鐵之狂傲

標題: 病毒- -"求救 [列印本頁]

作者: 冰戀 時間: 07-8-1 09:53
標題: 病毒- -"求救
發現: 特洛伊芳木馬程式 Trojan-PSW.Win32.Magania.oh 文件: C:\Documents and Settings\ANYONE\Local Settings\Temp\vk5q.dll
發現: 特洛伊芳木馬程式 Trojan-PSW.Win32.Magania.ox 執行模組: SERVICES.EXE\SERVICES.EXE

前一陣子好像就有掃到了..不過當時卡巴砍掉了..

大前天又出現，卡巴也砍掉了

今天早上玩完R2，關機讓電腦休息一下，再開起來時就一直叫

砍了重開機又重生，本來只有一隻木馬(oh)，到最後變二隻。oh的砍掉了，目前沒重生過，(ox)目前一直重生

昨天只開了巴哈還有巴x上面的r2攻略網，還有鐵傲而以

用費爾強力移除也沒用

請各位大大幫幫忙吧

作者: 幻影神兵 時間: 07-8-1 09:53
C:\Program Files\Windows NT\SERVICES.EXE
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE

上面兩個是有問題的執行檔

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Program Files\Windows NT\SERVICES.EXE,

找到這個FIX掉

然後重新開機後全機掃瞄看看
(那個FIX的本來應該是要從REGEDIT改的 ... 這裡FIX我怕會出問題>"<)

FIX 時一定要備份下來哦 ...

[ 本文最後由幻影神兵於 07-8-1 11:16 AM 編輯 ]

作者: 小黑旺旺 時間: 07-8-1 09:59
冰戀大大這有可能是會還原的木馬~"~
因為會還原的木馬
除非病源砍掉不然她會一之生
可以試著去安全模式
掃毒加殺毒!!

作者: 冰戀 時間: 07-8-1 10:09
好像進不到安全模式- -"

作者: 幻影神兵 時間: 07-8-1 10:14
冰姐，
【如果有打開系統還原，就先關閉（通常應該都關了吧）】

打開工作管理員 > 找services.exe (使用者必須為自己電腦)，關閉
然後開始>執行>regedit
找到
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
或者
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
的地方，找看看有沒有執行 services 的機碼（位置可能跟你掃瞄出來的木馬一樣）

>>補充：或者很特殊的 .exe 檔，若不確定請貼名字出來~

如果有就整個刪除掉它

接著關閉網路直接做全機掃瞄，把掃到的全部刪除。

作者: 冰戀 時間: 07-8-1 10:24
系統還原關了

可是打開工作管理員，關不了SERVICES.EXE

[ 本文最後由冰戀於 07-8-1 08:24 PM 編輯 ]

作者: 幻影神兵 時間: 07-8-1 10:27

原文由冰戀 於 07-8-1 10:24 AM 發表
系統還原關了

可是打開工作管理員，關不了SERVICES.EXE

沒錯=__= 那個應該就是木馬程序
那你有找到機碼 run 之下有 SERVICES.EXE 的啟動指令嗎？

另外，關於「關不了」是怎樣的情況？有警告還是任何提示嗎？

作者: 冰戀 時間: 07-8-1 10:33
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
(沒找到)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
(Run下面沒有)

[ 本文最後由冰戀於 07-8-1 08:25 PM 編輯 ]

作者: 幻影神兵 時間: 07-8-1 10:36

原文由冰戀 於 07-8-1 10:33 AM 發表
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
(沒找到)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
(Run下面沒有)

冰姐姐 ...
你找錯地方了XD"

是CURRENT_USER
跟LOCAL_MACHINE
哦～（不過USER內通常都不會有啦，都卡在MACHINE裡面，
畢竟作木馬的也不知道你有幾個使用者，乾脆不管，就直接開機執行）

居然是這種會偽裝警告的木馬..
----------------------------
另外找到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
這個地方，然後看右邊的機碼裡面

Userinit 這個名稱下，正常應該是X:\WINDOWS\system32\userinit.exe
你看看後面有沒有被"加料"，有的話就把後面的刪除掉(右鍵修改)

[ 本文最後由幻影神兵於 07-8-1 10:39 AM 編輯 ]

作者: 冰戀 時間: 07-8-1 10:50
我沒找錯地方吧

不過找不到你說的東西><

[ 本文最後由冰戀於 07-8-1 08:25 PM 編輯 ]

作者: 幻影神兵 時間: 07-8-1 10:56

原文由冰戀 於 07-8-1 10:50 AM 發表
我沒找錯地方吧

不過找不到你說的東西><

那 ...
直接用搜尋，尋找 RUN，要勾選字串完全符合的

第一次會找到USER的
第二次就會找到LOCAL_MACHINE 的了

不然下載 HijackThis
然後掃描並且 save a log

貼出 log 來吧@@~

[ 本文最後由幻影神兵於 07-8-1 10:59 AM 編輯 ]

作者: 冰戀 時間: 07-8-1 10:59
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
好像找到了↓下面那個exe的是病毒?
[attach]85484[/attach]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
[attach]85485[/attach]

[ 本文最後由冰戀於 07-8-1 08:38 PM 編輯 ]

作者: 冰戀 時間: 07-8-1 11:03
Logfile of HijackThis v1.99.1
Scan saved at 上午 11:01:26, on 2007/8/1
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Windows NT\SERVICES.EXE
C:\WINDOWS\Explorer.EXE
C:\Program Files\Winamp\winampa.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\Inventec\Dreye\DreyeMT\msnplugin.exe
C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\ANYONE\桌面\HijackThis.exe

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Program Files\Windows NT\SERVICES.EXE,
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O3 - Toolbar: Dr.eye WebPage Translation - {92B255FE-94E2-4BCA-958D-3926CE38913F} - C:\Program Files\Inventec\Dreye\DreyeMT\DreyeIEBar.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [CJIMETIPSYNC] C:\Program Files\Common Files\Microsoft Shared\IME\IMTC65\CHANGJIE\CINTLCFG.EXE /CJIMETIPSync
O4 - HKLM\..\Run: [PHIMETIPSYNC] C:\Program Files\Common Files\Microsoft Shared\IME\IMTC65\PHONETIC\TINTLCFG.EXE /PHIMETIPSync
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [MSNDreyePlugin] C:\Program Files\Inventec\Dreye\DreyeMT\msnplugin.exe /h
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SysWy] C:\WINDOWS\system\rundll32.exe
O4 - HKLM\..\Run: [kis] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: 使用 FlashGet 下載 - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: 全部使用 FlashGet 下載 - C:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: 匯出至 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: 轉換到現有 PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: 轉換為 Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: 轉換連結目標到現有 PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: 轉換連結目標為 Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: 轉換選定的連結到現有 PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: 轉換選定的連結為 Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: 轉換選擇內容到現有 PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: 轉換選擇內容為 Adobe PDF - res://C:\Program Files\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O9 - Extra button: 網路監控 - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\scieplugin.dll
O9 - Extra button: 參考資料 - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1152672601343
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{276E4EA9-1A60-408E-9E49-7E0D01410333}: NameServer = 168.95.192.1 168.95.1.1
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1.0\adialhk.dll
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Kaspersky Internet Security 6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe" -r (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

作者: 幻影神兵 時間: 07-8-1 11:04

原文由冰戀 於 07-8-1 10:59 AM 發表
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
好像找到了↓下面那個exe的是病毒?
85484

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
85485

ctfmon 不是哦

我上面有放 hijackthis 的下載
你貼個報告出來我應該會比較好看到@@~

辛苦囉^^" ...
讓它盡快解決吧

作者: 冰戀 時間: 07-8-1 11:05

原文由幻影神兵 於 07-8-1 11:04 AM 發表

ctfmon 不是哦

我上面有放 hijackthis 的下載
你貼個報告出來我應該會比較好看到@@~

辛苦囉^^" ...
讓它盡快解決吧

已貼上了

每次都為了搞男朋友的電腦搞到快起笑- -"

作者: 冰戀 時間: 07-8-1 11:20

原文由幻影神兵 於 07-8-1 11:15 AM 發表
C:\Program Files\Windows NT\SERVICES.EXE
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE

上面兩個是有問題的執行檔

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\P ...

還沒看到後面就砍了(無救了 - -")

不能的話只好拿去從灌而以

反正刪不掉還是要重灌比較快

作者: 小黑旺旺 時間: 07-8-1 11:22
重灌~"~冰大大你沒有XX光碟嗎??
我重灌都我哥灌的
因為我很怕外面重灌的會
把我電腦植入不明程式~"~
以前被值過一次><

作者: 幻影神兵 時間: 07-8-1 11:27

原文由小黑旺旺 於 07-8-1 11:22 AM 發表
重灌~"~冰大大你沒有XX光碟嗎??
我重灌都我哥灌的
因為我很怕外面重灌的會
把我電腦植入不明程式~"~
以前被值過一次><

那是比較壞的人重灌吧=__=

你是給公司的還是隨便給人安裝啊@@"
還有如果純粹重灌沒把磁碟format
那以前的資料(包括病毒)還是會被保留哦 ...

(冰姐好了記得說一下@@~要記得全掃毒哦)

作者: 小黑旺旺 時間: 07-8-1 11:30
公司~"~
我電腦送去公司
過1個禮拜又要再送修~"~
因為有些地方被他們弄壞了
所以要送前先拍一張
送回來後比照一下會比較保險= ="

作者: 冰戀 時間: 07-8-1 11:36

原文由幻影神兵 於 07-8-1 11:27 AM 發表

那是比較壞的人重灌吧=__=

你是給公司的還是隨便給人安裝啊@@"
還有如果純粹重灌沒把磁碟format
那以前的資料(包括病毒)還是會被保留哦 ...

(冰姐好了記得說一下@@~要記得全掃毒哦) ...

開機不完全了

掛進入後只看到一張桌面

現在用我的手提電腦的xp光碟在幫他重灌xd

之前我的光碟他用不了，這次卻可以

作者: 幻影神兵 時間: 07-8-1 11:44

原文由冰戀 於 07-8-1 11:36 AM 發表

開機不完全了

掛進入後只看到一張桌面

現在用我的手提電腦的xp光碟在幫他重灌xd

之前我的光碟他用不了，這次卻可以

果然還是機碼的緣故啊OTZ ...
早知道要記得要先請你在FIX後自己重建一個機碼

抱歉哀ˊˋ

作者: 冰戀 時間: 07-8-1 12:08

原文由幻影神兵 於 07-8-1 11:44 AM 發表

果然還是機碼的緣故啊OTZ ...
早知道要記得要先請你在FIX後自己重建一個機碼

抱歉哀ˊˋ

反正本來就是要從灌的

只是想如果病毒砍的掉的話

就不用花800元

我用我的CD灌，還是怪怪的。

灌是灌好了，可是無法設定連線

還是晚上拿去重灌比較好

作者: gn00616186 時間: 07-8-1 13:45
小弟剛剛稍微爬了一下前幾位大大回的話~
發現有大大提到給人家重灌會被植入不明程式之類的
其實我個人對這行業....是覺得還好....
的確是有些比較"沒這麼有責任心"的業者會亂搞倒是真的
我也曾經看過客人的電腦給別人重灌後的情況
(幫她重灌的似乎只是幫她做系統還原然後資料整理整理而已= =汗)
可能我還年輕= =沒這麼邪惡吧QQ至今遇到的客人
曾經有來過又去找別間維修結果還是跑回來的客人也不下少數QQ(沾沾自喜中^.^)
只能說找外面的人花錢重灌最好是要請他說明整個過程(例如電腦的狀況損壞原因等等等)
才能讓自己不會那麼容易花到冤枉錢^^

[ 本文最後由 gn00616186 於 07-8-2 11:25 AM 編輯 ]

作者: 劍魂冰霜 時間: 07-8-1 18:28

原文由冰戀 於 07-8-1 09:53 AM 發表
發現: 特洛伊芳木馬程式 Trojan-PSW.Win32.Magania.oh 文件: C:\Documents and Settings\ANYONE\Local Settings\Temp\vk5q.dll
發現: 特洛伊芳木馬程式 Trojan-PSW.Win32.Magania.ox 執行模組: SERVICES.EXE\SERVICE ...

如果知道病毒的位置的話
用強制刪除，把他刪了吧...

我用的是KillBox
管他什麼檔的，都會刪除XD"

中文操作介面
(PS.如果刪一次後，病毒檔還在的話，就重開機一次。第二次後，就應該找不到病毒檔了)
(不然就在安全模再試一次看看)

點我下載

[ 本文最後由劍魂冰霜於 07-8-1 06:30 PM 編輯 ]

作者: 冰戀 時間: 07-8-1 20:23
已拿去從灌好了，多謝大家幫忙

歡迎光臨鐵之狂傲 (https://gamez.com.tw/)