|
|
＃1
2008年09月6日， 00:54
| |||
| |||
 帮助我在这里是我的劫持日志 嗨。我的电脑肯定是感染了特洛伊木马病毒，恶意软件或间谍软件。每当我打开我的电脑，一个气球的持久性有机污染物从任务栏说，我国的计算机感染，突然所有这些广告弹出，并不断开辟新的。我相信论文过程中，我看到的任务经理的respnsible 像lssmon.exe ， lssmgr.exe （可能不完全是相同的） cuz当我关闭这些气球消失。 反正，这是我的劫持日志，以便帮助我了03 。 日志文件的趋势科技了HijackThis v2.0.2 扫描储存于下午1点52分14秒，在2008年9月6日 平台： Windows XP SP2的（使用WINNT 2600年1月5日） MSIE ： SP2中的Internet Explorer v6.00 （ 6.00.2900.2180 ） 启动模式：正常 正在运行的进程： D组： \窗口\ System32 \ smss.exe D组： \窗口\ SYSTEM32 \ winlogon.exe D组： \窗口\ system32 \ Services.exe的 D组： \窗口\ system32 \ Lsass.exe中 D组： \窗口\ system32 \ svchost.exe D组： \窗口\ System32 \ svchost.exe D组： \窗口\ Explorer.exe的 D组： \窗口\ system32 \ svchost.exe D组： \窗口\ system32 \ slserv.exe D组： \窗口\ system32 \ wscntfy.exe D组： \ Program Files文件\歌剧\ opera.exe 电子邮件： \所有的软件\ HiJackThis.exe 受体1 - HKCU \软件\微软\的Internet Explorer \主，搜索栏= http://us.rd.yahoo.com/customize/yco...search/ie.html 受体1 - HKCU \软件\微软\的Internet Explorer \主，搜索页面= http://us.rd.yahoo.com/customize/yco.../www.yahoo.com R0 - HKCU \软件\微软\的Internet Explorer \主，初始页=约：空白 受体1 - HKCU \软件\微软\的Internet Explorer \ SearchURL ， （默认） = http://us.rd.yahoo.com/customize/yco.../www.yahoo.com F2代-注册：的System.ini ：的Shell = Explorer.exe ssvichosst.exe 氧- BHO ： DAPHelper类- （ 0000CC75 - ACF3 - 4cac - A0A9 - DD3868E06852 ） - D组： \计划 文件\磷酸二铵\ DAPBHO.dll 氧- BHO ：调制解调器助手- （ 0055C089 - 8582 - 441B - A0BF - 17B458C2A3A8 ） - D组： \ Program Files文件\互联网 下载管理器\ IDMIECC.dll 氧- BHO ： （无姓名） - （ 02478D38 - C3F9 - 4efb - 9B51 - 7695ECA05670 ） - （没有文件） 氧- BHO ： Skype的插件（策划） - （ 22BF413B - C6D2 - 4d91 - 82A9 - A0F997BA588C ） - D组： \计划 文件\ Skype软件\工具栏\的Internet Explorer \ SkypeIEPlugin.dll 氧- BHO ：谷歌工具栏助手- （ AA58ED58 - 01DD - 4d91 - 8333 - CF10577473F7 ） -为D ： \程序 文件\谷歌\ googletoolbar2.dll 臭氧-工具栏：与谷歌- （ 2318C2B1 - 4965 - 11d4 - 9B18 - 009027A5CD4F ） -为D ： \程序 文件\谷歌\ googletoolbar2.dll 物理学- HKLM \ .. \运行： [ QuickTime的工作]的“ D ： \ Program Files文件\的QuickTime \ qttask.exe ” - atboottime 物理学- HKLM \ .. \运行： [ PCSuiteTrayApplication ] D组： \ Program Files文件\诺基亚\诺基亚PC套件 6 \ LaunchApplication.exe启动 物理学- HKLM \ .. \运行： [ googletalk ] D组： \ Program Files文件\谷歌\谷歌对话\ googletalk.exe /自动启动 物理学- HKLM \ .. \运行： [ Layersecurity Servicemonitor ] D组： \窗口\ system32 \ LSSMON.EXE 物理学- HKUS \的S - 1 - 5 - 18 \ .. \运行： [ Nokia.PCSync ] D组： \ Program Files文件\诺基亚\诺基亚PC套件6 \ PcSync2.exe / NoDialog （用户'系统' ） 物理学- HKUS \ 。缺省\ .. \运行： [ Nokia.PCSync ] D组： \ Program Files文件\诺基亚\诺基亚PC套件6 \ PcSync2.exe / NoDialog （用户默认用户' ） 物理学-全球启动：微软Office.lnk = D组： \ Program Files文件\微软Office \ Office10 \ OSA.EXE O8 -额外上下文菜单项目： ＆下载＆磷酸二铵-为D ： \ PROGRA 〜 1 \磷酸二铵\ dapextie.htm O8 -额外上下文菜单项目：下载和所有与磷酸二铵-为D ： \ PROGRA 〜 1 \磷酸二铵\ dapextie2.htm O8 -额外上下文菜单项目：下载所有与调制解调器- D组： \ Program Files文件\ Internet下载 经理\ IEGetAll.htm O8 -额外上下文菜单项目：下载FLV视频内容与调制解调器- D组： \ Program Files文件\ Internet下载 经理\ IEGetVL.htm O8 -额外上下文菜单项目：下载与调制解调器- D组： \ Program Files文件\ Internet下载 经理\ IEExt.htm O8 -额外上下文菜单项目：汇出至Microsoft Excel - 水库： / / D组： \ PROGRA 〜 1 \微〜 2 \ Office10 \ EXCEL.EXE/3000 O9 -额外的按钮：运行磷酸二铵- （ 669695BC - A811 - 4A9D - 8CDF - BA8C795F261C ） - D组： \ PROGRA 〜 1 \磷酸二铵\ DAP.EXE O9 -额外的按钮： Skype公司- （ 77BF5300 - 1474 - 4EC7 - 9980 - D32B190E9B07 ） - D组： \计划 文件\ Skype软件\工具栏\的Internet Explorer \ SkypeIEPlugin.dll O9 -额外的按钮：目的- （ AC9E2541 - 2814 - 11d5 - BC6D - 00B0D0A1DE45 ） - D组： \ Program Files文件\目的\ aim.exe O9 -额外的按钮： Messenger的- （ FB5F1910 - F110 - 11d2 - BB9E - 00C04F795683 ） - D组： \计划 文件\传送\ msmsgs.exe O9 -额外的'工具' menuitem ： Windows Messenger的- （ FB5F1910 - F110 - 11d2 - BB9E - 00C04F795683 ） - D组： \ Program Files文件\传送\ msmsgs.exe O18 -协议： skype4com - （ FFC8B962 - 9B40 - 4DFF - 9458 - 1830C7DD7F5D ） - D组： \ PROGRA 〜 1 \常见〜 1 \ Skype的\ SKYPE4 〜 1.DLL O23 -服务：战神聊天服务器（ AresChatServer ） -战神发展集团-为D ： \程序 文件\战神\ chatServer.exe O23 -服务： avast ！防毒avast ！ SamSs （ avast ！ SamSs ） -未知所有者- D组： \窗口\ system32 \ dllcaches.exe O23 -服务：谷歌更新器服务（ gusvc ） -谷歌-为D ： \ Program Files文件\谷歌\共同\谷歌 更新\ GoogleUpdaterService.exe O23 -服务：阳光带反间谍反间谍软件（ SBCSSvc ） -未知所有者- D组： \ Program Files文件\阳光带 软件\反间谍\ SBCSSvc.exe （档案遗失） O23 -服务： ServiceLayer -诺基亚。 -为D ： \ Program Files文件\ PC连接解决方案\ ServiceLayer.exe O23 -服务： SmartLinkService （ SLService ） -智能连接- D组： \窗口\ SYSTEM32 \ slserv.exe - 文件结尾- 4603字节 |
|
＃2
2008年09月6日， 01:26
| |||
| |||
| 帮助我在这里是我的劫持日志 您好Mohi212 。欢迎希杰。 禁用反间谍因此它不会阻止我们修复。 右键单击托盘图标，并关闭反间谍。 ---------- 打开HijackThis并选择 这样做只有一个系统扫描。 广场旁边选中复选标记以下条目： （如果有）
退出了HijackThis 。 ---------- 转到 开始> “运行 和类型 记事本 然后单击 行。 复制并粘贴下面的文本框中的代码到新的 记事本 文件。 码： @回声节省资深大律师停止avast ！ SamSs资深大律师删除avast ！ SamSs退出 选择保存位置是桌面和 文件名称： 类型 fixme.bat 确保了 保存类型 外地说 所有文件。 下一步双击 fixservice.bat 运行它。 一个黑匣子应当打开和关闭后很短的时间，这是正常的。 不要继续下去，直到黑匣子已关闭 删除fixservice.bat从桌面。 ---------- 注： 下面的指示，成立专门为这一用户。如果您不是此用户， 切忌 请依照下列指示，因为它们可能会损害您的系统的运作 转到 开始> “运行 和类型 记事本 然后单击 行 复制文字的代码下面的框中并粘贴到记事本。 码： REGEDIT4 [ HKEY_LOCAL_MACHINE \软件\微软\窗户\ currentVersion \运行] “ Layersecurity Servicemonitor ” =- 下一步 文件名称： 类型 fixme.reg 使用下拉框旁边的 保存类型： 并选择 所有文件。将它保存到桌面上。 现在应该有一个文件在桌面上看起来像这样  双击fixme.reg它，让它 合并与书记官处。 您可能看不到任何东西，但它发生了几秒钟左右才能完成。 现在删除fixme.reg文件从桌面。 重新启动计算机。 ---------- 现在运行一个新的了HijackThis扫描后的日志。 重要提示： 当日志了HijackThis出现在记事本中，然后复制它，去格式，然后点击自动换行。然后将其复制并粘贴到日志在这里。
__________________  |
|
＃3
2008年09月6日， 04:08
| |||
| |||
| 帮助我在这里是我的劫持日志 03感谢您的帮助。但是当我重新启动电脑，弹出仍然开放，并表示间谍气球探测。单击此处安装防病毒软件仍然出现  反正，这是劫持登录后重新启动。 日志文件的趋势科技了HijackThis v2.0.2 扫描储存于下午5时03分三十五秒，在2008年9月6日 平台： Windows XP SP2的（使用WINNT 2600年1月5日） MSIE ： SP2中的Internet Explorer v6.00 （ 6.00.2900.2180 ） 启动模式：正常 正在运行的进程： D组： \窗口\ System32 \ smss.exe D组： \窗口\ SYSTEM32 \ winlogon.exe D组： \窗口\ system32 \ Services.exe的 D组： \窗口\ system32 \ Lsass.exe中 D组： \窗口\ system32 \ svchost.exe D组： \窗口\ System32 \ svchost.exe D组： \窗口\ Explorer.exe的 D组： \窗口\ system32 \ spoolsv.exe D组： \窗口\ system32 \ slserv.exe D组： \窗口\ system32 \ wscntfy.exe 电子邮件： \所有的软件\ HiJackThis.exe 受体1 - HKCU \软件\微软\的Internet Explorer \主，搜索栏= http://us.rd.yahoo.com/customize/yco...search/ie.html 受体1 - HKCU \软件\微软\的Internet Explorer \主，搜索页面= http://us.rd.yahoo.com/customize/yco.../www.yahoo.com R0 - HKCU \软件\微软\的Internet Explorer \主，初始页=约：空白 受体1 - HKCU \软件\微软\的Internet Explorer \ SearchURL ， （默认） = http://us.rd.yahoo.com/customize/yco.../www.yahoo.com F2代-注册：的System.ini ：的Shell = Explorer.exe ssvichosst.exe 氧- BHO ： DAPHelper类- （ 0000CC75 - ACF3 - 4cac - A0A9 - DD3868E06852 ） - D组： \ Program Files文件\磷酸二铵\ DAPBHO.dll 氧- BHO ：调制解调器助手- （ 0055C089 - 8582 - 441B - A0BF - 17B458C2A3A8 ） - D组： \ Program Files文件\ Internet下载管理器\ IDMIECC.dll 氧- BHO ： Skype的插件（策划） - （ 22BF413B - C6D2 - 4d91 - 82A9 - A0F997BA588C ） - D组： \ Program Files文件\ Skype软件\工具栏\的Internet Explorer \ SkypeIEPlugin.dll 氧- BHO ：谷歌工具栏助手- （ AA58ED58 - 01DD - 4d91 - 8333 - CF10577473F7 ） - D组： \ Program Files文件\谷歌\ googletoolbar2.dll 臭氧-工具栏：与谷歌- （ 2318C2B1 - 4965 - 11d4 - 9B18 - 009027A5CD4F ） - D组： \ Program Files文件\谷歌\ googletoolbar2.dll 物理学- HKLM \ .. \运行： [ QuickTime的工作]的“ D ： \ Program Files文件\的QuickTime \ qttask.exe ” - atboottime 物理学- HKLM \ .. \运行： [ PCSuiteTrayApplication ] D组： \ Program Files文件\诺基亚\诺基亚PC套件6 \ LaunchApplication.exe启动 物理学- HKLM \ .. \运行： [ googletalk ] D组： \ Program Files文件\谷歌\谷歌对话\ googletalk.exe /自动启动 物理学- HKLM \ .. \运行： [ Layersecurity Servicemonitor ] D组： \窗口\ system32 \ LSSMON.EXE 物理学- HKUS \的S - 1 - 5 - 18 \ .. \运行： [ Nokia.PCSync ] D组： \ Program Files文件\诺基亚\诺基亚PC套件6 \ PcSync2.exe / NoDialog （用户'系统' ） 物理学- HKUS \ 。缺省\ .. \运行： [ Nokia.PCSync ] D组： \ Program Files文件\诺基亚\诺基亚PC套件6 \ PcSync2.exe / NoDialog （用户默认用户' ） 物理学-全球启动：微软Office.lnk = D组： \ Program Files文件\微软Office \ Office10 \ OSA.EXE O8 -额外上下文菜单项目： ＆下载＆磷酸二铵-为D ： \ PROGRA 〜 1 \磷酸二铵\ dapextie.htm O8 -额外上下文菜单项目：下载和所有与磷酸二铵-为D ： \ PROGRA 〜 1 \磷酸二铵\ dapextie2.htm O8 -额外上下文菜单项目：下载所有与调制解调器- D组： \ Program Files文件\ Internet下载管理器\ IEGetAll.htm O8 -额外上下文菜单项目：下载FLV视频内容与调制解调器- D组： \ Program Files文件\ Internet下载管理器\ IEGetVL.htm O8 -额外上下文菜单项目：下载与调制解调器- D组： \ Program Files文件\ Internet下载管理器\ IEExt.htm O8 -额外上下文菜单项目：汇出至Microsoft Excel -水库： / / D组： \ PROGRA 〜 1 \微〜 2 \ Office10 \ EXCEL.EXE/3000 O9 -额外的按钮：运行磷酸二铵- （ 669695BC - A811 - 4A9D - 8CDF - BA8C795F261C ） - D组： \ PROGRA 〜 1 \磷酸二铵\ DAP.EXE O9 -额外的按钮： Skype公司- （ 77BF5300 - 1474 - 4EC7 - 9980 - D32B190E9B07 ） - D组： \ Program Files文件\ Skype软件\工具栏\的Internet Explorer \ SkypeIEPlugin.dll O9 -额外的按钮：目的- （ AC9E2541 - 2814 - 11d5 - BC6D - 00B0D0A1DE45 ） - D组： \ Program Files文件\目的\ aim.exe O9 -额外的按钮： Messenger的- （ FB5F1910 - F110 - 11d2 - BB9E - 00C04F795683 ） - D组： \ Program Files文件\传送\ msmsgs.exe O9 -额外的'工具' menuitem ： Windows Messenger的- （ FB5F1910 - F110 - 11d2 - BB9E - 00C04F795683 ） - D组： \ Program Files文件\传送\ msmsgs.exe O18 -协议： skype4com - （ FFC8B962 - 9B40 - 4DFF - 9458 - 1830C7DD7F5D ） - D组： \ PROGRA 〜 1 \常见〜 1 \ Skype的\ SKYPE4 〜 1.DLL O23 -服务：战神聊天服务器（ AresChatServer ） -战神发展集团- D组： \ Program Files文件\战神\ chatServer.exe O23 -服务：谷歌更新器服务（ gusvc ） -谷歌-为D ： \ Program Files文件\谷歌\共同\谷歌更新\ GoogleUpdaterService.exe O23 -服务：阳光带反间谍反间谍软件（ SBCSSvc ） -未知所有者- D组： \ Program Files文件\ Sunbelt Software公司\反间谍\ SBCSSvc.exe （档案遗失） O23 -服务： ServiceLayer -诺基亚。 -为D ： \ Program Files文件\ PC连接解决方案\ ServiceLayer.exe O23 -服务： SmartLinkService （ SLService ） -智能连接- D组： \窗口\ SYSTEM32 \ slserv.exe - 文件结尾- 4384字节 |
|
＃4
2008年09月6日， 08:41
| |||
| |||
| 帮助我在这里是我的劫持日志 下载 Malwarebytes '反恶意软件（ MBAM ）
特注： 如果MBAM遇到文件，很难去除，你会看到1 2提示，单击确定以要么让MBAM进行消毒过程中，如果要求重新启动计算机时，请立即这样做。
__________________ |
|
＃5
2008年09月6日， 13:29
| |||
| |||
| 帮助我在这里是我的劫持日志 这一结果是完整扫描。当我做了它的快速扫描检测一个广告，我删除。 Malwarebytes '反恶意软件1.26 数据库版本： 1120 2600年5月1号的Windows Service Pack 2的 2008年9月7日上午02时21分五十四秒 mbam日志- 2008 - 09 - 07 （ 02-21-54 ） 。文本 扫描类型：全扫描（ D组： \ | ） 物体扫描： 92811 间隔时间： 38分钟（ S ）的三十五秒（县） 记忆过程感染： 0 内存感染： 0 受感染的注册表项： 0 注册表值感染： 0 注册表数据项目感染： 0 文件夹感染： 0 文件感染： 0 记忆过程感染： （没有恶意项目检测） 内存感染： （没有恶意项目检测） 受感染的注册表项： （没有恶意项目检测） 注册表值感染： （没有恶意项目检测） 注册表数据项目感染： （没有恶意项目检测） 受感染的文件夹： （没有恶意项目检测） 文件感染： （没有恶意项目检测） |
|
＃6
2008年09月6日， 13:44
| |||
| |||
| 帮助我在这里是我的劫持日志 下载ComboFix由潜艇从以下链接。请务必将它保存到顶部的 桌面。 链接＃ 1 链接＃ 2 **注：重要的是，它是直接保存到桌面 关闭所有打开Web浏览器。 （火狐时， Internet Explorer等） ，开始之前ComboFix 。 暂时 丧失能力 你的 防病毒和任何 反间谍 实时保护 前 执行扫描。点击 此链接 看到一个列表的安全计划，应该被禁用，以及如何禁用。 双击combofix.exe ＆按照提示操作。 当完成时，将产生ComboFix日志您。 邮政的 ComboFix日志 和一个新的 HijackThis日志 在您下次答复。 重要提示： 不要mouseclick ComboFix的窗口同时运行。这可能会导致它摊档。 记得要重新启用您的防病毒和反间谍保护时ComboFix完成。
__________________ |
|
＃7
2008年09月7日， 02:17
| |||
| |||
| 帮助我在这里是我的劫持日志 以下是组合修复日志。当重新启动后，这是使记录，在这些弹出式窗口和气球再次出现。 在这儿。 ComboFix 08-09-05.02 -布尔汉2008年9月7日13:40:43.1 - 32的X86 Microsoft Windows XP Professional的5.1.2600.2.1252.1.1033.18.24 [格林尼治标准时间5:00 ]运行： D组： \的Documents and Settings \印尼\桌面\ ComboFix.exe *创建了一个新的还原点 警告，这台机器没有故障恢复控制台安装！ ！ 。 (((((((((((((((((((((((((((((((((((((((其他缺失))))))))) )))))))))))))))))))))))))))))))))))))))) 。 D组： \的Documents and Settings \印尼\曲奇\ burhan@ad.yieldmanager [ 1 ] 。文本 D组： \的Documents and Settings \印尼\曲奇\布尔汉@ antispywaremaster [ 2 ] 。文本 D组： \的Documents and Settings \印尼\本地设置\ Temporary Internet Files文件\ descript.ion D组： \的Setup.exe D组： \窗口\ system32 \ autorun.ini D组： \窗口\ system32 \ avpo0.dll D组： \窗口\ system32 \ SCVHSOT.exe D组： \窗口\ system32 \ setting.ini D组： \窗口\ system32 \ spool.exe 。 (((((((((((((((((((((((((((((((((((((((司机/服务)))))))) ))))))))))))))))))))))))))))))))))))))))) 。 ------- \ Legacy_CSNETMANAGERXP ------- \ Legacy_SYSREST.SYS (((((((((((((((((((((((((创建的文件从2008年8月7日至2008年9月7日))))))))))) )))))))))))))))))))) 。 2008年9月7日13点47 。 2008年9月7日13时47 <DIR>数d -高速----为D ： \ FOUND.145 2008年9月6日13:10 。 2008年9月6日13:10 <DIR> d -------- D组： \ Program Files文件\ XoftSpySE 2008年9月6日00:19 。 2008年9月6日00:19 <DIR>数d -高速----为D ： \ FOUND.144 2008年9月5日23:07 。 2008年9月5日23:37 741376 -一个------为D ： \窗口\ system32 \ msupd32.exe 2008年9月5日22时29分。 2008年9月5日23:37 741376 -一个------为D ： \窗口\ system32 \ LSSMON.EXE 2008年9月5日22时29分。 2008年9月4日17:49 17,920 -一个------为D ： \窗口\ system32 \ LSASSMGR.EXE 2008年9月5日17:04 。 2008年9月5日22:41 54156 -啊-----为D ： \窗口\ QTFont.qfn 2008年9月5日17:04 。 2008年9月5日17:04 1409 -一个------为D ： \窗口\ QTFont.for 2008年9月5日15时15分。 2008年9月7日13时48分0 - 1 ------为D ： \窗口\ system32 \ bsc32.dll 2008年9月5日15时14分。 2008年9月5日15时14分<DIR>数d -高速----为D ： \ FOUND.143 2008年9月5日13时25分。 2008年9月5日13时25分<DIR>数d -高速----为D ： \ FOUND.142 2008年9月5日00:39 。 2008年9月5日00:39 <DIR>数d -高速----为D ： \ FOUND.141 2008年9月4日18时19分。 2008年9月4日18时19 <DIR> d --------为D ： \的Documents and Settings \ LocalService \应用数据\的Yahoo ！ 2008年9月4日17时49分。 2008年9月5日23:37 741376 -一个------为D ： \窗口\ divx32.dll 2008年9月4日17时49分。 2008年9月4日17:49 17,920 -一个------为D ： \窗口\ system32 \ srtsrv32.exe 2008年9月4日17:48 。 2008年9月5日12:40 741376 -一个------为D ： \窗口\ system32 \ upd01.exe 2008年9月4日17:45 。 2008年9月4日17:45 <DIR>数d -高速----为D ： \ FOUND.140 2008年9月4日07:11 。 2008年9月4日07:11 <DIR> d --------为D ： \的Documents and Settings \印尼\应用数据\的Yahoo ！ 2008年9月3日12时21分。 2008年9月3日12时21 <DIR>数d -高速----为D ： \ FOUND.139 2008年9月1日20:51 。 2008年9月1日20:51 <DIR>数d -高速----为D ： \ FOUND.138 2008年8月31日13时53分。 2008年8月31日13时53 <DIR>数d -高速----为D ： \ FOUND.137 2008年8月28日23:04 。 2008年8月28日23:04 <DIR>数d -高速----为D ： \ FOUND.136 2008年8月27日08:13 。 2008年8月27日08:13 <DIR>数d -高速----为D ： \ FOUND.135 2008年8月27日00:54 。 2008年8月27日00:54 4096 -一个------为D ： \窗口\ d3dx.dat 2008年8月26日10:33 。 2008年8月26日10:33 <DIR>数d -高速----为D ： \ FOUND.134 2008年8月26日02:27 。 2008年8月26日02:27 <DIR>数d -高速----为D ： \ FOUND.133 2008年8月26日01:07 。 2008年8月26日01:07 <DIR>数d -高速----为D ： \ FOUND.132 2008年8月26日00:15 。 2008年8月26日00:15 <DIR>数d -高速----为D ： \ FOUND.131 2008年8月25日23:13 。 2008年8月25日23:13 <DIR> d -------- D组： \ Program Files文件\微软百科全书 2008年8月25日18时41分。 2008年8月25日18:41 <DIR>数d -高速----为D ： \ FOUND.130 2008年8月25日17点09 。 2008年8月25日17点09 <DIR>数d -高速----为D ： \ FOUND.129 2008年8月25日08:14 。 2008年8月25日08:14 <DIR>数d -高速----为D ： \ FOUND.128 2008年8月25日06:09 。 2008年8月25日06:09 23552 -一个------为D ： \的Documents and Settings \印尼\ S87ekhV.exe 2008年8月25日06:00 。 2008年8月25日06:00 <DIR>数d -高速----为D ： \ FOUND.127 2008年8月25日05:36 。 2008年8月25日05:36 <DIR>数d -高速----为D ： \ FOUND.126 2008年8月24日23:36 。 2008年8月24日23:36 <DIR>数d -高速----为D ： \ FOUND.125 2008年8月24日03:11 。 2008年8月24日03:11 <DIR>数d -高速----为D ： \ FOUND.124 2008年8月23日12点06 。 2008年8月23日12点06 <DIR>数d -高速----为D ： \ FOUND.123 2008年8月23日10:55 。 2008年8月23日10:55 <DIR>数d -高速----为D ： \ FOUND.122 2008年8月23日08:38 。 2008年8月23日08:38 <DIR>数d -高速----为D ： \ FOUND.121 2008年8月23日01:49 。 2008年8月23日01:49 <DIR>数d -高速----为D ： \ FOUND.120 2008年8月22日18时20分。 2008年8月22日18:20 <DIR>数d -高速----为D ： \ FOUND.119 2008年8月20号21:05 。 2008年8月20号21:05 <DIR> d --------为D ： \ spoolerlogs 08年8月19日22点32 。 08年8月19日22时32 <DIR>数d -高速----为D ： \ FOUND.118 08年8月19日22时12分。 08年8月19日22:12 <DIR>数d -高速----为D ： \ FOUND.117 08年8月19日16时13分。 08年8月19日16时13分<DIR>数d -高速----为D ： \ FOUND.116 2008年8月18日03:50 。 2008年8月18日03:51 108 - 1 ------为D ： \的Documents and Settings \印尼\应用数据\ netstat.bat 2008年8月17号09:54 。 2008年8月17号09:54 <DIR>数d -高速----为D ： \ FOUND.115 2008年8月13号02:42 。 2008年8月13号02:42 <DIR>数d -高速----为D ： \ FOUND.114 08年8月12日16时17分。 08年8月12日16:17 <DIR>数d -高速----为D ： \ FOUND.113 2008年8月11号13点37分。 2008年9月5日22时31 0 - 1 ------为D ： \窗口\ system32 \ sc02.sc 2008年8月11号13:33 。 2008年8月11号13:33 <DIR>数d -高速----为D ： \ FOUND.112 2008年8月11号10:55 。 2008年8月11号10:55 857037 -一个------为D ： \窗口\ system32 \ CSRLT.EXE 2008年8月11号10:55 。 2008年8月11号10:55 857037 -一个------为D ： \窗口\ MSBLT.EXE 2008年8月9日02:36 。 2008年8月9日02:36 <DIR>数d -高速----为D ： \ FOUND.111 2008年8月8日21时十七分。 2008年8月8日21时十七分<DIR>数d -高速----为D ： \ FOUND.110 2008年8月8日16:54 。 2008年8月8日16:54 <DIR>数d -高速----为D ： \ FOUND.109 2008年8月8日02:35 。 2008年8月8日02:35 <DIR> d --------为D ： \的Documents and Settings \印尼\应用数据\ GlarySoft 2008年8月8日02:20 。 2008年8月8日02:20 <DIR> d -------- D组： \ Program Files文件\ Glary注册表修复 2008年8月8日00:18 。 2008年8月8日00:18 <DIR> d -------- D组： \文件和设置\所有用户\应用数据\ Lavasoft 2008年8月7日20:27 。 2008年8月7日20时27 <DIR> d -------- D组： \ Program Files文件\互联网下载管理 2008年8月7日20:27 。 2008年8月7日20时27 <DIR> d --------为D ： \的Documents and Settings \印尼\应用数据\调制解调器 2008年8月7日14:01 。 2008年8月7日14:01 <DIR>数d -高速----为D ： \ FOUND.108 2008年8月7日01:26 。 2008年8月7日01:26 <DIR> d -------- D组： \文件和设置\所有用户\应用数据的\ Temp 。 (((((((((((((((((((((((((((((((((((((((( Find3M报告)))))))) )))))))))))))))))))))))))))))))))))))))))) ） ） 。 2008年9月1日19:16 38528 ----胡为D ： \窗口\ system32 \驱动程序\ mbamswissarmy.sys 2008年9月1日19:16 17200 ----胡为D ： \窗口\ system32 \驱动程序\ mbam.sys 2008年8月4日22:08 109150 ----胡为D ： \窗口\ system32 \驱动程序\ b88b9e8e.sys 2008年8月4日16:05 --------- d -----瓦特为D ： \ Program Files文件\ Malwarebytes '反恶意软件 2008年8月4日16:05 --------- d -----瓦特为D ： \的Documents and Settings \印尼\应用数据\ Malwarebytes 2008年8月4日16:05 --------- d -----瓦特为D ： \文件和设置\所有用户\应用数据\ Malwarebytes 2008年7月30号16点24分499712 ----胡为D ： \窗口\ system32 \ msvcp71.dll 2008年7月30号16点24分348160 ----胡为D ： \窗口\ system32 \ msvcr71.dll 2008年7月29日22:43 --------- d -----瓦特为D ： \文件和设置\所有用户\应用数据\减压系统 2008年7月29日22:42 --------- d -----瓦特为D ： \ Program Files文件\共同文件\减压系统 2008年7月29日22:42 --------- d -----瓦特为D ： \ Program Files文件\减压系统 2008年7月21日16:50 --------- d -----瓦特为D ： \的Documents and Settings \印尼\应用数据\ uTorrent 2008年7月21日11:05 --------- d -----瓦特为D ： \ Program Files文件\ uTorrent 2008年7月19号19:28 --------- d -----瓦特为D ： \的Documents and Settings \印尼\应用数据\ DMCache 2008年7月19号10:00 --------- d -----瓦特为D ： \ Program Files文件\共同文件\ L ＆ H公司 2008年7月17号13点32分--------- d -----瓦特为D ： \文件和设置\所有用户\应用数据\卡巴斯基实验室的安装程序文件 2008年7月17号01:11 --------- d -----瓦特为D ： \ Program Files文件\战神 2008年7月16日23:15 --------- d -----瓦特为D ： \ Program Files文件\优势 2008年7月9日22:08 41984 -上海-研究为D ： \窗口\ system32 \ dllcaches.exe 2008年6月27日21:05 33576 ----胡为D ： \的Documents and Settings \印尼\应用数据\ GDIPFONTCACHEV1.DAT 2008年6月22日15:33 7680 ----胡为D ： \窗口\ system32 \ ff_vfw.dll 2008年6月22日15:33 60273 ----胡为D ： \窗口\ system32 \ pthreadGC2.dll 。 ------- Sigcheck ------- 2004年8月3日21:14三十五点九零四万1745b00fc1141404b28f4b94f69a8871为D ： \窗口\ system32 \驱动程序\ tcpip.sys 2004年8月3日21:14三十五点九○四万1745b00fc1141404b28f4b94f69a8871为D ： \窗口\ system32 \ dllcache \ tcpip.sys 。 (((((((((((((((((((((((((((((((((((((注册装载点)))))))))) )))))))))))))))))))))))))))))))))))))))) 。 。 *注意*空白条目与合法默认项不会显示 REGEDIT4 [ HKEY_LOCAL_MACHINE \软件\微软\的Windows \当前entVersion \运行] “ QuickTime的工作” = “ D组： \ Program Files文件\的QuickTime \ qttask.exe ” [ 2006年9月1日282624 ] “ PCSuiteTrayApplication ” = “ D组： \ Program Files文件\诺基亚\诺基亚PC套件6 \ LaunchApplication.exe ” [ 2007年6月18号271360 ] “ googletalk ” = “ D组： \ Program Files文件\谷歌\谷歌对话\ googletalk.exe ” [ 2007年1月2日3739648 ] “ Layersecurity Servicemonitor ” = “为D ： \窗口\ system32 \ LSSMON.EXE ” [ 2008年9月5日741376 ] [ HKEY_USERS \ 。缺省\软件\微软\的Windows \姜黄素rentVersion \运行] “ Nokia.PCSync ” = “ D组： \ Program Files文件\诺基亚\诺基亚PC套件6 \ PcSync2.exe ” [ 2007年6月19号1241088 ] D组： \文件和设置\所有用户\开始菜单\程序\启动\ 微软Office.lnk - D组： \ Program Files文件\微软Office \ Office10 \ OSA.EXE [ 2001年2月13号83360 ] [ HKEY_LOCAL_MACHINE \软件\微软\ Windows NT的\ currentversion \窗口] “ AppInit_DLLs ” = sockspy.dll [ HKEY_LOCAL_MACHINE \软件\微软\ Windows NT的\ currentversion \ drivers32 ] “ VIDC.D263 ” = xl_x263dec.dll “ VIDC.YV12 ” = xl_yv12.dll [ HKEY_LOCAL_MACHINE \软件\微软\ Windows NT的\ currentversion \图像文件执行选项\ firefox.exe ] “调试” = D组： \ Program Files文件\ Mozilla Firefox的\ firefoxe.exe [ HKEY_LOCAL_MACHINE \软件\微软\ Windows NT的\ currentversion \图像文件执行选项\ iexplore.exe ] “调试” = D组： \ Program Files文件\的Internet Explorer \ iexplor.exe [ HKEY_LOCAL_MACHINE \软件\微软\ Windows NT的\ currentversion \图像文件执行选项\ spoolsv.exe ] “调试” = D组： \窗口\ system32 \ spool.exe [ HKLM \ 〜 \服务\ sharedaccess \参数\ firewallpo licy \ standardprofile \ AuthorizedApplications \名单] “ ％ windir ％ \ \ system32 \ \ sessmgr.exe ” = 的“ D ： \ \ Program Files文件\ \战神\ \ Ares.exe ” = 的“ D ： \ \ Program Files文件\ \目的\ \ aim.exe ” = 的“ D ： \ \ Program Files文件\ \传送\ \ MSMSGS.EXE ” = 的“ D ： \ \ Program Files文件\ \的MSN Messenger \ \ msnmsgr.exe ” = 的“ D ： \ \ Program Files文件\ \ MSN Messenger的\ \ livecall.exe ” = 的“ D ： \ \ Program Files文件\ \ NetMeeting的\ \ conf.exe ” = 的“ D ： \ \ Program Files文件\ \歌剧\ \ Opera.exe ” = 的“ D ： \ \ Program Files文件\ \ uTorrent \ \ uTorrent.exe ” = 的“ D ： \ \ Program Files文件\ \谷歌\ \谷歌对话\ \ googletalk.exe ” = 的“ D ： \ \ Program Files文件\ \ Skype的\ \电话\ \ Skype.exe ” = [ HKLM \ 〜 \服务\ sharedaccess \参数\ firewallpo licy \ standardprofile \ GloballyOpenPorts \名单] “ 5000 ： TCP连接” = 5000 ：为tcp ： AresChatServer R2的dmsmbios ; dmsmbios ; D组： \窗口\ system32 \ dmsmbios.sys [ 2001年5月31日1.648万] R3的XIRLINK ; IBM个人电脑相机; D组： \窗口\ system32 \驱动程序\架C - itnt.sys [ 1999年10月19号435655 ] S0 SBHR ; SBHR ; D组： \窗口\ system32 \驱动程序\ sbhr.sys [ ] 一b88b9e8e ; b88b9e8e ; D组： \窗口\ system32 \驱动程序\ b88b 9e8e.sys [ 2008年8月5日109150 ] 三AvFlt ;防病毒过滤器驱动程序;为D ： \窗口\ system32 \驱动程序\ av5flt.sys [ ] 三SBRE ; SBRE ; D组： \窗口\ system32 \驱动程序\ SBREdrv.sys [ ] [ HKEY_CURRENT_USER \软件\微软\窗户\曲线ntversion \探险\ mountpoints2 \ （ 7bd71c60 - e76a - 11dc - a790 - 00065b298742 ） ] \壳\自动\命令- ntde1ect.com \壳\探索\命令- ntde1ect.com \壳\开放\命令- ntde1ect.com [ HKEY_CURRENT_USER \软件\微软\窗户\曲线ntversion \探险\ mountpoints2 \ （ 9dd929e0 - 69d0 - 11dd - a9b5 - 00065b298742 ） ] \壳\自动\命令-答： \ ntde1ect.com \壳\探索\命令-答： \ ntde1ect.com \壳\开放\命令-答： \ ntde1ect.com [ HKEY_CURRENT_USER \软件\微软\窗户\曲线ntversion \探险\ mountpoints2 \ （ def7f600 - a9a1 - 11dc - a733 - 00065b298742 ） ] \壳\自动\命令-答： \ ntde1ect.com \壳\探索\命令-答： \ ntde1ect.com \壳\开放\命令-答： \ ntde1ect.com 。 内容'计划任务的文件夹 。 。 补充扫描------- ------- 。 火狐浏览器- ：公司简介-为D ： \的Documents and Settings \印尼\应用数据\ Mozilla浏览器\火狐\概况\ 419o3i2e.default \ 火狐浏览器- ： prefs.js - SEARCH.DEFAULTURL - hxxp ： / / www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q = 火狐浏览器- ： prefs.js - STARTUP.HOMEPAGE -关于：空白 法国法郎- ：插件- D组： \ Program Files文件\雅虎\共享\ npYState.dll 。 。 -------档案协会（试用版） ------- 。 。 ************************************************** ************************ catchme 0.3.1361 W2K/XP/Vista - rootkit的/隐形恶意探测器Gmer ， http://www.gmer.net 2008年9月7日13时48分19秒的rootkit扫描 2600年5月1号的Windows Service Pack 2中的FAT NTAPI 扫描隐藏的进程... D组： \ Program Files文件\的Internet Explorer \ iexplor.exe [ 492 ] 0xFF7A8620 D组： \窗口\ system32 \ LSASSMGR.EXE [ 1872 ] 0xFF832D60 D组： \窗口\ system32 \ LSASSMGR.EXE [ 524 ] 0xFF8FD600 扫描隐藏的自动启动项... 扫描隐藏的文件... 扫描顺利完成 隐藏的文件： 0 ************************************************** ************************ 。 ------------------------其他正在运行的进程----------------------- - 。 D组： \窗口\ system32 \ wdfmgr.exe D组： \ Program Files文件\ PC连接解决方案\ ServiceLayer.exe D组： \窗口\ system32 \ wscntfy.exe D组： \ Program Files文件\的Internet Explorer \ iexplore.exe 。 ************************************************** ************************ 。 完成时间： 2008年9月7日13时52分17秒-机器重启 ComboFix -隔离- files.txt 2008年9月7日8时51分54秒 预运行： 253583360字节免费 后运行： 537141248字节免费 216 这是劫持日志 日志文件的趋势科技了HijackThis v2.0.2 扫描储存于下午12时59分52秒，在2008年9月7日 平台： Windows XP SP2的（使用WINNT 2600年1月5日） MSIE ： SP2中的Internet Explorer v6.00 （ 6.00.2900.2180 ） 启动模式：正常 正在运行的进程： D组： \窗口\ System32 \ smss.exe D组： \窗口\ system32 \ winlogon.exe D组： \窗口\ system32 \ Services.exe的 D组： \窗口\ system32 \ Lsass.exe中 D组： \窗口\ system32 \ svchost.exe D组： \窗口\ System32 \ svchost.exe D组： \窗口\ system32 \ wscntfy.exe D组： \窗口\ Explorer.exe的 D组： \窗口\ system32 \ taskmgr.exe 电子邮件： \所有的软件\ HiJackThis.exe R0 - HKCU \软件\微软\的Internet Explorer \主，初始页=约：空白 受体1 - HKLM \软件\微软\的Internet Explorer \主， Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 受体1 - HKLM \软件\微软\的Internet Explorer \主， Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 受体1 - HKLM \软件\微软\的Internet Explorer \主，搜索页面= http://go.microsoft.com/fwlink/?LinkId=54896 受体1 - HKCU \软件\微软\的Internet Explorer \ SearchURL ， （默认） = http://us.rd.yahoo.com/customize/yco.../www.yahoo.com 氧- BHO ： DAPHelper类- （ 0000CC75 - ACF3 - 4cac - A0A9 - DD3868E06852 ） - D组： \ Program Files文件\磷酸二铵\ DAPBHO.dll 氧- BHO ：调制解调器助手- （ 0055C089 - 8582 - 441B - A0BF - 17B458C2A3A8 ） - D组： \ Program Files文件\ Internet下载管理器\ IDMIECC.dll 氧- BHO ： Skype的插件（策划） - （ 22BF413B - C6D2 - 4d91 - 82A9 - A0F997BA588C ） - D组： \ Program Files文件\ Skype软件\工具栏\的Internet Explorer \ SkypeIEPlugin.dll 氧- BHO ：谷歌工具栏助手- （ AA58ED58 - 01DD - 4d91 - 8333 - CF10577473F7 ） - D组： \ Program Files文件\谷歌\ googletoolbar2.dll 臭氧-工具栏：与谷歌- （ 2318C2B1 - 4965 - 11d4 - 9B18 - 009027A5CD4F ） - D组： \ Program Files文件\谷歌\ googletoolbar2.dll 物理学- HKLM \ .. \运行： [ QuickTime的工作]的“ D ： \ Program Files文件\的QuickTime \ qttask.exe ” - atboottime 物理学- HKLM \ .. \运行： [ PCSuiteTrayApplication ] D组： \ Program Files文件\诺基亚\诺基亚PC套件6 \ LaunchApplication.exe启动 物理学- HKLM \ .. \运行： [ googletalk ] D组： \ Program Files文件\谷歌\谷歌对话\ googletalk.exe /自动启动 物理学- HKLM \ .. \运行： [ Layersecurity Servicemonitor ] D组： \窗口\ system32 \ LSSMON.EXE 物理学- HKUS \的S - 1 - 5 - 18 \ .. \运行： [ Nokia.PCSync ] D组： \ Program Files文件\诺基亚\诺基亚PC套件6 \ PcSync2.exe / NoDialog （用户'系统' ） 物理学- HKUS \ 。缺省\ .. \运行： [ Nokia.PCSync ] D组： \ Program Files文件\诺基亚\诺基亚PC套件6 \ PcSync2.exe / NoDialog （用户默认用户' ） 物理学-全球启动：微软Office.lnk = D组： \ Program Files文件\微软Office \ Office10 \ OSA.EXE O8 -额外上下文菜单项目： ＆下载＆磷酸二铵-为D ： \ PROGRA 〜 1 \磷酸二铵\ dapextie.htm O8 -额外上下文菜单项目：下载和所有与磷酸二铵-为D ： \ PROGRA 〜 1 \磷酸二铵\ dapextie2.htm O8 -额外上下文菜单项目：下载所有与调制解调器- D组： \ Program Files文件\ Internet下载管理器\ IEGetAll.htm O8 -额外上下文菜单项目：下载FLV视频内容与调制解调器- D组： \ Program Files文件\ Internet下载管理器\ IEGetVL.htm O8 -额外上下文菜单项目：下载与调制解调器- D组： \ Program Files文件\ Internet下载管理器\ IEExt.htm O8 -额外上下文菜单项目：汇出至Microsoft Excel -水库： / / D组： \ PROGRA 〜 1 \微〜 2 \ Office10 \ EXCEL.EXE/3000 O9 -额外的按钮：运行磷酸二铵- （ 669695BC - A811 - 4A9D - 8CDF - BA8C795F261C ） - D组： \ PROGRA 〜 1 \磷酸二铵\ DAP.EXE O9 -额外的按钮： Skype公司- （ 77BF5300 - 1474 - 4EC7 - 9980 - D32B190E9B07 ） - D组： \ Program Files文件\ Skype软件\工具栏\的Internet Explorer \ SkypeIEPlugin.dll O9 -额外的按钮：目的- （ AC9E2541 - 2814 - 11d5 - BC6D - 00B0D0A1DE45 ） - D组： \ Program Files文件\目的\ aim.exe O9 -额外的按钮： Messenger的- （ FB5F1910 - F110 - 11d2 - BB9E - 00C04F795683 ） - D组： \ Program Files文件\传送\ msmsgs.exe O9 -额外的'工具' menuitem ： Windows Messenger的- （ FB5F1910 - F110 - 11d2 - BB9E - 00C04F795683 ） - D组： \ Program Files文件\传送\ msmsgs.exe O18 -协议： skype4com - （ FFC8B962 - 9B40 - 4DFF - 9458 - 1830C7DD7F5D ） - D组： \ PROGRA 〜 1 \常见〜 1 \ Skype的\ SKYPE4 〜 1.DLL O23 -服务：战神聊天服务器（ AresChatServer ） -战神发展集团- D组： \ Program Files文件\战神\ chatServer.exe O23 -服务：谷歌更新器服务（ gusvc ） -谷歌-为D ： \ Program Files文件\谷歌\共同\谷歌更新\ GoogleUpdaterService.exe O23 -服务：阳光带反间谍反间谍软件（ SBCSSvc ） -未知所有者- D组： \ Program Files文件\ Sunbelt Software公司\反间谍\ SBCSSvc.exe （档案遗失） O23 -服务： ServiceLayer -诺基亚。 -为D ： \ Program Files文件\ PC连接解决方案\ ServiceLayer.exe O23 -服务： SmartLinkService （ SLService ） -智能连接- D组： \窗口\ SYSTEM32 \ slserv.exe - 文件结尾- 4350字节 |
|
＃8
2008年09月7日， 11时16
| |||
| |||
| 帮助我在这里是我的劫持日志 注： 下面的指示，成立专门为这一用户。如果您不是此用户， 切忌 请依照下列指示，因为它们可能会损害您的系统的运作 删除这些文件/文件夹，如下： 1 。转到 开始 “ 跑 “型 记事本 并点击 行 打开记事本。 它 必须 将记事本，而不是写字板。 2 。复制文字在下面代码中强调的所有文字和紧迫 按Ctrl + C 码： 4 。然后单击 文件 “ 保存 5 。将该文件命名为 CFScript.txt -将文件保存到桌面 6 。然后拖动 CFScript （按住鼠标左键的同时拖动文件）拖放（释放鼠标左键）到ComboFix.exe因为你看到在下面的截图。 重要提示： 执行此指令仔细！  ComboFix将开始执行，只要按照提示操作。 之后重新启动（如果它要求重新启动） ，这将会产生一个日志你。 邮报记录（ Combofix.txt ）在您下一次的答复。 注： 不要mouseclick ComboFix的窗口同时运行。可能会导致您的系统冻结
__________________ |
|
＃9
2008年09月8日， 06:45
| |||
| |||
| 帮助我在这里是我的劫持日志 我很抱歉的人，但Combofix结果是725 kb的文件，以便wasn't能够将其粘贴在这里，因此不得不把它上传英寸邮编。希望多数民众赞成好。 |
|
＃10
2008年09月8日， 07:14
| |||
| |||
| 帮助我在这里是我的劫持日志 下载 OTMoveIt2的OldTimer
码： [杀死总管]为D ： \ FOUND.145为D ： \ FOUND.144为D ： \ FOUND.143为D ： \ FOUND.142为D ： \ FOUND.141为D ： \ FOUND.140为D ： \ FOUND.139为D ： \方正0.138为D ： \ FOUND.137为D ： \ FOUND.136为D ： \ FOUND.135为D ： \ FOUND.134为D ： \ FOUND.133为D ： \ FOUND.132为D ： \ FOUND.131为D ： \ FOUND.130 D组： \ FOUND.129为D ： \ FOUND.128为D ： \ FOUND.127为D ： \ FOUND.126为D ： \ FOUND.125为D ： \ FOUND.124为D ： \ FOUND.123为D ： \ FOUND.122 D组： \ FOUND.121为D ： \ FOUND.120为D ： \ FOUND.119为D ： \ spoolerlogs为D ： \ FOUND.118为D ： \ FOUND.117为D ： \ FOUND.116为D ： \ FOUND.115为D ： \ FOUND.114 D组： \ FOUND.113为D ： \ FOUND.112为D ： \ FOUND.111为D ： \ FOUND.110为D ： \ FOUND.109为D ： \ FOUND.108 EmptyTemp [启动资源管理器]
也让我知道如何现在。
__________________ |
