进程里出现JOB1，一直杀不掉

sowind

系统运行没多久，在任务管理器应用程序栏就跑出一个JOB1的进程，跟RUNDLL32进程关联，结束掉RUNDLL32进程，JOB1也没了，但用不了多久又跳出来了。

上网查了，好多人有这种情况，这个病毒会替换userinit.exe文件，但我用正常的userinit.exe文件替换回来，还是会出现JOB1进程，查看userinit.exe文件没有被再次替换掉，看来还有其它文件被感染了。
装了小A,McaFee8.5I,都没用。系统重装了，没过多久又出来了。郁闷死了。 哪位兄弟老大有解决办法啊，不胜感激！


VirSCAN.org Scanned Report :
Scanned time   : 2009/08/21 15:02:55 (CST)
Scanner results: 22%的杀软(8/37)报告发现病毒
File Name      : userinit.exe
File Size      : 30208 byte
File Type      : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5            : 39f25cb7091453816f94ea3c61f77ad0
SHA1           : 35be2cefb7ba26c3ae761824a62412549292e428
Online report  : http://virscan.org/report/5f85b3fb9ca2715bfe50f896dbc4acdd.html
Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.5.0.8         20090820220213    2009-08-20  0.46   Trojan.Win32.Malagent!IK
安博士V3       2009.08.21.00   2009.08.21        2009-08-21  1.38   -
AntiVir        8.2.1.3         7.1.5.143         2009-08-20  0.12   TR/Crypt.PEPM.Gen
安天           2.0.18          20090819.2718903  2009-08-19  0.12   -
Arcavir        2009            200908201624      2009-08-20  0.05   -
Authentium     5.1.1           200908201735      2009-08-20  2.18   W32/Heuristic-210!Eldorado (Heuristic)
AVAST!         4.7.4           090820-0          2009-08-20  0.02   -
AVG            8.5.288         270.13.63/2316    2009-08-21  1.66   -
BitDefender    7.81008.3911312 7.27260           2009-08-21  3.53   -
CA (VET)       9.0.0.143       31.6.6691         2009-08-21  4.13   -
ClamAV         0.95.2          9723              2009-08-20  0.01   -
Comodo         3.10            2042              2009-08-21  6.71   -
CP Secure      1.1.0.715       2009.08.21        2009-08-21  13.29  -
Dr.Web         4.44.0.9170     2009.08.20        2009-08-20  5.53   -
F-Prot         4.4.4.56        20090820          2009-08-20  1.96   Possible W32/Heuristic-210!Eldorado (not disinfectable)
F-Secure       7.02.73807      2009.08.21.04     2009-08-21  0.74   -
飞塔           2.81-3.120      10.740            2009-08-20  0.63   -
GData          19.7282/19.446  20090821          2009-08-21  11.04  -
ViRobot        20090820        2009.08.20        2009-08-20  0.77   -
Ikarus         T3.1.01.68      2009.08.21.73325  2009-08-21  3.75   Trojan.Win32.Malagent
江民杀毒       11.0.800        2009.08.21        2009-08-21  7.75   -
卡巴斯基       5.5.10          2009.08.21        2009-08-21  0.32   -
金山毒霸       2009.2.5.15     2009.8.21.9       2009-08-21  2.50   -
迈克菲         5.3.00          5715              2009-08-20  4.66   -
Microsoft      1.4903          2009.08.21        2009-08-21  12.85  -
Norman         6.01.09         6.01.00           2009-08-17  6.03   -
熊猫卫士       9.05.01         2009.08.20        2009-08-20  3.70   -
趋势科技       8.700-1004      6.384.01          2009-08-20  0.55   -
Quick Heal     10.00           2009.08.20        2009-08-20  1.30   Suspicious - DNAScan
瑞星           20.0            21.43.40.00       2009-08-21  1.17   -
Sophos         2.89.1          4.44              2009-08-21  4.34   Mal/Behav-024
Sunbelt        5347            5347              2009-08-20  1.99   -
赛门铁克       1.3.0.24        20090820.003      2009-08-20  0.11   -
nProtect       20090818.01     5093763           2009-08-18  8.92   -
The Hacker     6.3.4.3         v00384            2009-08-20  0.90   -
VBA32          3.12.10.9       20090820.1248     2009-08-20  2.06   Trojan.VB.Acid
VirusBuster    4.5.11.10       10.112.11/1801294 2009-08-21  2.31   -

[ 本帖最后由 sowind 于 2009-8-21 15:25 编辑 ]

sowind

另外搜索JOB1，查找不到这个文件。SYSTEM32目录里面也没有奇奇怪怪的文件。RUNDLL32文件是正常的，没有被病毒替换掉，虽然JOB1是通过它关联的。

星空下的吻

用icesword

sowind

原帖由 星空下的吻 于 2009-8-20 09:29 发表
用icesword

多谢楼上，用icesword查看RUNDLL32进程，发现调用的是xpsp2res.dll，但查看了一下，发现这个文件也是正常的，是微软原版的。难道什么病毒通过它来做些什么？

sowind

还有什么解决办法没有？

相思引

用UNLOCKER.

压缩上传该样本

xueyao_zhjyl

莫非 是 机器狗的变种

sowind

原帖由 冰比冰水冰 于 2009-8-20 09:55 发表
压缩上传该样本

找不到不正常的文件啊，都不知道样本是哪个。

看看你机器中的任务计划