红伞扫描时发现很多未签名的系统文件

显示全部楼层 · 发表于 2010-10-11 23:46:41

本帖最后由 woshiyizhiyu0 于 2010.10.13 10:10 编辑

如题，这些文件已经复制到隔离区，该如何解决？？

现在电脑不能打开U盘，一打开就提示“资源管理器停止工作”，U盘在其他电脑上正常。

附红伞部分扫描报告：

正在初始化系统文件扫描:
未签名 ->“C:\Windows\system32\svchost.exe”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d162def.qua”(隔离区)
未签名 ->“C:\Windows\system32\winlogon.exe”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d212de7.qua”(隔离区)
未签名 ->“C:\Windows\explorer.exe”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d232dfa.qua”(隔离区)
未签名 ->“C:\Windows\system32\smss.exe”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d262df2.qua”(隔离区)
未签名 ->“C:\Windows\system32\wininet.DLL”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d212df9.qua”(隔离区)
未签名 ->“C:\Windows\system32\wsock32.DLL”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d222e07.qua”(隔离区)
未签名 ->“C:\Windows\system32\ws2_32.DLL”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4ce52e0a.qua”(隔离区)
未签名 ->“C:\Windows\system32\services.exe”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d252dff.qua”(隔离区)
未签名 ->“C:\Windows\system32\lsass.exe”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d142e10.qua”(隔离区)
未签名 ->“C:\Windows\system32\csrss.exe”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d252e16.qua”(隔离区)
未签名 ->“C:\Windows\system32\drivers\kbdclass.sys”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d172e17.qua”(隔离区)
未签名 ->“C:\Windows\system32\spoolsv.exe”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d222e28.qua”(隔离区)
未签名 ->“C:\Windows\system32\alg.exe”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d1a2e28.qua”(隔离区)
未签名 ->“C:\Windows\system32\wuauclt.exe”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d142e34.qua”(隔离区)
未签名 ->“C:\Windows\system32\advapi32.DLL”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d292e26.qua”(隔离区)
未签名 ->“C:\Windows\system32\user32.DLL”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d182e3e.qua”(隔离区)
未签名 ->“C:\Windows\system32\gdi32.DLL”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d1c2e32.qua”(隔离区)
未签名 ->“C:\Windows\system32\kernel32.DLL”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d252e38.qua”(隔离区)
未签名 ->“C:\Windows\system32\ntdll.DLL”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d172e56.qua”(隔离区)
未签名 ->“C:\Windows\system32\ntoskrnl.exe”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d222e5a.qua”(隔离区)
未签名 ->“C:\Windows\system32\ctfmon.exe”
[检测]       包含可疑代码 HEUR/Modified.SystemFile
[注意]       一个备份被创建为“4d192e5d.qua”(隔离区)
系统文件已扫描(21 个文件)

开始搜索隐藏对象。
360tray.exe
[信息]       进程不可见。
dllhost.exe
[信息]       进程不可见。
firefox.exe
[信息]       进程不可见。
dllhost.exe
[信息]       进程不可见。
consent.exe
[信息]       进程不可见。
dllhost.exe
[信息]       进程不可见。
dllhost.exe
[信息]       进程不可见。
KQAdTray.exe
[信息]       进程不可见。
iexplore.exe
[信息]       进程不可见。
consent.exe
[信息]       进程不可见。
360Safe.exe
[信息]       进程不可见。
dllhost.exe
[信息]       进程不可见。
dllhost.exe
[信息]       进程不可见。
dllhost.exe
[信息]       进程不可见。
dllhost.exe
[信息]       进程不可见。
dllhost.exe
[信息]       进程不可见。
taskmgr.exe
[信息]       进程不可见。
SoftManager.ex
[信息]       进程不可见。
iexplore.exe
[信息]       进程不可见。
检查了 27816 个对象，发现了 19 个隐藏对象。

即将开始扫描正在运行的进程
扫描进程“avscan.exe” - 已扫描 1 个模块
扫描进程“avscan.exe” - 已扫描 1 个模块
扫描进程“SogouCloud.exe” - 已扫描 1 个模块
扫描进程“audiodg.exe” - 已扫描 0 个模块
扫描进程“FlashUtil10k_ActiveX.exe” - 已扫描 1 个模块
扫描进程“iexplore.exe” - 已扫描 1 个模块
扫描进程“iexplore.exe” - 已扫描 1 个模块
扫描进程“Fetion.exe” - 已扫描 1 个模块
扫描进程“TXPlatform.exe” - 已扫描 1 个模块
扫描进程“QQ.exe” - 已扫描 1 个模块
扫描进程“svchost.exe” - 已扫描 1 个模块
扫描进程“SearchIndexer.exe” - 已扫描 1 个模块
扫描进程“D4Svr_ICBC.exe” - 已扫描 1 个模块
扫描进程“avgnt.exe” - 已扫描 1 个模块
扫描进程“MPMon.exe” - 已扫描 0 个模块
扫描进程“explorer.exe” - 已扫描 1 个模块
扫描进程“dwm.exe” - 已扫描 1 个模块
扫描进程“taskhost.exe” - 已扫描 1 个模块
扫描进程“vmware-authd.exe” - 已扫描 1 个模块
扫描进程“vmnetdhcp.exe” - 已扫描 1 个模块
扫描进程“svchost.exe” - 已扫描 1 个模块
扫描进程“vmnat.exe” - 已扫描 1 个模块
扫描进程“nvSCPAPISvr.exe” - 已扫描 1 个模块
扫描进程“D4Mon_ICBC.exe” - 已扫描 1 个模块
扫描进程“D4Ser_ICBC.exe” - 已扫描 1 个模块
扫描进程“avguard.exe” - 已扫描 1 个模块
扫描进程“svchost.exe” - 已扫描 1 个模块
扫描进程“sched.exe” - 已扫描 1 个模块
扫描进程“svchost.exe” - 已扫描 1 个模块
扫描进程“nvvsvc.exe” - 已扫描 1 个模块
扫描进程“svchost.exe” - 已扫描 1 个模块
扫描进程“svchost.exe” - 已扫描 1 个模块
扫描进程“svchost.exe” - 已扫描 1 个模块
扫描进程“MPSVC1.exe” - 已扫描 0 个模块
扫描进程“MPSVC2.exe” - 已扫描 0 个模块
扫描进程“MPSVC.exe” - 已扫描 0 个模块
扫描进程“svchost.exe” - 已扫描 1 个模块
扫描进程“svchost.exe” - 已扫描 1 个模块
扫描进程“nvvsvc.exe” - 已扫描 1 个模块
扫描进程“svchost.exe” - 已扫描 1 个模块
扫描进程“lsm.exe” - 已扫描 1 个模块
扫描进程“lsass.exe” - 已扫描 1 个模块
扫描进程“winlogon.exe” - 已扫描 1 个模块
扫描进程“services.exe” - 已扫描 1 个模块
扫描进程“csrss.exe” - 已扫描 1 个模块
扫描进程“wininit.exe” - 已扫描 1 个模块
扫描进程“csrss.exe” - 已扫描 1 个模块
扫描进程“smss.exe” - 已扫描 1 个模块
已扫描 43 个进程，43 个模块

显示全部楼层 · 发表于 2010-10-12 00:06:27

樓主的系統文件可能曾受過病毒感染/修改
建議方法有兩個:
1.以"原版"WINDOWS 安裝光碟重新安裝WINDOWS
2.在設定中關閉紅傘的系統完整性檢查

显示全部楼层 · 发表于 2010-10-12 03:34:35

本帖最后由 A级逃犯于 2010.10.12 03:34 编辑

回复 1楼 woshiyizhiyu0 的帖子

红伞检测到的如果是启发式文件 (HEUR/)、非常规运行时压缩工具 (PCK/) 或
带有隐藏文件扩展名的文件 (HEUR-DBLEXT/)，则在交互模式中
只有移到隔离区和忽略选项可用。
在自动模式中，会自动将检测到的文件移到隔离区文件夹中。
此限制可防止直接从计算机中移除（删除）检测到的文件（可能是误报），
可随时通过隔离区管理器恢复文件。
系统文件完整性检查
启用该选项时，在每次按需扫描过程中都会对最重要的 Windows
系统文件进行特殊的安全检查，看是否被恶意软件修改过。
如果检测到修改的文件，则会将此报告为可疑。该功能使用大量计算机容量。
这就是为什么该选项默认设置为禁用的原因。
如果是使用的修改版系统，不符合红伞认定的系统完整性。
考虑用原版系统中wupdmgr.exe替换掉非原版系统的wupdmgr.exe文件

建议：
1、用第三方工具扫描清理系统插件。
2、尽量使用原版的系统，如果此时系统明显异常，最好重装吧，打好补丁。
3、红伞配置中，扫描设置，可以选择忽略脱机文件。
常规选项中，保持默认选择威胁种类。
4、常用的，易被红伞报的程序文件添加排除，如QQ、360等，可减少误报。
或在报毒后及时打包可疑文件上报红伞官方网，或上报多引擎网扫描查看结果。

显示全部楼层 · 发表于 2010-10-12 15:51:28

本帖最后由 woshiyizhiyu0 于 2010.10.12 15:52 编辑

aaa839 发表于 2010.10.12 00:06
樓主的系統文件可能曾受過病毒感染/修改
建議方法有兩個:
1.以"原版"WINDOWS 安裝光碟重新安裝WINDOWS

以前一直没问题的，这次才出现的这种情况。我用的原版镜像。

显示全部楼层 · 发表于 2010-10-12 15:53:52

A级逃犯发表于 2010.10.12 03:34
回复 1楼 woshiyizhiyu0 的帖子

红伞检测到的如果是启发式文件 (HEUR/)、非常规运行时压缩工具 (PCK/) 或 ...

我用的是原版镜像，以前没出现过这种情况。

显示全部楼层 · 发表于 2010-10-12 17:20:29

回复 4楼 woshiyizhiyu0 的帖子

代表檔案可能曾被病毒感染但已修復

显示全部楼层 · 发表于 2010-10-12 17:21:49

病毒感染
建议还原系统

显示全部楼层 · 发表于 2010-10-13 00:03:40

listen1 发表于 2010.10.12 17:21
病毒感染
建议还原系统

再次用红伞杀毒，却什么也没有发现……
至于还原系统，是不是重新装啊？？

显示全部楼层 · 发表于 2010-10-13 00:04:03

aaa839 发表于 2010.10.12 17:20
回复 4楼 woshiyizhiyu0 的帖子

代表檔案可能曾被病毒感染但已修復

感染容易理解，修复是怎么回事？？

显示全部楼层 · 发表于 2010-10-13 00:13:31

回复 9楼 woshiyizhiyu0 的帖子

我是說你的檔案是曾經受到感染
但你曾經使用其他的殺毒軟件進行了修復,但是系統的檔案md5和原版檔案的不同

[求助] 红伞扫描时发现很多未签名的系统文件