的！不要删除！
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\riched40.dll
这些010项要用LSPFix与WinsockxpFix来删除

病毒经常会造成无法上网等问题，如果HijackThis日志中出现不明O10项，应用LSPFix来修复，如果仍未解决问题，则需要使用WinsockxpFix。

下载地址：
我的网络E盘中有http://free5.ys168.com/?aqfrs
gototop
 
香水有毒315
头像
初生襁褓狮
  • 帖子:50
  • 注册: 2006-09-25
  • 来自:
发表于： 2006-10-07 21:44 | 只看楼主 短消息 资料
字号： 小 中 大 9楼

我用LSPFix删除了riched40.dll,重启后能够连上网,但不能打开网页,怎么办?这是我用另一个电脑留言的.
gototop
 
水树雨下
头像
横据古稀狮
  • 帖子:8397
  • 注册: 2006-07-26
  • 来自:
发表于： 2006-10-07 21:47 | 短消息 资料
字号： 小 中 大 10楼

用WinsockxpFix修复
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT