同学上网的时候中毒了,卡巴当时报了三个毒,然后就自动重启.
重启之后cpu利用率特别高,一看是cmd.exe,
可疑经常三个进程hehfdvi.exe,gdaxqhm.exe,cmdbcs.exe
这两个上网搜不到相关的信息.只好找了一下cmd.exe的解决方法.
按照这个搞的cmd.exe
1、从注册表里删除病毒添加的ShellExecuteHooks信息：打开注册表找到[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]，
应该会出现除{AEB6717E-7E19-11d0-97EE-00C04FD91972}以外的其它可疑键值，的确找到了一个,依次按步骤2检查它们；
2、打开到注册表[HKEY_CLASSES_ROOT\CLSID\{这里是步骤1中提到的可疑键值}下.
之后把那个可疑键值就删了.
cmd.exe可以结束,结束了之后cpu利用率下降了很多,进程cmdbcs.exe就没了.
但是进程hehfdvi.exe,gdaxqhm.exe,关了之后自动重新启动.
启动项也是,删除之后,还是会自动重新添加.
卡巴已经被改到1980年6点多,分没改.时间改过来,启动卡巴的时候,gdaxqhm.exe说有问题,需要关闭,开不了.用screng 和冰刃也都是改了名字才可以运行,用冰刃关进程也关不掉.而且它们的名字不是进程的名字,对应为nahpwiq---gdaxqhm.exe,tckflml---hehfdvi.exe.
症状:
1.打开系统c盘比较快,其他的盘打开就很慢,而且在从新窗口打开;
2.会加载所有的启动项;
3.进安全模式进不了,蓝屏,代码为0x0000007B;
4.创建过系统还原,但是还原不了;
5.显示不了隐藏文件,用rar看的隐藏文件.
我把样本和扫描日志的图片传上来,不知道还要不要dll文件,搜索的只有这些了.cmdbcs有个dll.
后来用ewidio扫描,终于把毒删除了,进程也没了.就是注册表里还有很多,一个一个删完了.
卡巴的日志
2007-6-14 9:42:21 从未执行过全盘扫描。建议您尽快执行一次全盘扫描。
1992-6-14 10:01:02 授权许可文件激活日期错误。
1980-11-15 6:13:43 进程 (PID 2940) 尝试 访问 卡巴斯基反病毒软件 6.0 进程 (PID 1204), 已被自我保护功能阻止。
1980-11-15 6:13:43 进程 (PID 2940) 尝试 访问 卡巴斯基反病毒软件 6.0 进程 (PID 1812), 已被自我保护功能阻止。
2007-6-14 10:06:37 文件 C:\WINDOWS\system32\Kvsc3.dll/Petite: 检测到 木马程序 Trojan-PSW.Win32.OnLineGames.uz
2007-6-14 10:06:37 已经检测到安全威胁。建议您立即处理它们。
2007-6-14 10:06:39 运行进程 C:\WINDOWS\system32\sch0st9.exe: 检测到新变种 风险软件 Trojan.generic
2007-6-14 10:06:40 文件 C:\WINDOWS\system32\Kvsc3.dll/Petite: 检测到 木马程序 Trojan-PSW.Win32.OnLineGames.uz
2007-6-14 10:06:42 文件 C:\WINDOWS\system32\Kvsc3.dll/Petite: 未清除, 被用户跳过
2007-6-14 10:06:46 文件 C:\WINDOWS\system32\Kvsc3.dll/Petite: 检测到 木马程序 Trojan-PSW.Win32.OnLineGames.uz
2007-6-14 10:06:47 文件 C:\WINDOWS\system32\Kvsc3.dll 将在系统重启后删除
2007-6-14 10:06:48 文件 C:\WINDOWS\system32\mh113.dll: 检测到 木马程序 Trojan-PSW.Win32.OnLineGames.bs
2007-6-14 10:06:48 已经检测到安全威胁。建议您立即处理它们。
2007-6-14 10:06:49 文件 C:\WINDOWS\system32\mh113.dll 将在系统重启后删除
2007-6-14 10:06:50 文件 C:\WINDOWS\system32\Kvsc3.dll/Petite: 检测到 木马程序 Trojan-PSW.Win32.OnLineGames.uz
2007-6-14 10:06:54 文件 C:\WINDOWS\system32\Kvsc3.dll/Petite: 检测到 木马程序 Trojan-PSW.Win32.OnLineGames.uz
2007-6-14 10:06:56 文件 c:\windows\kvsc3.exe/PE_Patch/UPack: 检测到 木马程序 Trojan-PSW.Win32.OnLineGames.uz
2007-6-14 10:06:56 已经检测到安全威胁。建议您立即处理它们。
2007-6-14 10:06:57 启动对象 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Kvsc3: 删除
2007-6-14 10:06:58 文件 c:\windows\kvsc3.exe: 删除
但进安全模式还是蓝屏,代码不变.
达人帮忙解决一下拉.
样本我忘了加密码,小心.
[ 本帖最后由 倒数第零 于 2007-6-14 14:10 编辑 ] |
发表于 2007-6-14 14:03:25
