[求助]：悬赏50万爱心币剿杀这个该死的病毒！

叶开是傻瓜

病毒咱不懂，也想在此候着听听大家的见解

lzws03

楼主，我无法按你的要求做好。只是陈述一下我的自己的方法。我在装了瑞星的机器上见过你说的那种病毒，我的办法就是：
到　中天在线　下载 kv2006安装程序+最新升级包　，然后用　U　盘复制下来，将有毒的机器进入安全模式后插入　U　盘，再解压、安装。然后在江民主界面的 工具　设置　　扫描选项　其它动作　BOOTSCAN   扫描路径设置　添加路径　包含子文件夹　确定　确定　，然后重新启动计算机就可以了。等待软件帮你杀毒就可以了。

另外，在　工具　设置　　扫描目标　　不扫描的文件夹　设置　　里，可以加入您常保存破解文件的目录。虽然江民不会像瑞星那样将破解当做病毒杀掉，但不可不防。

如果将病毒杀完后，可以卸载KV2006，等到再有问题再装。

如果您用这种方法杀不了那病毒及其它病毒，只能说明两个问题：一是我在说假话，二是您的操作有误。

呵呵，祝您早日清除病毒，还您一份好心情。

yi.gao

这两天有点忙，来不及一个一个试。
按照alim的方法用HijackThis扫描了，将部分日志文件列上来（日志中我确认无误的内容已经删除），诸位先帮看看。谢谢！
HijackThis_815汉化版扫描日志 V1.99.1
操作系统：  Windows 2000 SP4 (WinNT 5.00.2195)
浏览器：    Internet Explorer v6.00 SP1 (6.00.2800.1106)

当前运行的进程：         
C:\WINNT\System32\smss.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\svchost.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\Svchost.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\system32\internat.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINNT\system32\Rundll32.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINNT\system32\Rundll32.exe

F2 - REG:system.ini: UserInit=C:\WINNT\system32\Userinit.exe
C:\WINNT\system32\msdxm.ocx
O4 - 启动项HKLM\\Run: [Synchronization Manager] mobsync.exe /logon
O4 - 启动项HKLM\\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [internat.exe] internat.exe
res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O16 - DPF: {05C1004E-2596-48E5-8E26-39362985EEB9} - http://p3p.sogou.com/MMCShell.cab
O16 - DPF: {C09B522F-8AED-4E21-A65C-DC1AB652BAEE} (Tencent Safety Online Base Module) -
http://safe.qq.com/cgi-bin/tso/TSOBase.ocx
O16 - DPF: {F553452A-E0A8-489F-9E82-4A6360136F8A} (QfGoLivingBroadcastCtrl Control) -
http://weiqi.sports.sohu.com/qipu/QfGoLivingBroadcastCtrl.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A28029A8-4722-415D-AD27-9117D6340527}: NameServer = 192.168.1.1
O23 - NT 服务: Logical Disk Manager Administrative Service (dmadmin) - VERITAS Software Corp. -
C:\WINNT\System32\dmadmin.exe
O23 - NT 服务: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner -
%ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)
O23 - NT 服务: Intranet Messenger (SHipING) - Unknown owner - C:\WINNT\SYSTEM32\RUNDLL.EXE (file missing)

其中的内容很多是我怀疑的，请帮我释疑，谢谢！

782150yhm

其实我觉得想简单点好，你可以找到你上述进程的相应文件，看一看是什么时候产生的就可以了。如果是你感染病毒时候产生的估计就是他们在作祟了。

yi.gao

问题是怎么看？

782150yhm

看文件的生成时间啊。间谍软件和木马程序都要植入系统文件或者生成一些根系统文件同名的文件加入启动项或者系统进程，无论怎么样，系统文件的生成日期和修改保存的日期肯定是发生变化的。进程和启动项里面的内容一部分是系统自动运行本身需要支持系统运行和软件，一部分是安装软件安装进去的，一部分是加速软件运行速度的，一部分是安装硬件驱动程序时安装的，比如显卡阿声卡摄像头。不能确认正常的就看文件生成和修改的日期和所在的文件夹。

yi.gao

这么说吧，搜索几天加上拼搏的结果终于有点眉目了。
删除注册表并删除文件
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
<twin><C:\WINDOWS\system32\twunk32.exe>


检查一下qq文件夹，显示所有文件包括隐藏的系统文件，里面多了一个TIMPlatform.exe的文件，注意这个不是qq的系统文件，qq的是TIMPlatfrom.exe。这个病毒变种很多，病毒源文件不太一样。感染的症状除了很多IEXPLORE.EXE之外，还每分钟产生一个win1.exe,win2.exe.......之类的文件。

昨天至今暂时还没有复发什么win*.exe的问题，诸多大写的IE进程也没了。希望已经解决这个该死的问题。分享一下！

782150yhm

恭喜，终于可以不用烦这个病毒了。平时最好开防火墙和实时监控，在不影响极其速度的情况下把杀毒软件的各项防御功能尽量都打开。

yi.gao

还忘记说明一点，登陆系统用户下的临时文件夹需要清空

carrot1983

没机会遇到这种厉害的病毒，，，
我一直都没有用任何的杀毒软件，防火墙也没用。。
什么保护措施都没有，，很少中毒，
有时候下载一些病毒下来。有异常的话，
一般做法：
1。清空系统的垃圾（可以用一些优化软件）
2。查看启动组里面，是否有异常的程序（全关掉算了）
3。遇到不懂的才上网搜索。。
4。顺便问一下，楼主你的钱怎么那么多啊？你是财神吗？
   是不是论坛里面钱最多的人啊？？？？？

yi.gao

我是粪土神

叶开是傻瓜

长老有关“粪土神”的简称容易叫人误解成“屎壳郎”。我是知道的，实际上您是“视金钱如粪土的神”-----简称“粪土神”

yi.gao

怕什么？视死如归，何况一称谓呼？

设计一员

楼主，问题没帮你彻底解决，收你这么多币，不好意思。
我没有中过这个病毒，你中的是木马病毒，用下面的方法再试试。
用瑞星trojan.psw专杀工具试试

1.以Administrator身份登陆
2.下载瑞星Trojan.PSW专杀工具
http://download.rising.com.cn/zsgj/RavQQMsender.exe
3.断开网络
4.打开浏览器,工具-Internet选项-删除文件-选中"删除所有脱机内容"
5.运行-MSCONFIG,查看启动加载项里可疑启动项删除掉
6.重启机器,按F8进入安全模式
7.使用专杀工具全面杀毒

SLMin

为什么不把远程注册表操作的服务关闭！！！！！！！！！！！！！！！！！