求救－恶意网站www.3448.com

gaolzy0117 · 发表于 2006-10-27 12:30:39

各位大虾，偶的机子ie主页被这个网站（www.3448.com）修改，我在注册表力找到后删除，但打开ie它又来了，求求各位大虾出点招，我这里先谢谢了～～～～～

6618 · 发表于 2006-10-27 12:35:27

用HIJACKTHIS扫描机子，把日志传上来。

gaolzy0117 · 发表于 2006-10-27 12:40:11

Logfile of HijackThis v1.99.1
Scan saved at 12:39:19, on 2006/10/27
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
E:\Program Files\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
E:\Program Files\Rising\Rav\Ravmond.exe
e:\program files\rising\rfw\rfwsrv.exe
C:\WINDOWS\system32\spoolsv.exe
E:\Program Files\Rising\Rav\RavStub.exe
C:\Program Files\Common Files\EPSON\EBAPI\SAgent2.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
e:\oracle\ora92\bin\omtsreco.exe
C:\WINDOWS\system32\r_server.exe------这个远程控制软件是不是你自己装的，如果不是，修掉。把这r_server.exe删掉
E:\tools\其它\Serv-U\Serv-U\Serv-U\ServUDaemon.exe
C:\WINDOWS\Explorer.EXE
E:\Program Files\Rising\Rav\RavTask.exe
E:\Program Files\Rising\Rfw\rfwmain.exe
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
E:\Program Files\Rising\Rav\Ravmon.exe
C:\WINDOWS\system32\ctfmon.exe
E:\tools\其它\Serv-U\Serv-U\Serv-U\ServUTray.exe
C:\WINDOWS\system32\conime.exe
F:\games\Legend of Mir\外挂\jsy307\传奇私服脱机3.07实用版\jsy.ini
F:\Tencent\QQ\QQ.exe
F:\games\Legend of Mir\外挂\jsy307\传奇私服脱机3.07实用版\Mir2Tianji.Dat
F:\games\Legend of Mir\外挂\jsy307\传奇私服脱机3.07实用版\Mir2Tianji.Dat
F:\games\Legend of Mir\外挂\jsy307\传奇私服脱机3.07实用版\Mir2Tianji.Dat
C:\WINDOWS\system32\PYINTAU.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Administrator\桌面\ha_hijackthis_1991\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - d:\Program Files\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: UltraEdit Toolbar - {4E7BD74F-2B8D-469E-85AA-FD60BB9AAE22} - C:\PROGRA~1\UE_TOO~1\UE_TOO~1.DLL
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: IeCatch2 Class - {A5366673-E8CA-11D3-9CD9-0090271D075B} - C:\PROGRA~1\FlashGet\jccatch.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O3 - Toolbar: UltraEdit Toolbar - {4E7BD74F-2B8D-469E-85AA-FD60BB9AAE22} - C:\PROGRA~1\UE_TOO~1\UE_TOO~1.DLL
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [RavTask] "E:\Program Files\Rising\Rav\RavTask.exe" -system
O4 - HKLM\..\Run: [RfwMain] "E:\Program Files\Rising\Rfw\rfwmain.exe" -Startup
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [ServUTrayIcon] E:\tools\其它\Serv-U\Serv-U\Serv-U\ServUTray.exe
O4 - Startup: 1.bat.lnk = ?------修掉
O4 - Startup: ServUTray.exe.lnk = ?
O8 - Extra context menu item: 上传到QQ网络硬盘 - F:\Tencent\QQ\AddToNetDisk.htm
O8 - Extra context menu item: 使用网际快车下载 - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: 使用网际快车下载全部链接 - C:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://E:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: 添加到QQ自定义面板 - F:\Tencent\QQ\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - F:\Tencent\QQ\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - F:\Tencent\QQ\SendMMS.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java 控制台 - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: 信息检索 - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O9 - Extra 'Tools' menuitem: &FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\flashget.exe
O16 - DPF: {339C1EE2-1029-46B8-81F1-360217F26FC4} (PowerCreator VGAPlayer Control) - http://www.ctuonline.com.cn/www/ ... son08/VGAPlayer.cab
O16 - DPF: {86C2C825-091E-11D7-8774-0050BA19E40C} (DBTreeViewX Control) - http://133.64.32.102:8080/public/controls/HWTreeView.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{AB30E4B4-7548-4BA5-99AC-17FEB07988B8}: NameServer = 61.134.1.4,218.30.19.40
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxdev.dll
O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Program Files\Common Files\EPSON\EBAPI\SAgent2.exe
O23 - Service: OracleMTSRecoveryService - Oracle Corporation - e:\oracle\ora92\bin\omtsreco.exe
O23 - Service: OracleOraHome92ClientCache - Unknown owner - e:\oracle\ora92\BIN\ONRSD.EXE
O23 - Service: Rising Proxy Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - e:\program files\rising\rfw\rfwproxy.exe
O23 - Service: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Co., Ltd. - e:\program files\rising\rfw\rfwsrv.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - E:\Program Files\Rising\Rav\CCenter.exe
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - E:\Program Files\Rising\Rav\Ravmond.exe
O23 - Service: Remote Administrator Service (r_server) - Unknown owner - C:\WINDOWS\system32\r_server.exe" /service (file missing)
O23 - Service: Serv-U FTP 服务器 (Serv-U) - Unknown owner - E:\tools\其它\Serv-U\Serv-U\Serv-U\ServUDaemon.exe

[ 本帖最后由 6618 于 2006-10-27 01:34 PM 编辑 ]

gaolzy0117 · 发表于 2006-10-27 12:41:09

楼主帮忙看下啊，看的我满头雾水

gaolzy0117 · 发表于 2006-10-27 12:42:20

顺便问下楼主，HijackThis v1.99.1有修复功能，怎么用啊

6618 · 发表于 2006-10-27 13:32:46

你的机子装了瑞星杀毒和瑞星防火墙还中招，看来这个病毒挺牛的，我已在你的原帖上进行编辑，你去看看，按我说的去做。用HIJACKTHIS直接修掉。
建议你看看这个1.bat是否指向那个网址。
O4 - Startup: 1.bat.lnk = ?------修掉

[ 本帖最后由 6618 于 2006-10-27 01:36 PM 编辑 ]

jhkwgij · 发表于 2006-10-27 15:13:56

个人建议拿黄山IE修复下看行不!

hero123 · 发表于 2006-10-27 15:23:29

msconfig启动项里也得勾掉!

gaolzy0117 · 发表于 2006-10-27 15:44:16

1、C:\WINDOWS\system32\r_server.exe------这个远程控制软件是不是你自己装的，如果不是，修掉。把这r_server.exe删掉：这个是我专门装的远端控制软件，没有问题，我们这每台机子都有；
2、Startup: 1.bat.lnk = ?------修掉
：这个是我自己做的一个bat文件，用于双网卡的路由识别，也没有问题
3、个人建议拿黄山IE修复下看行不! ：7楼这位大虾说的黄山我回头试试
4、msconfig启动项里也得勾掉! ：试过了，不行

6618 · 发表于 2006-10-27 16:05:17

这样看来，楼主也是个大虾，从日志看，HIJACKTHIS对你说的这个问题是无能为力的了，我想，你用ICESWORD看看有没有隐藏的进程？

gaolzy0117 · 发表于 2006-10-27 16:10:30

看看这个日志：
Logfile of HijackThis v1.99.1
Scan saved at 15:58:02, on 2006-10-27
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\r_server.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\WINDOWS\system32\rundll32.exe-------修掉
C:\WINDOWS\system32\ctfmon.exe
D:\新建文件夹\MagicSet\SRIECLI.EXE
C:\WINDOWS\system32\sistray.exe
C:\Program Files\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
E:\恶意修改注册表扫描\恶意修改注册表扫描\HijackThis.exe

O1 - Hosts: 218.201.94.20 localhost
O1 - Hosts: 218.201.94.20 www.5566.net-------修掉，从这个01到下面的01都修掉！
O1 - Hosts: 218.201.94.20 www.gjj.cc
O1 - Hosts: 218.201.94.20 www.hao123.com
O1 - Hosts: 218.201.94.20 www.hao222.com
O1 - Hosts: 218.201.94.20 www.9991.com
O1 - Hosts: 218.201.94.20 www.2345.com
O1 - Hosts: 218.201.94.20 www.7939.com
O1 - Hosts: 218.201.94.20 forum.ikaka.com
O1 - Hosts: 218.201.94.20 bbs.360safe.com
O1 - Hosts: 218.201.94.20 www.360safe.com-------修掉
O1 - Hosts: 218.201.94.20 www.piaoxue.com
O1 - Hosts: 218.201.94.20 61.129.58.12
O1 - Hosts: 218.201.94.20 forum.jiangmin.com
O1 - Hosts: 218.201.94.20 luosoft.com
O1 - Hosts: 218.201.94.20 post.baidu.com
O1 - Hosts: 218.201.94.20 cn.zs.yahoo.com
O1 - Hosts: 218.201.94.20 www.znmq.com-------修掉
O1 - Hosts: 218.201.94.20 auto.search.msn.com
O1 - Hosts: 218.201.94.20 www.pcav.cn
O1 - Hosts: 218.201.94.20 www.cnhx.com.cn
O1 - Hosts: 218.201.94.20 btbaicai.com
O1 - Hosts: 218.201.94.20 219.239.102.77-------修掉，都修掉

O1 - Hosts: 218.201.94.20 hz.mop-hz.com
O1 - Hosts: 218.201.94.20 www.jacai.com
O1 - Hosts: 218.201.94.20 bbs.168safe.com
O1 - Hosts: 218.201.94.20 ok.mop-hz.com
O1 - Hosts: 218.201.94.20 s46.cnzz.com-------修掉，从上面的01修到这里
O2 - BHO: 超级兔子上网精灵 - {7369D35A-5B70-4A5B-B789-B25FE09B4AF3} - D:\新建文~1\MagicSet\haokanbar.dll
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FLASHGET\fgiebar.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll (file missing)
O3 - Toolbar: 超级兔子上网精灵 - {43869BB3-22FD-4F15-9B46-238106BA2F4E} - D:\新建文~1\MagicSet\haokanbar.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [IMSCMig] C:\PROGRA~1\COMMON~1\MICROS~1\IME\IMSC40A\IMSCMIG.EXE /Preload
O4 - HKLM\..\Run: [SiSPower] Rundll32.exe SiSPower.dll,ModeAgent
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [StormCodec_Helper] "C:\Program Files\Ringz Studio\Storm Codec\StormSet.exe" /S /opti
O4 - HKLM\..\Run: [kav] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKLM\..\Run: [poco] C:\poco\Poco2006.exe
O4 - HKLM\..\Run: [ds] C:\WINDOWS\system32\rundll32.exe xcr6h.dll Rundll32修掉，删掉这个xcr6h.dll ，病毒无疑。
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [bgswitch] C:\WINDOWS\system32\bgswitch.exe
O4 - HKCU\..\Run: [Super Rabbit IEPro] D:\新建文件夹\MagicSet\SRIECLI.EXE /LOAD
O4 - Global Startup: Utility Tray.lnk = C:\WINDOWS\system32\sistray.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: 上传到QQ网络硬盘 - C:\Program Files\Tencent\QQ\AddToNetDisk.htm
O8 - Extra context menu item: 使用网际快车下载 - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: 使用网际快车下载全部链接 - C:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: 添加到QQ自定义面板 - C:\Program Files\Tencent\QQ\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - C:\Program Files\Tencent\QQ\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - C:\Program Files\Tencent\QQ\SendMMS.htm
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - C:\Program Files\Tencent\QQ\QQ.EXE (file missing)-------修掉
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - C:\Program Files\Tencent\QQ\QQ.EXE (file missing)-------修掉
O9 - Extra button: 易趣购物 - {DE60714F-AC17-427e-861A-FD60CBDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=1 (file missing)-------修掉
O9 - Extra 'Tools' menuitem: 易趣购物 - {DE60714F-AC17-427e-861A-FD60CBDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=1 (file missing)-------修掉
O14 - IERESET.INF: START_PAGE_URL=http://www.tomatolei.com----修掉
O16 - DPF: {37AD6BB5-9996-4F6E-AC2F-C9CE3A065119} (xdslTestCtrlX Control) - http://133.64.32.102:8080/iwflow ... dslTestCtrlProj.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{001349C0-BBFF-4171-BAAA-59E7A3FEB8BF}: NameServer = 61.134.1.4,218.30.19.40
O17 - HKLM\System\CS1\Services\Tcpip\..\{001349C0-BBFF-4171-BAAA-59E7A3FEB8BF}: NameServer = 61.134.1.4,218.30.19.40
O17 - HKLM\System\CS2\Services\Tcpip\..\{001349C0-BBFF-4171-BAAA-59E7A3FEB8BF}: NameServer = 61.134.1.4,218.30.19.40
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O23 - Service: 卡巴斯基反病毒6.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)-------修掉
O23 - Service: Remote Administrator Service (r_server) - Unknown owner - C:\WINDOWS\system32\r_server.exe" /service (file missing)-------修掉

[ 本帖最后由 6618 于 2006-10-27 04:33 PM 编辑 ]

6618 · 发表于 2006-10-27 16:16:48

奇了，何以两个日志相差那么大？——难道是不同的机子？

[ 本帖最后由 6618 于 2006-10-27 04:38 PM 编辑 ]

6618 · 发表于 2006-10-27 16:17:26

第二个日志病毒原弄毕露！我在你上面的帖子编辑了，你看看吧。

[ 本帖最后由 6618 于 2006-10-27 04:31 PM 编辑 ]

6618 · 发表于 2006-10-27 16:41:33

这里提一下，不管是自己用HIJACKTHIS分析病毒，还是上传日志经别人分析病毒，最好退出一些无关的进程，这样分析起来更准些，朋友你bgswitch.exe，兔子、Poco2006.exe等都开着。看来兔子也是不能解决这个问题的。

gaolzy0117 · 发表于 2006-10-27 16:47:33

谢了，这是我们单位另外一台机子，我的机子刚中了SXS.EXE,刚杀完

gaolzy0117 · 发表于 2006-10-27 16:52:13

卡巴斯基也修掉？

6618 · 发表于 2006-10-27 17:06:17

是的，你看到了(file missing)这个单词没有？这是卡巴的服务，但卡巴avp.exe文件已不知何原因已不存在了，即这个服务也不起作用了，不起作用，就相当于注册表的垃圾，不修放在哪里干什么？

6618 · 发表于 2006-10-27 17:11:12

原帖由 gaolzy0117 于 2006-10-27 04:47 PM 发表
谢了，这是我们单位另外一台机子，我的机子刚中了SXS.EXE,刚杀完

好像是第二个日志的机子才是指向3448这个网站的吧，你的那台机子你杀完毒后我没发现有指向3448的迹象，你的那台机子现在也是跳到3448？应该没有吧？这个网站本身没病毒，只是那个牛B的病毒把IE指向了这个网站？

[ 本帖最后由 6618 于 2006-10-27 05:18 PM 编辑 ]

6618 · 发表于 2006-10-27 17:21:33

回家吃饭去，如果不能解决问题，欢迎跟帖。

		自动登录	找回密码
密码			注册