是谁推送天气网弹窗？后台鬼影难缠(已解决)

鲁速

vm001 发表于 2015-6-25 11:46
svchost正常情况下不可能是当前用户名，如果是那就是一个傀儡进程，定位这个文件位置，看看是不是system32 ...

我去下载个试试。

鲁速

vm001 发表于 2015-6-25 11:46
svchost正常情况下不可能是当前用户名，如果是那就是一个傀儡进程，定位这个文件位置，看看是不是system32 ...

pchunter是不是会引起杀软小A误报？

dej.sf

你用任何一款进程管理器看下svchost里有没有注入可以可疑dll。

vm001

鲁速 发表于 2015-6-25 12:23
pchunter是不是会引起杀软小A误报？

都这个时候了，就别信小A了...就PChunter查看启动项，查看驱动，最后查看mbr

鲁速

vm001 发表于 2015-6-25 12:36
都这个时候了，就别信小A了...就PChunter查看启动项，查看驱动，最后查看mbr

svchost下的dll有一个是dmserver.dll，在进程查看器里显示公司名称不完整：“microsoft corp.”，其他都是microsoft corporation，有点可疑。但文件建立时间20080504，和系统安装时间还是一样的。
PCHunter32，查看驱动，发现可疑文件，但右键不能定位、不能查看属性。怀疑文件不存在？见图

下拉界面拉手

在下拉拉手


看启动项，有蓝色文字，可能是需注意
1.

2.


你说的mbr是什么？我没找到。
到了驱动这里我就不明白了，其实我没学过电脑。

vm001

鲁速 发表于 2015-6-25 13:19
svchost下的dll有一个是dmserver.dll，在进程查看器里显示公司名称不完整：“microsoft corp.”，其他都 ...

私聊，把你QQ告诉我，Qq上聊

鲁速

vm001 发表于 2015-6-25 13:22
私聊，把你QQ告诉我，Qq上聊

已发站内消息。

鲁速

啊，vm001下线了忙工作了，有空再请教。

发个我的电脑上的任务管理器，两个svchost进程都是在当前用户下，应该说就是问题了。

cfans

鲁速 发表于 2015-6-25 13:43
啊，vm001下线了忙工作了，有空再请教。

发个我的电脑上的任务管理器，两个svchost进程都是在当前用户下 ...

是你这段时间经常用的播放器，特别是视频播放器，界面上有广告那种。

vm001

QQ上楼主没在了，逐步看现象，楼主因该是中了鬼影，应该是5(可能是变种），感染atapi，这个windows下是检测不到mbr异常的，需要在PE下检测，用bootice来修复