中了四牛病毒，不知道怎么恢复压缩文件

dst1

密码是123456

搜索一下 哗哗的几千个 lpk.dll，写这个东西的人真是脑残

这个是wmic查看进程的记录：

wmic:root\cli>process
Caption                       CommandLine
System Idle Process
System
smss.exe                      \SystemRoot\System32\smss.exe
csrss.exe                     C:\WINDOWS\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=16
winlogon.exe                  winlogon.exe
services.exe                  C:\WINDOWS\system32\services.exe
lsass.exe                     C:\WINDOWS\system32\lsass.exe
svchost.exe                   C:\WINDOWS\system32\svchost.exe -k DcomLaunch
svchost.exe                   C:\WINDOWS\system32\svchost.exe -k rpcss
svchost.exe                   C:\WINDOWS\System32\svchost.exe -k netsvcs
msdtc.exe                     C:\WINDOWS\system32\msdtc.exe
mdservice.exe                 "c:\program files\malware defender\mdservice.exe"
sqlservr.exe                  "C:\Program Files\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe" -sMSSQLSERVER
SRS_VolSync.exe               "C:\Program Files\SRS Labs\SRS Premium Sound\SRS_VolSync.exe"
vmware-usbarbitrator.exe      "C:\Program Files\Common Files\VMware\USB\vmware-usbarbitrator.exe"
svchost.exe                   C:\WINDOWS\System32\svchost.exe -k LocalService
vmware-authd.exe              "C:\Program Files\VMware\VMware Player\vmware-authd.exe"
wmiprvse.exe                  C:\WINDOWS\system32\wbem\wmiprvse.exe
uusmuk.exe                    C:\WINDOWS\system32\uusmuk.exe
svchost.exe                   svchost.exe
wmiprvse.exe                  C:\WINDOWS\system32\wbem\wmiprvse.exe
explorer.exe                  C:\WINDOWS\Explorer.EXE
hqtray.exe                    "C:\Program Files\VMware\VMware Player\hqtray.exe"
ctfmon.exe                    "C:\WINDOWS\system32\ctfmon.exe"
SRSPremiumSoundBig_Small.exe  "C:\Program Files\SRS Labs\SRS Premium Sound\SRSPremiumSoundBig_Small.exe"  /hideme
mmc.exe                       "C:\WINDOWS\system32\mmc.exe" "C:\WINDOWS\system32\eventvwr.msc"
XueTr.exe
conime.exe                    C:\WINDOWS\system32\conime.exe
Rar.exe                       C:\PROGRA~1\WinRAR\rar.exe vb "D:\TDDOWNLOAD\黑客工具包Zeus源代码泄露(zeus).rar" lpk.dll
find.exe                      find /i "lpk.dll"
cmd.exe                       "C:\WINDOWS\system32\cmd.exe"
wmic.exe                      wmic
Rar.exe                       "C:\PROGRA~1\WinRAR\rar.exe" a -r -ep1"C:\WINDOWS\TEMP\IRA7E4.tmp" "C:\Documents and Settings\All Users\Application Data\Thunder Network\XMP4\core\minixmp\blue\res\default.zip" "C:\WINDOWS\TEMP\IRA7E4.tmp\lpk.dll"

wmic:root\cli>

下面是md的记录：
2011-6-24 13:24:45    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\桌面\垃圾病毒\hufzuk.exe
命令行: "C:\Documents and Settings\Administrator\桌面\垃圾病毒\hufzuk.exe"
规则: [应用程序]*

2011-6-24 13:24:45    读文件    允许
进程: c:\documents and settings\administrator\桌面\垃圾病毒\hufzuk.exe
目标: C:\WINDOWS\system32\lpk.dll
规则: [文件]*; lpk.dll

2011-6-24 13:24:46    从其他进程复制句柄    允许
进程: c:\windows\system32\svchost.exe
目标: c:\documents and settings\administrator\桌面\垃圾病毒\hufzuk.exe
句柄: (File) C:\WINDOWS\system32\svchost.exe
规则: [应用程序]c:\windows\system32\svchost.exe

2011-6-24 13:24:46    创建新进程    允许
进程: c:\documents and settings\administrator\桌面\垃圾病毒\hufzuk.exe
目标: c:\windows\system32\svchost.exe
命令行: svchost.exe
规则: [应用程序]*

2011-6-24 13:24:46    修改其他进程的内存    允许
进程: c:\documents and settings\administrator\桌面\垃圾病毒\hufzuk.exe
目标: c:\windows\system32\svchost.exe
规则: [应用程序]*

2011-6-24 13:24:46    修改其他进程的线程    允许
进程: c:\documents and settings\administrator\桌面\垃圾病毒\hufzuk.exe
目标: c:\windows\system32\svchost.exe
规则: [应用程序]*

瓜皮猫

eset  kill

C:\Users\微亿毫\Desktop\四牛病毒\四牛病毒\垃圾病毒\垃圾病毒\hufzuk.exe - a variant of Win32/ServStart.AD trojan

wuyongliang

小A  解压完直接秒杀

留侯

大蜘蛛：四牛病毒\垃圾病毒\hufzuk.exe - infected with DDoS.Rincux.316

armchan

  压缩那么多次..我还以为扫不出呢

IOOOOI

卡巴解压两次才报毒，在安全堡垒下试的。

hb1990521

IOOOOI 发表于 2011-6-24 19:49
卡巴解压两次才报毒，在安全堡垒下试的。

因为加密了  卡巴不能扫   Trojan.Win32.MicroFake.bv

shanghaiplmm

诺顿杀掉了

alsten1

360杀掉！

dst1

用可牛把压缩文件里的垃圾删除了