偶中了有史以来最强的病毒了！！！救命啊！！！

显示全部楼层 · 发表于 2006-12-21 21:44:22

从出生那天起就没遇见这样的病毒，
一开始开机自动弹出网页，我以为小菜一碟，
打开进程管理器，看到一个CMD.exe在疯狂运行，
运行一下360安全卫士，
结果卫士出师未捷身先死！被自动删除！机器自动关闭！
我以为没事，装个瑞星卡卡试试，
结果卡卡还未安装就被自动删除！随后机器自动关机！
还好这个病毒不会自动删除我的Maxthon浏览器，
给我有点机会在网上找点资料，
最后终于找了一个威金专杀工具管了点用，删除desktop.ini无数，
感觉没问题了，
卡卡装上没事了。。。
可是！我一运行QQ，卡卡在系统托盘的图标突然消失，然后又是自动关机！
靠，今天忙着杀了一天的毒，未果！不行啊！这死病毒还在身上！

从没见过这种卡巴斯基查不出来，
欺负360安全卫士，不睬瑞星卡卡的超级无敌宇宙大病毒！
还有一件让你难受至极的事情，不允许上google！
你要是想上google，它就自动转向百度！
这不明摆着蔑视百度无能吗？！

各位大虾看帖还望回帖，给点建议吧！我快绝望得就要重装系统！

[ 本帖最后由 xiaofeii 于 2006-12-21 21:46 编辑 ]

显示全部楼层 · 发表于 2006-12-21 23:30:05

能否上传一些可疑文件或者系统快照这类的东西上来
很难确定具体的文件阿

显示全部楼层 · 发表于 2006-12-22 18:00:37

好期待这样的经历拉，楼主运气好拉

显示全部楼层 · 发表于 2006-12-22 21:59:10

to ALEXBLAIR (潜水≠冷漠) :

卡巴基斯认为我的机子什么问题都没有，一点警告什么的也不弹出来~和我一样白痴~
以下是SecAnalyst的分析报告，说我的机器处于高风险状态。

#T0 SecAnalyst 分析报告版本:0, 4, 0, 47
#操作系统 : Microsoft Windows XP Professional Service Pack 2 (Build 2600) (CHS)
#系统目录 : C:\WINDOWS\system32
#浏览器 : Internet Explorer 6.0.2900.2180
#生成时间 : 2006-12-22 21:56:43

#T2 请把报告贴到安全救援中心bbs.s-sos.net,我们的专家会为你做出诊断，另外，报告中的安全风险值仅仅表示可疑程度。
#Q1 (请在此输入你的电脑遇到的问题和异常情况..)

#O4  危险    自启动:[hkey_local_machine\software\microsoft\windows\currentversion\explorer\shellexecutehooks\[Empty]]-c:\windows\system32\tsrutsru.dll
#O4  危险    自启动:[hkey_local_machine\software\microsoft\windows\currentversion\shell extensions\approved\UnlockerShellExtension]-c:\program files\unlocker\unlockercom.dll
#O4  危险    自启动:[hkey_local_machine\software\microsoft\windows\currentversion\shell extensions\approved\AlcoholShellEx]-d:\progra~1\alcoho~1\alcoho~1\axshlex.dll
#O4  低风险自启动:[hkey_local_machine\software\microsoft\windows\currentversion\shell extensions\approved\WinRAR shell extension]-c:\program files\winrar\rarext.dll
#O4  低风险自启动:[hkey_local_machine\software\microsoft\windows\currentversion\shell extensions\approved\Shell Icon Handler for Application References]-c:\windows\system32\dfshim.dll
#O4  低风险自启动:[hkey_local_machine\software\microsoft\windows\currentversion\shell extensions\approved\ShellLink for Application References]-c:\windows\system32\dfshim.dll
#O4  低风险自启动:[hkey_local_machine\software\microsoft\windows\currentversion\shell extensions\approved\Display Panning CPL Extension]-deskpan.dll [file not found]
#O4  低风险自启动:[hkey_local_machine\software\microsoft\windows\currentversion\run\{0228e555-4f9c-4e35-a3ec-b109a192b4c2}]-e:\program files\google\gmail notifier\gnotify.exe
#O4  低风险自启动:[hkey_local_machine\software\microsoft\windows\currentversion\shell extensions\approved\Developer Studio Components]-d:\program files\microsoft visual studio\common\msdev98\bin\ide\devxpgl.dll
#O4  低风险自启动:[hkey_local_machine\software\microsoft\windows\currentversion\shell extensions\approved\Registered ActiveX Controls]-d:\program files\microsoft visual studio\common\msdev98\bin\ide\devxpgl.dll
#O4  低风险自启动:[hkey_local_machine\software\microsoft\windows\currentversion\shell extensions\approved\nView Desktop Context Menu]-c:\windows\system32\nvshell.dll
#O4  低风险自启动:[hkey_local_machine\software\microsoft\windows\currentversion\shell extensions\approved\Desktop Explorer Menu]-c:\windows\system32\nvshell.dll
#O4  低风险自启动:[hkey_local_machine\software\microsoft\windows\currentversion\shell extensions\approved\Desktop Explorer]-c:\windows\system32\nvshell.dll

#D0  低风险驱动: C:\WINDOWS\system32\drivers\symlcbrd.sys
#D0  低风险驱动: C:\WINDOWS\system32\SetupNT.sys
#D0  低风险驱动: C:\WINDOWS\System32\Drivers\SENTINEL.SYS
#D0  低风险驱动: C:\WINDOWS\System32\drivers\klif.sys
#D0  低风险驱动: C:\WINDOWS\System32\drivers\klmc.sys

#IE1 警告    IE设置: IE浏览器链接栏名称被恶意修改!
推荐删除: LinksFolderName: Links - HKCU\Software\Microsoft\Internet Explorer\Toolbar ,LinksFolderName

#M0  危险    DLL:C:\WINDOWS\system32\q.dll
#M0  危险    DLL:C:\WINDOWS\system32\TSRUTSRU.dll
#M0  危险    DLL:C:\Program Files\Unlocker\UnlockerCOM.dll
#M0  危险    DLL:C:\WINDOWS\system32\NVWRSZHC.DLL
#M0  警告    DLL:C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\shellex.dll
#M0  低风险 DLL:C:\Program Files\WinRAR\rarext.dll
#M0  低风险 DLL:C:\WINDOWS\system32\nvshell.dll

#P0  危险    进程:c:\documents and settings\xiaofeii\desktop\vikingkill\viking杀虫剂.com
#P0  低风险进程:d:\green\sreng\sreng.exe
#P0  低风险进程:e:\program files\google\gmail notifier\gnotify.exe

#S0  危险    NT 服务: MazeServer - 启动方式: 手动 - 当前状态: 已停止 - D:\Program Files\Maze\MazeSvr.exe
#S0  警告    NT 服务: SNDSrvc - 启动方式: 已禁用 - 当前状态: 已停止 - "C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe"
#S0  警告    NT 服务: Unigraphics License Server (uglmd) - 启动方式: 手动 - 当前状态: 已停止 - D:\Program Files\UGS\License Servers\UGNXFLEXlm\lmgrd.exe
#S0  警告    NT 服务: Visual Studio Analyzer RPC bridge - 启动方式: 手动 - 当前状态: 已停止 - D:\Program Files\Microsoft Visual Studio\Common\Tools\VS-Ent98\Vanalyzr\varpc.exe
#S0  低风险 NT 服务: kavsvc - 启动方式: 自动 - 当前状态: 已启动 - "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\kavsvc.exe"
#S0  低风险 NT 服务: Symantec Core LC - 启动方式: 已禁用 - 当前状态: 已停止 - "C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe"
#S0  低风险 NT 服务: HidServ - ServiceDll - C:\WINDOWS\System32\hidserv.dll - [file not found]
#S0  低风险 NT 服务: NPFMntor - 启动方式: 已禁用 - 当前状态: 已停止 -  - [file not found]
#S0  低风险 NT 服务: MOVEESS - 启动方式: 已禁用 - 当前状态: 已停止 - C:\WINDOWS\SYSTEM32\RUNDLL.EXE C:\WINDOWS\SYSTEM32\WBEM\SMTPCONFS.DLL,Export 1087 - [file not found]
#S0  低风险 NT 服务: SPBBCSvc - 启动方式: 已禁用 - 当前状态: 已停止 - "C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe"
#S0  低风险 NT 服务: ccEvtMgr - 启动方式: 已禁用 - 当前状态: 已停止 - "C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe"

#O1  低风险 Hosts: 218.83.161.65 mtv.fzzv.com
#O1  低风险 Hosts: 218.83.161.65 keyword.vnet.cn
#O1  低风险 Hosts: 218.83.161.65 www.9505.com
#O1  低风险 Hosts: 218.83.161.65 www.xuedao.net
#O1  低风险 Hosts: 218.83.161.65 www.775999.com
#O1  低风险 Hosts: 218.83.161.65 www.netv3g.com
#O1  低风险 Hosts: 218.83.161.65 www.369.com
#O1  低风险 Hosts: 218.83.161.65 www.588wy.com
#O1  低风险 Hosts: 218.83.161.65 .62oo.com
#O1  低风险 Hosts: 218.83.161.65 news.ruihang.net
#O1  低风险 Hosts: 218.83.161.65 www.588wy.com
#O1  低风险 Hosts: 218.83.161.65 love911.com.cn
#O1  低风险 Hosts: 218.83.161.65 wod.shancunn.com
#O1  低风险 Hosts: 218.83.161.65 sou.china.com
#O1  低风险 Hosts: 218.83.161.65 www.soso.com
#O1  低风险 Hosts: 218.83.161.65 page.so.163.com
#O1  低风险 Hosts: 218.83.161.65 search.tom.com
#O1  低风险 Hosts: 218.83.161.65 iask.com
#O1  低风险 Hosts: 218.83.161.65 www.iask.com
#O1  低风险 Hosts: 218.83.161.65 cn.yahoo.com
#O1  低风险 Hosts: 218.83.161.65 www.yahoo.com.cn
#O1  低风险 Hosts: 218.83.161.65 www.sogou.com
#O1  低风险 Hosts: 218.83.161.65 www.google.cn
#O1  低风险 Hosts: 218.83.161.65 google.com
#O1  低风险 Hosts: 218.83.161.65 www.google.com
#O1  低风险 Hosts: 218.83.161.65 www.zewq.com
#O1  低风险 Hosts: 218.83.161.65 www.wg668.com
#O1  低风险 Hosts: 218.83.161.65 www.3w663.com
#O1  低风险 Hosts: 218.83.161.65 zhongbaoscissors.cn
#O1  低风险 Hosts: 218.83.161.65 www.33943.com
#O1  低风险 Hosts: 218.83.161.65 dv.ku6.com
#O1  低风险 Hosts: 218.83.161.65 banzou6.wo99.com
#O1  低风险 Hosts: 218.83.161.65 www.zhaomeimei.cn
#O1  低风险 Hosts: 218.83.161.65 www.58.com
#O1  低风险 Hosts: 218.83.161.65 www.my123.com
#O1  低风险 Hosts: 218.83.161.65 ishare.sina.com.cn
#O1  低风险 Hosts: 218.83.161.65 dnl-kr5.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-kr4.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-kr3.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-kr2.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-kr1.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-jp5.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-jp4.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-jp3.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-jp2.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-jp1.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-ru5.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-ru4.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-ru3.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-ru2.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-ru1.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-us5.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-us4.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-us3.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-us2.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-us1.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-eu5.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-eu4.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-eu3.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-eu2.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 dnl-eu1.kaspersky-labs.com
#O1  低风险 Hosts: 218.83.161.65 www.winopen.cn
#O1  低风险 Hosts: 218.83.161.65 www.okeaa.com
#O1  低风险 Hosts: 218.83.161.65 img.zhangxiu.com
#O1  低风险 Hosts: 218.83.161.65 www.sosok.com
#O1  低风险 Hosts: 218.83.161.65 www.qqplayer.net
#O1  低风险 Hosts: 218.83.161.65 cg.9e3.com
#O1  低风险 Hosts: 218.83.161.65 www.365tan.com
#O1  低风险 Hosts: 218.83.161.65 xfkz.com
#O1  低风险 Hosts: 218.83.161.65 www.xfkz.com
#O1  低风险 Hosts: 218.83.161.65 about-blank.cc
#O1  低风险 Hosts: 218.83.161.65 www.xingkongitv.com
#O1  低风险 Hosts: 218.83.161.65 www.feixue.net
#O1  低风险 Hosts: 218.83.161.65 www.1717kan.cn
#O1  低风险 Hosts: 218.83.161.65 www.maohehe.com
#O1  低风险 Hosts: 218.83.161.65 www.sina-baidu.com
#O1  低风险 Hosts: 218.83.161.65 www.maipao.com
#O1  低风险 Hosts: 218.83.161.65 ycdy.com
#O1  低风险 Hosts: 218.83.161.65 www.ycdy.com
#O1  低风险 Hosts: 218.83.161.65 www.haotop.com
#O1  低风险 Hosts: 218.83.161.65 www.91tu.cn
#O1  低风险 Hosts: 218.83.161.65 www.2tu.cn
#O1  低风险 Hosts: 218.83.161.65 www.gao58.com
#O1  低风险 Hosts: 218.83.161.65 go.baibaoxiang.cn
#O1  低风险 Hosts: 218.83.161.65 wwww.systeel.com.cn
#O1  低风险 Hosts: 218.83.161.65 www.2yin.cn
#O1  低风险 Hosts: 218.83.161.65 go.ipcenter.cn
#O1  低风险 Hosts: 218.83.161.65 ip.alexaanywhere.com
#O1  低风险 Hosts: 218.83.161.65 .a.kal.cn
#O1  低风险 Hosts: 218.83.161.65 www.2t2t.cn
#O1  低风险 Hosts: 218.83.161.65 www.caiqiyue.com
#O1  低风险 Hosts: 218.83.161.65 www.bannerbox.cn
#O1  低风险 Hosts: 218.83.161.65 ip2.adanywhere.cn
#O1  低风险 Hosts: 218.83.161.65 ip1.adanywhere.cn
#O1  低风险 Hosts: 218.83.161.65 ip.adanywhere.cn
#O1  低风险 Hosts: 218.83.161.65 www.adanywhere.cn
#O1  低风险 Hosts: 218.83.161.65 www.spjoy.com
#O1  低风险 Hosts: 218.83.161.65 dl.pconline.com.cn
#O1  低风险 Hosts: 218.83.161.65 www.7255.com
#O1  低风险 Hosts: 218.83.161.65 luosoft.com
#O1  低风险 Hosts: 218.83.161.65 www.luosoft.com
#O1  低风险 Hosts: 218.83.161.65 www.piaoxue.com
#O1  低风险 Hosts: 218.83.161.65 www.5566.net
#O1  低风险 Hosts: 218.83.161.65 www.goodmv.cn
#O1  低风险 Hosts: 218.83.161.65 mopery.hits.io
#O1  低风险 Hosts: 218.83.161.65 www.pcav.cn
#O1  低风险 Hosts: 218.83.161.65 space.uwants.com
#O1  低风险 Hosts: 218.83.161.65 dl.pconline.com.cn
#O1  低风险 Hosts: 218.83.161.65 online.rising.com.cn
#O1  低风险 Hosts: 218.83.161.65 update.rising.com.cn
#O1  低风险 Hosts: 218.83.161.65 baidu.com
#O1  低风险 Hosts: 218.83.161.65 zhidao.baidu.com
#O1  低风险 Hosts: 218.83.161.65 post.baidu.com
#O1  低风险 Hosts: 218.83.161.65 update.jiangmin.com
#O1  低风险 Hosts: 218.83.161.65 forum.jiangmin.com
#O1  低风险 Hosts: 218.83.161.65 www.piaoxue.com
#O1  低风险 Hosts: 218.83.161.65 update.ikaka.com
#O1  低风险 Hosts: 218.83.161.65 www.ikaka.com
#O1  低风险 Hosts: 218.83.161.65 forum.ikaka.com
#O1  低风险 Hosts: 218.83.161.65 .com
#O1  低风险 Hosts: 218.83.161.65 www.9991.com
#O1  低风险 Hosts: 218.83.161.65 www.5566.net
#O1  低风险 Hosts: 218.83.161.65 www.7322.com
#O1  低风险 Hosts: 218.83.161.65 www.pctutu.com
#O1  低风险 Hosts: 218.83.161.65 btbaicai.com
#O1  低风险 Hosts: 218.83.161.65 www.btbaicai.com
#O1  低风险 Hosts: 218.83.161.65 bbs.360safe.com
#O1  低风险 Hosts: 218.83.161.65 dl.360safe.com
#O1  低风险 Hosts: 218.83.161.65 update.360safe.com
#O1  低风险 Hosts: 218.83.161.65 safe.com
#O1  低风险 Hosts: 218.83.161.65 www.360safe.com
#O1  低风险 Hosts: 218.83.161.65 www.7939.com
#O1  低风险 Hosts: 218.83.161.65 hao123.com
#O1  低风险 Hosts: 218.83.161.65 www.hao123.com

#O18 低风险 Protocol: application/x-msdownload - {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - C:\WINDOWS\system32\mscoree.dll
#O18 低风险 Protocol: application/x-complus - {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - C:\WINDOWS\system32\mscoree.dll
#O18 低风险 Protocol: application/octet-stream - {1E66F26B-79EE-11D2-8710-00C04F79ED0D} - C:\WINDOWS\system32\mscoree.dll

您的电脑整体安全风险为高(146分)，可能已经被破坏，请尽快处理!

显示全部楼层 · 发表于 2006-12-22 22:09:08

to ALEXBLAIR (潜水≠冷漠) :
System Repair Engineer 说我的机器注册表里有两样东西它没见过，可能很危险，如下：
1
Name：Userinit
Value：C:\WINDOWS\system32\Userinit.exe
Path：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

2 {F6D4B290-F6D4-F6D4-7E5C-F6D4B2907E5C}
Value:C:\WINDOWS\system32\TSRUTSRU.dll
Path: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks

显示全部楼层 · 发表于 2006-12-22 22:13:06

to wangao269:
我也特别希望把这种好运气分享给你，反正我一个人消受不起~~

唉~~~~~~感叹电脑技术太差，不能给你传过去。。。。

显示全部楼层 · 发表于 2006-12-23 15:53:21

问题找到了
问题文件
%syetemroot%\system32\q.dll
=======================症状================
1、反安装所有杀毒软件和各种木马清除程序（包括360、瑞星卡卡等），只要一装就重启，然后删除这些程序的主程序。
2、修改hosts表，全部指向一个特定的IP地址，一些下载木马清除程序的网站都上不了。
3、稳藏启动，msconfig看不到，运行后，挂勾explorer.exe,自动启动两个假的ie进程及各种网络相关程序和部分本地运行的程序，如unlock等，使你无法用unlock程序。
4、专盗QQ等游戏账号，然后获取工具、Q币等。

===========网上的处理办法：=====================

****方法1*****

1、安装unlock最新版
2、在c:\windows\system32目录下找到q.dll
3、右击unlock,在出现的连接程序中，除unlock线程外，逐一进行结束，最后只剩下unlock时，选择“删除”
4、安装360清杀其余木马。
5、安装杀毒程序。
============================================

****方法2*****

进入安全模式
有进程的直接关闭
进入C:\WINDOWS\TEMP\q.dll 转载自《电脑安防论坛》
c:/windows/svhost.exe 直接删除转载自《电脑安防论坛》
重起~
============================================

希望楼主把这个q.dll文件发到网上来
方便卡巴司机的查杀

[ 本帖最后由 ALEXBLAIR 于 2006-12-23 16:00 编辑 ]

显示全部楼层 · 发表于 2006-12-23 16:01:53

Name：Userinit
Value：C:\WINDOWS\system32\Userinit.exe
Path：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

2 {F6D4B290-F6D4-F6D4-7E5C-F6D4B2907E5C}
Value:C:\WINDOWS\system32\TSRUTSRU.dll
Path: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks

这两个东西不是系统文件
安全起见，先删除或者隔离相关的文件和注册表值

显示全部楼层 · 发表于 2006-12-23 16:58:32

Hosts: 218.83.161.65 [url=http://www.piaoxue.com

www.piaoxue.com[/quote[/url]]

飘雪啊,估计是中了downloader , 不删除这个他会每次上网下载病毒并修改hosts文件

显示全部楼层 · 发表于 2006-12-24 14:00:49

谢谢 ALEXBLAIR (潜水≠冷漠)，问题基本解决了，好在没有重装系统~
我是使用金山毒霸系统清理专家清理掉的，这个软件估计黑客们不太关注，没有专门对付它的DLL，
呵呵，知名度不太高的软件有时候作用反而好点~
抱歉阿，没注意你后面的话，我已经把q.dll给删除了。
下次遇到病毒了，我一定注意的。

[ 本帖最后由 xiaofeii 于 2006-12-24 14:27 编辑 ]

偶中了有史以来最强的病毒了！！！救命啊！！！

评分