Xuetr报告的问题

显示全部楼层 · 发表于 2010-6-20 17:47:16

本帖最后由 nimo 于 2010.6.20 17:49 编辑

我的电脑曾经中过rootkit，unhackme报告说是afx rootkit。然而无法清除。试过多种杀毒软件均无效。不得已，清除MBR，重新分区，重装电脑。
可是xuetr仍然报告说有隐藏进程注入。再次启动xuetr后不再报告。我不放心，于是查看各进程的模块。我通过xuetr发现两个进程的模块有问题，一个是smss.exe, 另一个是svchost.exe。彩影antiarp也报告说每次联网时smss.exe会对外发出arp信号。同时，资源管理器常常出现假死现象。
如果病毒仍然在电脑里，如何查找并清除？我试过目前所有流行的杀毒软件，均无效。

第一张是rootkit将模块注入smss.exe

第二张是rootkit将模块注入svchost.exe
第三张图是卸载了第二张的模块后，rootkit恢复感染svchost

显示全部楼层 · 发表于 2010-6-20 21:08:09

应该是XueTr的误判

显示全部楼层 · 发表于 2010-6-20 21:35:28

这个可能是误判

显示全部楼层 · 发表于 2010-6-21 03:15:52

我也希望是没有问题。可是我发现黑客能锁定我的电脑，然后利用杀毒软件或者windows升级程序将病毒下载到我的电脑里。通常HIPS不会阻拦这些升级。

显示全部楼层 · 发表于 2010-6-21 03:22:35

还有这么高的HK？能用杀毒下载病毒？好像很久以前有人告诉我能利用杀毒软件升级程序下载病毒的人没有了！

显示全部楼层 · 发表于 2010-6-21 14:22:49

这个病毒不仅能用杀毒软件下载新病毒，还能够利用windows的自动升级来下载新病毒。如果装上卡巴斯基，那么xuetr就会报告说有一个可疑的PE image。

显示全部楼层 · 发表于 2010-6-21 14:44:05

本帖最后由 dl123100 于 2010.6.21 15:12 编辑

卡巴驱动加载后被XueTr报可疑PE映像
是卡巴的kl1.sys用了类似remap的方法导致XueTr误判
下版应该会解决

显示全部楼层 · 发表于 2010-6-21 16:17:57

这么高级的病毒啊我也想中一个

显示全部楼层 · 发表于 2010-6-26 03:09:14

显示红色很正常的`````
装了杀软，杀软会挂勾

[讨论] Xuetr报告的问题