非常棘手的病毒，请高手拯救，谢谢。

数日前中毒，到目前为止还没恢复，详细情况如下：

数日前，我女友上网站找资料，中毒，
当时症状是不断打开网页，狂读硬盘，无法关机，
强制关机之后，开机，在进入桌面之前，就持续不断地狂读硬盘，
很长时间后进入桌面，这时，不断打开网页，下载流氓软件
CPU100%，导致系统响应非常慢。

之后，发现有101371.exe, 40096.EXE(这个文件名数字可能略有出入，记不清了），等程序，瑞星开始报毒，Trojan.DL.Agent.ltc 杀后仍会产生。

然后，部分EXE文件被感染改名，无法打开。

这时，我尝试用GOSHT对C盘进行恢复，

恢复后发现很快再次被感染，所以怀疑已有病毒转移至其他分区，

查找后发现，几乎所有分区的System Volume Information\文件夹下出现了_restore{FC4F7FDA-633D-4D54-ABB3-BDFC6984D0BF}\RP8或RP9或RP10等文件夹，里面有A0003045.ini之类各种文件，内容有的如下：
[system]
UpdateCheck=2006-03-28
[MainPosition]
Left=663
Top=139
Right=949
Bottom=673
[USERCONFIG]
UserName=greatczy
IsExitTip=0
[SystemUpdate]

或[USERCONFIG]
WebBrowser=
UseBigEmotions=1
StretchMainFunctionPanel=1
ShowMainFunctionPanel=1
SecurityTradeHintOnce=1
MaxRecentContactCount=20
DelHisFlag=0
DelHisDays=0
AutoReplyMSG=0
ImportAutoDB=1
AutoLoginFlag=0
ShortCutKey=0
OnlyShowOnlineContacts=0
AutoCloseReceivingTransferWindow=1
AutoOpenReceivingFolder=0
AutoCloseSendingTransferWindow=1
LastTimeOfActiveNotify=
RollBackStatus=0
RollBackStatusTime=5000;
KeepStateValue=32868

[AVControl]
VideoDevice=没有检测到视频采集设备
AudioPlayDevice=无
AudioCollectionDevice=无
VSize=1
FrameRate=10
BitRate=384
SpkValue=50
MicValue=50
FirstAVSetup=0

[FONTSET]
Height=-12
Weight=400
CharSet=134
OutPrecision=3
ClipPrecision=2
Quality=1
PitchAndFamily=2
FaceName=宋体
dwMask=-402653169
dwEffects=0
yHeight=180
yOffset=0

或[USERCONFIG]
WebBrowser=
UseBigEmotions=1
StretchMainFunctionPanel=1
ShowMainFunctionPanel=1
SecurityTradeHintOnce=1
MaxRecentContactCount=20
DelHisFlag=0
DelHisDays=0
AutoReplyMSG=0
ImportAutoDB=1
AutoLoginFlag=0
ShortCutKey=0
OnlyShowOnlineContacts=0
AutoCloseReceivingTransferWindow=1
AutoOpenReceivingFolder=0
AutoCloseSendingTransferWindow=1
LastTimeOfActiveNotify=
RollBackStatus=0
RollBackStatusTime=5000;
KeepStateValue=32868

[AVControl]
VideoDevice=没有检测到视频采集设备
AudioPlayDevice=无
AudioCollectionDevice=无
VSize=1
FrameRate=10
BitRate=384
SpkValue=50
MicValue=50
FirstAVSetup=0

[FONTSET]
Height=-12
Weight=400
CharSet=134
OutPrecision=3
ClipPrecision=2
Quality=1
PitchAndFamily=2
FaceName=宋体
dwMask=-402653169
dwEffects=0
yHeight=180
yOffset=0

之类内容，还有change.log.2、RestorePointSize等文件。
之类东西删除后又会出现，而且随着开机次数的增加而不断增多。

而有时在回收站内也会出现类似东西，

同时，有的分区的System Volume Information\文件夹被禁止访问。

在GOSHT恢复失败后，我又曾尝试用最新版瑞星在安全模式下杀毒，

又发现了Trojan.DL.Agent.ldt
Worm.Cnt.b
Worm.Viking.df

Trojan.DL.Agent.mfu
等病毒，查杀后，仍会出现，
像今天又出现了Trojan.Clicker.BHO.o

之后，又发现下载的瑞星魔波专杀不能运行，sreng2也无法运行，
橙色八月专杀也不能运行……

至此，我已经毫无办法，目前EXE文件的感染正在扩展中，已经大部分无法运行……

所以，向各位高手请教，希望大家能拯救一下我。

我除C盘之外的其他分区存有大量资料，进行数据的转移不太现实，所以希望能在不格除其他分区的前提下修复电脑，谢谢大家。

因无法读取系统情况，所以有些东西可能讲得不清楚，欢迎高手对我电脑进行远程控制。谢谢。

顶一下

请用这个扫描日志\HijackThis1991zww.exe
下载软件网址：天空软件站http://www.skycn.com/soft/15753.html

Logfile of HijackThis v1.99.1
Scan saved at 20:57:00, on 2006-9-29
Platform: Windows XP SP2, v.2096 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2096)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
c:\program files\rising\rfw\rfwsrv.exe
C:\WINDOWS\system32\spoolsv.exe
c:\program files\rising\rfw\RfwMain.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Rising\Rav\RavTask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Rising\Rav\Ravmond.exe
C:\Program Files\Rising\Rav\RavStub.exe
C:\Program Files\Rising\Rav\RAVMON.EXE
F:\下载软件\Myie2.v0.50.830\MyIE.exe
C:\WINDOWS\system32\Rundll32.exe
C:\Program Files\Tencent\QQ\QQ.exe
C:\Program Files\Tencent\QQ\TIMPlatform.exe
C:\WINDOWS\system32\conime.exe
d:\WinRAR\WinRAR.exe
C:\DOCUME~1\greatczy\LOCALS~1\Temp\Rar$EX00.687\HijackThis.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-

784B7D6BE0B3} - D:\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: raObject Class - {46F194EB-B7DB-4B7A-BD42-5FF39FD17664} -

C:\PROGRA~1\pcast\hbcast.dll
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162} -

C:\Program Files\Tencent\QQ\QQIEHelper.dll
O2 - BHO: Vision - {6671A431-5C3D-463d-A7CF-5587F9B7E191} - C:\PROGRA~1

\MMSASS~1\mmsass~1.dll
O2 - BHO: stdup - {6A512BF7-EC78-4e8d-9841-6C02E8FA9838} -

C:\WINDOWS\SYSTEM32\stdup.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} -

D:\FLASHGET\jccatch.dll
O2 - BHO: Subconscious Intruder - {EBBC6E6D-7B65-46be-B509-86CED2D17876}

- C:\WINDOWS\system32\Inte32.dll
O2 - BHO: iebar - {F3A84AA2-A658-42A6-B701-6E43EF08C6C6} -

C:\WINDOWS\system32\Ndvdsapi32.dll (file missing)
O3 - Toolbar: 电台(&R) - {8E718888-423F-11D2-876E-00A0C9082467} -

C:\WINDOWS\system32\msdxm.ocx
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} -

D:\FLASHGET\fgiebar.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE"

/Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32

\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32

\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [RfwMain] "C:\Program Files\Rising\Rfw\rfwmain.exe" -

Startup
O4 - HKLM\..\Run: [RavTask] "C:\Program Files\Rising\Rav\RavTask.exe" -

system
O4 - HKLM\..\Run: [IMSCMig] C:\PROGRA~1\COMMON~1\MICROS~1

\IME\IMSC40A\IMSCMIG.EXE /Preload
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [daemon] C:\WINDOWS\daemon.exe
O4 - Startup: 腾讯QQ.lnk = C:\Program Files\Tencent\QQ\QQ.exe
O8 - Extra context menu item: >>彩信发送<< - res://C:\PROGRA~1\MMSASS~1

\mmsass~1.dll/mms.htm
O8 - Extra context menu item: 上传到QQ网络硬盘 - C:\Program

Files\Tencent\QQ\AddToNetDisk.htm
O8 - Extra context menu item: 使用网际快车下载 - D:\FLASHGET\jc_link.htm
O8 - Extra context menu item: 使用网际快车下载全部链接 -

D:\FLASHGET\jc_all.htm
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) -

res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: 添加到QQ自定义面板 - C:\Program

Files\Tencent\QQ\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - C:\Program

Files\Tencent\QQ\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - C:\Program

Files\Tencent\QQ\SendMMS.htm
O9 - Extra button: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191} -

C:\PROGRA~1\MMSASS~1\mmsass~1.dll
O9 - Extra 'Tools' menuitem: 彩E精灵设置 - {6671A433-5C3D-463d-A7CF-

5587F9B7E191} - C:\PROGRA~1\MMSASS~1\mmsass~1.dll
O9 - Extra button: 信息检索 - {92780B25-18CC-41C8-B9BE-3C9C571A8263} -

C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} -

C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-

a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} -

C:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-

00aa003c157b} - C:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} -

D:\FLASHGET\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-

0050BA6940E3} - D:\FLASHGET\flashget.exe
O9 - Extra button: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} -

C:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra 'Tools' menuitem: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-

9460-4983E5A8AFE6} - C:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} -

C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-

BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {488A4255-3236-44B3-8F27-FA1AECAA8844} (CEditCtrl Object) -

https://img.alipay.com/download/1007/aliedit.cab
O16 - DPF: {73E4740C-08EB-4133-896B-8D0A7C9EE3CD} (AxInputControl Class)

- https://mybank.icbc.com.cn/icbc/perbank/AXSafeControls.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{F53F8424-E929-4C62-9FA0-

76322DFE0AFD}: NameServer = 202.96.104.27 202.96.104.17
O23 - Service: Rising Proxy  Service (RfwProxySrv) - Beijing Rising

Technology Co., Ltd. - c:\program files\rising\rfw\rfwproxy.exe
O23 - Service: Rising Personal Firewall Service (RfwService) - Beijing

Rising Technology Co., Ltd. - c:\program files\rising\rfw\rfwsrv.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - Beijing

Rising Technology Co., Ltd. - C:\Program Files\Rising\Rav\CCenter.exe
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology

Co., Ltd. - C:\Program Files\Rising\Rav\Ravmond.exe

O9 - Extra button: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} -

C:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra 'Tools' menuitem: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-

9460-4983E5A8AFE6} - C:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} -

只是将上面的清理就可以了其它还没有发现有什么可疑的东西了

【回复“greatczy”的帖子】
顶

你可以到我的“网络优盘”里下载一个叫“霸道的进程管理器_july.zip”文件来分析一下你的进程里都有那些模块在进程中，
↑〖稳得起网络优盘〗↓
http://free.ys168.com/?zgrhcf
你可以到我的“网络优盘”里下载专杀工具文件夹里“魔波专杀工具”来试试，自己找去吧
↑〖稳得起网络优盘〗↓
http://free.ys168.com/?zgrhcf

楼主的那些毒，关闭系统还原，重启，就行了

谢谢楼上的，貌似有用。

今天再看看，谢谢