求助高手（对杀毒有很深了解的高手进来看） [复制链接]

电脑中了这种病毒好久好久了。总是杀了 重新开机后又有了 杀的烦死了！！是高手的 请教下！！

高手路过。。。。。。。。。。。。。。

不要用360.装个好点的杀毒软件,去安全模式全盘查杀

是不是看AV多了  

从症状来看是中了双进程的病毒，杀掉一个进程之后病毒调用另外的隐藏进程使病毒重新恢复。

1.确保病毒库是最新版本(如果杀毒软件废了当我没说)
2.从网上down一个进程查看器和unlocker(删除锁定文件)，然后断网再全盘查毒.综合利用进程查看器,发现可疑进程就杀掉.
3.如果要改动注册表记得先备份一个

这个病毒还不是一般麻烦

以下是测试状态中病毒的情况(环境虚拟机XPSP2)
update.exe
update~.exe
释放
C:\WINDOWS\cnt.exe
C:\Documents and Settings\tom\Local Settings\Temporary Internet Files\Content.IE5

\S5EF8DUV\19790205[1].exe
C:\WINDOWS\ef26ev.dll
C:\WINDOWS\system32\downews.ini
C:\WINDOWS\system32\iScreensaver.dll
注册表
HKCR\CLSID\{1F80EA54-211C-4A3A-9C4E-C3F19D589079}
HKCR\iScreensaver.ComBho

C:\WINDOWS\Setup2.exe
释放
C:\WINDOWS\inf\cpap.ini
C:\WINDOWS\system32\HttpReq.dll
C:\WINDOWS\system32\WEBDLL.DLL
C:\WINDOWS\system32\rundll32.dll
注册表
HKCR\CLSID\{77962960-536E-47EC-9DDB-52651519705F}
HKCR\Cpap.CpapView
HKCR\Cpap.CpapView.1
HKCR\Cpap.CpapView.1\CLSID
HKCR\Cpap.CpapView\CurVer
HKCR\Interface\{11955EDD-967E-41B8-B668-45FD97A7FD91}
HKCR\TypeLib\{57504324-CC47-4B92-BA22-87A523E4559F}\1.0
HKLM\SOFTWARE\Microsoft\SystemCertificates\TrustedPublisher

C:\WINDOWS\bind_40094.exe
访问:
222.185.252.148:80 58.211.7.36:80 58.211.7.59:80 222.185.243.61:80
222.185.252.148:80 58.211.7.36:80 58.211.7.59:80 222.185.243.61:80

注册表
HKLM\SOFTWARE\Lamp

C:\WINDOWS\101371.exe 访问:61.183.15.136:80
C:\WINDOWS\Temp\mssoak.exe 访问:61.135.170.164:80 61.135.170.146:80
释放
C:\Documents and Settings\All Users\「开始」菜单\程序\启动\IE-Bar.lnk
C:\Documents and Settings\All Users\Application Data\clubmember
C:\Documents and Settings\tom\Local Settings\Temp\fsprot.sys
C:\Documents and Settings\tom\Local Settings\Temp\moprot.sys
C:\Documents and Settings\tom\Local Settings\Temp\nsj7.tmp
C:\Documents and Settings\tom\Templates\93d0cab
C:\Program Files\Common Files\IE-Bar
C:\WINDOWS\system32\4822a73a
C:\WINDOWS\system32\91dd2fa0.dll
C:\WINDOWS\system32\91di2fa.exe
C:\WINDOWS\system32\91do2fa0.dll
C:\WINDOWS\system32\drivers\fsprot.sys
C:\WINDOWS\system32\drivers\moprot.sys
注册表
HKCR\AppID\{65EF7AD4-1340-4A36-A097-95FF17E243E1}
HKCR\AppID\{84D34084-4E38-4683-A4DB-CA00646FEE8B}
HKCR\AppID\BHORun.DLL
HKCR\AppID\DelayLoad.DLL
HKCR\BHORun.BHelper
HKCR\BHORun.BHelper.1
HKCR\CLSID\{1FCA37BA-7259-4BF1-878B-A39FA83BFBBB}
HKCR\CLSID\{5A6F2F95-3191-433B-8533-EB0B596A7BAC}
HKCR\CLSID\{F2E37336-BFDB-409B-8D0E-6F013C438B20}
HKCR\DelayLoad.LoadRun
HKCR\DelayLoad.LoadRun.1
HKCR\Interface\{265379DB-90F0-45DB-9B10-640DCB1145FD}
HKCR\Interface\{7EB718DD-E41F-446A-9C1E-757F921168A0}
HKCR\Interface\{8C9377D3-D823-46A6-A8AC-B3913F9B6CA2}
HKCR\TypeLib\{25649A6A-637D-4416-9D03-98146330492A}\1.0
HKCR\TypeLib\{292D202F-E519-45F4-8D50-DE8513B87CE9}\1.0
HKCR\TypeLib\{86645AFC-0B33-4275-BFE6-FAE9FCD886D1}\1.0
HKCU\Software\sharehelper
HKLM\SOFTWARE\clubmember
HKLM\SOFTWARE\dmshareware
HKLM\SOFTWARE\IE-Bar
HKLM\SOFTWARE\sharehelper

C:\WINDOWS\ss10202.EXE
释放
C:\Documents and Settings\tom\Local Settings\Temp\nsiD.tmp
C:\Documents and Settings\tom\Local Settings\Temp\nsz10.tmp
C:\WINDOWS\system\realsched.exe 疯狂在 C:\WINDOWS\System32\mscache\ 释放 .cpz 文件
C:\WINDOWS\system\vp_VM.dll
C:\WINDOWS\system32\Inte32.dll
C:\WINDOWS\system32\mssv131.exe
C:\WINDOWS\system32\~GLH0000.TMP
C:\WINDOWS\system32\~GLH0001.TMP
注册表
HKCR\AppID\{35A69597-0E2A-4100-A394-C6F6FC2535B9}
HKCR\AppID\InteSearch.DLL
HKCR\CLSID\{8462112E-2D10-4D27-AA0F-D0326D3CE7EF}
HKCR\CLSID\{9B840ED7-32C9-4121-B6C9-A9FF1DB76FE8}
HKCR\CLSID\{EBBC6E6D-7B65-46be-B509-86CED2D17876}
HKCR\CLSID\{EE09B8C3-BDB8-4301-BC8D-C13CE4664194}
HKCR\CLSID\{F8EB3B42-0665-4A7B-ADA5-B21B0C189FBD}
HKCR\Interface\{267C72E2-A8B2-41EB-AA53-CAC627B1BB40}
HKCR\Interface\{283AF4AE-CAAB-4680-A951-919A5471D4AD}
HKCR\Interface\{3454E70B-C820-40E9-A21C-66BB1743A9A3}
HKCR\Interface\{51B70EAE-A776-42C1-A494-46461232486D}
HKCR\Interface\{52F707BD-7D57-4AFD-8151-215ED7003D5D}
HKCR\InteSearch.DocumentEventsHandler
HKCR\InteSearch.DocumentEventsHandler.1
HKCR\InteSearch.Intruder
HKCR\InteSearch.Intruder.1
HKCR\InteSearch.Service
HKCR\InteSearch.Service.1
HKCR\InteSearch.Settings
HKCR\InteSearch.Settings.1
HKCR\InteSearch.WindowEventsHandler
HKCR\InteSearch.WindowEventsHandler.1
HKCR\TypeLib\{3548754C-4A57-4D1E-A0FD-5AFF86749120}\1.0
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

C:\WINDOWS\Setup_YH0016.exe 访问218.204.253.166:80
释放文件
C:\Documents and Settings\tom\Local Settings\Temp\3481734.exe
C:\WINDOWS\svchost.exe 访问:218.204.253.166:9102 218.204.253.166:5929 218.204.253.166:80
218.204.253.217:80 218.204.253.216:80
打开:http://211.100.32.174/win/center/fujian/
C:\Documents and Settings\tom\Local Settings\Temp\mmsassis01.exe
C:\Documents and Settings\tom\Local Settings\Temp\Skymmstp.exe 访问:222.73.4.243:80
221.231.138.59:80
C:\Documents and Settings\tom\Local Settings\Temp\bind_40061.exe
C:\Documents and Settings\tom\Local Settings\Temp\bbmao_1002_XXXX.exe(bbmao助手)
C:\Documents and Settings\tom\Local Settings\Temp\temp1.exe
C:\Documents and Settings\tom\Local Settings\Temp\jmxkbsetup-x66.exe
C:\Documents and Settings\tom\Local Settings\Temp\pack_tmp\progress.exe
C:\Documents and Settings\tom\Local Settings\Temp\63065a4e.exe(傲讯插件)
C:\Documents and Settings\tom\Local Settings\Temp\Setup_ws.exe
C:\Documents and Settings\tom\Local Settings\Temp\IXP000.TMP\Setup.exe
C:\WINDOWS\cast.config
C:\WINDOWS\castp.dat
C:\WINDOWS\castvxml.dat
C:\WINDOWS\castxml.dat
C:\WINDOWS\downnew.ini
C:\WINDOWS\inf\hpsext.inf
C:\WINDOWS\KB910436.log
C:\WINDOWS\system32\32F77AC0.094
C:\WINDOWS\system32\Albus.DAT
C:\WINDOWS\system32\almms.dat
C:\WINDOWS\system32\alsmt.exe
C:\WINDOWS\system32\drivers\Albus.SYS
C:\WINDOWS\system32\EJMX.dll
C:\WINDOWS\system32\guid.vxd
C:\WINDOWS\system32\gunzip.exe
C:\WINDOWS\system32\iedetect.dll
C:\WINDOWS\system32\mscache
C:\Program Files\bbmao toolbar
C:\Program Files\Common Files\UPDATE2
C:\Program Files\MMSAssist
C:\WINDOWS\system32\1116
C:\WINDOWS\system32\msicn
C:\WINDOWS\system32\nt.sys
C:\WINDOWS\system32\spoolsv\spoolsv.exe
C:\WINDOWS\System32\std.ini
C:\WINDOWS\System32\stdd.ini
C:\WINDOWS\System32\stdup.dll
C:\WINDOWS\system32\svchost.dll
C:\WINDOWS\system32\svchost.dll
C:\WINDOWS\System32\updstdup.ini
C:\WINDOWS\system32\wbauninstall.exe
C:\WINDOWS\system32\wbem\ocmor.dat
C:\WINDOWS\system32\wbem\smtpconfs.dll
C:\WINDOWS\system32\wmpdrm.dll
C:\WINDOWS\system32\xenroer.dll
C:\WINDOWS\url_.ini
注册表
HKCR\CLSID\{6AE02E1C-8859-4F57-9097-5A55A56A4CAF}
HKCR\CLSID\{6F26ED6F-82C2-4B64-B1A7-40E644225E97}
HKCR\CLSID\{72BA415A-AE03-4279-ACAB-39A3DF73FD4E}
HKCR\CLSID\{A405D44C-4B7B-43EA-A3EA-7E0E3065220E}
HKCR\CLSID\{CAC068F3-A608-406B-8581-458788A67694}
HKCR\IeLunch.Webacc
HKCR\IeLunch.Webacc.1
HKCR\Interface\{18ACE3AA-4C9B-4800-AC8E-73BF91009B09}
HKCR\Interface\{B780481C-A4F7-493A-8586-6CAC39D812ED}
HKCR\Interface\{EB433BB6-139A-48AF-9836-09911F2E0847}
HKCR\Interface\{ECB449B4-6B1C-4C8A-871A-4A86F756CD84}
HKCR\Skymmstp.CFileDownload
HKCR\Skymmstp.CVirus
HKCR\ToolBand.XBTP05676
HKCR\ToolBand.XBTP05676.1
HKCR\TypeLib\{68A7C985-87D6-4635-B498-3290613C718E}\1.0
HKCR\TypeLib\{A67726D9-4100-4582-8620-5A7E27D3EC3B}\5b.0
HKCR\TypeLib\{B25E511B-2A57-41B1-B7AC-53E76E20D11C}\1.0
HKCR\XBTB05676.IEToolbar
HKCR\XBTB05676.IEToolbar.1
HKCR\XBTB05676.XBTB05676
HKCR\XBTB05676.XBTB05676.1
HKCU\Software\91cast
HKCU\Software\bbmao
HKCU\Software\XBTB05676
HKLM\SOFTWARE\Lamp\Update
HKLM\SOFTWARE\SECTEMP

C:\WINDOWS\system32\jmxsetup.exe
调用C:\Documents and Settings\tom\Local Settings\Temp\Setup.exe 运行.
释放文件
C:\Documents and Settings\tom\Local Settings\Temp\IXP000.TMP\TMP4351$.TMP
C:\WINDOWS\system32\EJMX.dl_
C:\WINDOWS\system32\EJMX.dll
C:\WINDOWS\system32\duibi.txt

具体只测到这了
有很多流氓软件被安装在系统上
释放几个变态病毒..
威金 落雪(LSASS.exe WINLOGON.EXE SMSS) QQpass 等病毒..

以下文件都是此病毒所下载的文件..只有大部分..有漏掉..
C:\WINDOWS\101371.exe
C:\WINDOWS\bind_40094.exe
C:\WINDOWS\Temp\mssoak.exe
C:\Documents and Settings\tom\Local Settings\Temp\temp1.exe
C:\DOCUME~1\tom\LOCALS~1\Temp\temp1.exe
C:\WINDOWS\system32\91di2fa.exe
C:\WINDOWS\Setup2.exe
C:\WINDOWS\ss10202.EXE
C:\WINDOWS\system32\mssv131.exe
C:\WINDOWS\system\realsched.exe
C:\Documents and Settings\tom\Local Settings\Temp\2065968.exe
C:\Documents and Settings\tom\Local Settings\Temp\mmsassis01.exe
C:\DOCUME~1\tom\LOCALS~1\Temp\mmsassis01.exe
C:\DOCUME~1\tom\LOCALS~1\Temp\53a03753.exe
C:\Documents and Settings\tom\Local Settings\Temp\jmxkbsetup-x66.exe
C:\Documents and Settings\tom\Local Settings\Temp\bind_40061.exe
C:\DOCUME~1\tom\LOCALS~1\Temp\Skymmstp.exe
C:\WINDOWS\system32\s_bdextinsU217.exe
C:\WINDOWS\system32\loadsky.exe
C:\WINDOWS\system32\sysmini.exe
C:\Documents and Settings\tom\Local Settings\Temp\bbmao_1002_XXXX.exe
C:\DOCUME~1\tom\LOCALS~1\Temp\bind_40061.exe
C:\WINDOWS\Temp\regsvc.exe
C:\WINDOWS\Temp\jmxkbsetup-x66.exe
C:\DOCUME~1\tom\LOCALS~1\Temp\IXP000.TMP\Setup.exe
C:\WINDOWS\svchost.exe
C:\WINDOWS\system32\SkymmstpRAR.exe
C:\WINDOWS\system32\loadsky.exe
C:\WINDOWS\Skymmstp017.exe
C:\WINDOWS\system32\ZW.exe
C:\WINDOWS\system32\jmxsetup.exe
C:\WINDOWS\system32\drivers\wl.sys
C:\DOCUME~1\tom\LOCALS~1\Temp\24\setup.exe
C:\DOCUME~1\tom\LOCALS~1\Temp\00785456.exe
C:\WINDOWS\system32\zsdm.exe
C:\Program Files\DeskAdTop\Mrup.exe
C:\WINDOWS\system32\cxt.exe
C:\WINDOWS\system32\3.exe
C:\WINDOWS\system32\01SJHB17.exe
C:\WINDOWS\system32\17.exe
C:\Documents and Settings\tom\Local Settings\Temp\RarSFX0\Gapr11.exe
C:\WINDOWS\system32\ppgaxea.dll
C:\WINDOWS\system32\bdcjins.exe
C:\Program Files\Windows Media Player\wmplayer.exe
C:\WINDOWS\system32\iebar.exe
C:\WINDOWS\system32\8004avpa.exe
C:\WINDOWS\system32\SetupCmd.exe
C:\WINDOWS\system32\bind_40258.exe
C:\WINDOWS\system32\SETUPCMD.EXE
C:\WINDOWS\system32\Kuaiso.exe
C:\WINDOWS\realupdate.exe
C:\WINDOWS\Temp\ie.exe
C:\WINDOWS\system32\BIND_4~1.EXE
C:\WINDOWS\system32\huacai906.exe
C:\WINDOWS\winampa.exe
C:\WINDOWS\system32\sysmini.exe
C:\logo1_.exe
C:\WINDOWS\system32\yybar.exe
C:\Program Files\ybar.exe
C:\WINDOWS\system32\sysdmins.exe
C:\WINDOWS\system32\hbrich.exe
C:\Documents and Settings\tom\Local Settings\Temp\RarSFX0\downl.exe
C:\DOCUME~1\tom\LOCALS~1\Temp\BTSearch.exe
C:\Documents and Settings\tom\Local Settings\Temp\cncnew.exe
C:\WINDOWS\system32\rjzc008_cns_yassist.exe
C:\Documents and Settings\tom\Local Settings\Temp\103126.exe
C:\WINDOWS\system32\bdcj01.exe
C:\WINDOWS\system32\dxkr.exe
C:\Documents and Settings\tom\Local Settings\Temp\64\setup.exe
C:\WINDOWS\system32\13528.exe
C:\WINDOWS\system32\IELink.exe
C:\WINDOWS\system32\cmd1054.exe
C:\WINDOWS\system32\SETUP5~1.EXE
C:\WINDOWS\system32\Setup5003.exe
C:\WINDOWS\system32\TOTO.exe
c:\Program Files\system2.exe
C:\WINDOWS\system\king.exe
C:\WINDOWS\system\aa1.exe
C:\WINDOWS\system\001.exe
C:\WINDOWS\LSASS.exe
C:\WINDOWS\system\aa3.exe
C:\WINDOWS\system32\SVOHOST.exe
C:\WINDOWS\system32\intenet.exe
C:\WINDOWS\system\aa4.exe
C:\WINDOWS\SMSS.EXE
C:\WINDOWS\system\09.exe
C:\WINDOWS\system32\winscok.dll
C:\WINDOWS\system32\myrx.dll
C:\WINDOWS\WINLOGON.EXE
C:\WINDOWS\system32\Launcher.exe
C:\WINDOWS\system32\sctongji06.exe
C:\windows\system32\SVOHOST.exe
C:\windows\system32\winscok.dll
C:\WINDOWS\Logo1_.exe

查杀(没中威金的情况下):
此病毒会把.exe修改为~.exe 直接被杀掉..这个暂时还没有办法..

想办法在安全模式下卸载流氓软件..

下载落雪专杀..用专杀在安全模式下查杀..

安全模式下清空
C:\Documents and Settings\tom\Local Settings\Temp\
C:\WINDOWS\Temp\

这样病毒去大半..升级最新版杀软对全盘进行查杀.....

如果中上威金估计没救...格全盘是一个比较好的方法.....

刚中的可以用防火墙防止此病毒连网即可防止..

PS:此病毒跟威金有的比了...希望杀毒软件商方面能出专杀吧...
      C盘直接满了.......

仰望高手！！

   下次我的电脑出问题也来这发

仰望高手~~飘过，咱萨米也不懂

tom...我的c盘是慢慢的变满... 始终每天少100m左右.
我安装的正版诺顿...完全查不出来

楼上是猪,去找个[一键清理系统垃圾文件]这个小程序,自动清理下C盘就空出来了
楼猪不要装SB360那个是垃圾,用AVG8.0看看

哇 高手真多啊            

引用第9楼杀神者于2008-09-15 01:32发表的  :
tom...我的c盘是慢慢的变满... 始终每天少100m左右.
我安装的正版诺顿...完全查不出来

猪开还原了吧

没开....

结果 我昨天 自己花了一下午重新做了个系统 什么事都没了。。现在电脑又恢复 以前的年轻动力了。。。哦也也 哦拉拉！！谢谢高手。。。

微点!!微点 杀毒不错
我上次中了 AV终结者 用微点干掉了 不过机器也再也启动不了了 干脆重装的

真正的高手不会精于杀毒的,因为他们根本不会中毒

引用第16楼ts于2008-09-15 13:17发表的  :
真正的高手不会精于杀毒的,因为他们根本不会中毒 [表情]

我这有样本，有没有兴趣试试？

猪头,不会中毒不等于运行了病毒还能安然无恙

我不是高手，我电脑也没病毒，良好的上网习惯是必要的。

恩恩少看av     

我记得要先把木马的注册表启动项设在禁止开机启动,然后查杀

额...没看懂的说,#24 那是什么....~~`

tom还原怎么关?

啥系统？