这两天被病毒搞得很 糗

现在系统已经差不多恢复健康了，现在又出现一个问题：

上网一段时间后，瑞星防火墙会报告本地的ftp.exe正试图连接某个陌生的ip，tftp.exe正准备向某个ip发数据包。（之前没装防火墙时是删除掉的symantecblows.exe上网后又出现）防火墙提示是 允许 还是 拒绝，不管选哪个系统都会一下变慢，断开网络也不行，之后只能重启。

后查看瑞星防火墙 日志发现下图信息：(点击图片看得更清楚）

后来我用 “瑞星防火墙”的ip规则禁止访问我的tcp及udp的1241及1243。
还是出现了上述现象，查看日志发现还是在连接：（点击看图更清楚）

ftp.exe及tftp.exe的位置在：

根据它们的位置是否就能判断它们被鬼附身还是本身就是鬼？

删除它们之后出现系统报错：

我现在还有这两个文件的备份（本来准备报给瑞星的）。我要不要把这两个文件放回原处呢？
矛盾啊～

引用:

【baohe的贴子】 跟你说是“被鬼附身”——你不信。 ...........................

我错了……
不知道你有没有注意到第一张图里ftp.exe连接的[backdoor/subseven木马]？

HijackThis_zww汉化版扫描日志 V1.99.1
保存于      21:37:31, 日期 2005-8-5
操作系统：  Windows XP  (WinNT 5.01.2600)
浏览器：    Internet Explorer v6.00 (6.00.2600.0000)


O4 - 启动项HKLM\\Run: [IMJPMIG8.1] C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE /Spoil /RemAdvDef /Migration32
O4 - 启动项HKLM\\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - 启动项HKLM\\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - 启动项HKLM\\Run: [IMSCMig] C:\PROGRA~1\COMMON~1\MICROS~1\IME\IMSC40A\IMSCMIG.EXE /Preload
O4 - 启动项HKLM\\Run: [BigDogPath] C:\WINDOWS\VM_STI.EXE USB PC Camera 301P
O4 - 启动项HKLM\\Run: [TotalRecorderScheduler] "d:\Program Files\HighCriteria\TotalRecorder\TotRecSched.exe"
O4 - 启动项HKLM\\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - 启动项HKLM\\Run: [dl_accel] C:\Program Files\3721\Dlaccel\YDownloader.exe
O4 - 启动项HKLM\\Run: [helper.dll] C:\WINDOWS\system32\rundll32.exe C:\PROGRA~1\3721\helper.dll,Rundll32
O4 - 启动项HKLM\\Run: [RavTimer] I:\PROGRA~1\RISING\RAV\RAVTIMER.EXE
O4 - 启动项HKLM\\Run: [RavMon] I:\PROGRA~1\RISING\RAV\RAVMON.EXE -SYSTEM
O4 - 启动项HKLM\\Run: [RfwMain] "I:\Program Files\Rising\Rfw\rfwmain.exe" -Startup
O4 - 启动项HKLM\\RunServices: [Net] C:\WINDOWS\services.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe

HijackThis内容传上来了，有什么可疑程序吗？

我就纳闷了C:\WINDOWS\services.exe找不到


在C:\WINDOWS\system32\有services.exe，我想肯定不是！

C:\WINDOWS\services.exe

这个文件确实找不到，在killbox里直接输入log日志给出的路径，再按删除，提示文件不存在。

在icesword里按目录去找，找不到。