天佑康康 2008-5-12 16:47
windows.ext病毒
08年3月27日 发现硬盘各分区出现autorun.inf和MSDOS.BAT文件，开始使用360安全卫士进行检测。近期流行的磁碟机和机器狗专杀工具都无济于事。恢复系统，进入安全模式从资源管理器中删除各盘符autorun.inf和MSDOS.BAT暂时无事。重起后发现病毒依然存在。
08年3月28日 发现病毒原体windows.ext，无自启动项，但在进程中。运行一段时间后该病毒从新启动。会出现报错，360安全卫士被恶意破坏。导出诊断报告如下：
各位高手：
非常感谢您留心我这份系统诊断报告，小菜鸟十万火急等待您的帮助！
该诊断报告由360安全卫士提供 [url]http://www.360safe.com[/url]
诊断时间: 2008-03-28 09:55:23
诊断平台: Microsoft Windows XP Service Pack 2
IE版本: Internet Explorer V6.0.2900.2180 Build:62900.2180
计算机物理内存:1022.73MB - 当前可用内存:585.86MB
100 - 未知 - Process: QQ.exe [QQ] - D:\腾迅\QQ\QQ.exe
100 - 未知 - Process: TXPlatform.exe [TM2008] - D:\腾迅\QQ\TXPlatform.exe
100 - 未知 - Process: killer_rodog.exe [] - C:\Documents and Settings\HarrySun\桌面\killer_rodog.exe
100 - 未知 - Process: MSDOS.bat [] - F:\MSDOS.bat
O1 - 未知 - Host: 127.0.0.1 [url]www.cike007.cn[/url]
O1 - 未知 - Host: 127.0.0.1 qqq.dzydhx.com
O1 - 未知 - Host: 127.0.0.1 [url]www.333292.com[/url]
O1 - 未知 - Host: 127.0.0.1 xxx.m111.biz
O1 - 未知 - Host: 127.0.0.1 xxx.j41m.com
O1 - 未知 - Host: 127.0.0.1 d.93se.com
O1 - 未知 - Host: 127.0.0.1 xxx.vh7.biz
O1 - 未知 - Host: 127.0.0.1 xtx.kv8.info
O1 - 未知 - Host: 127.0.0.1 1.jopmmqq.com
O1 - 未知 - Host: 127.0.0.1 1.jopanqc.com
O1 - 未知 - Host: 127.0.0.1 [url]www.868wg.com[/url]
O1 - 未知 - Host: 127.0.0.1 ilove.com
O1 - 未知 - Host: 127.0.0.1 xx.exiao01.com
O1 - 未知 - Host: 127.0.0.1 tp.shpzhan.cn
O1 - 未知 - Host: 127.0.0.1 wg.47255.com
O1 - 未知 - Host: 127.0.0.1 171817.171817.com
O1 - 未知 - Host: 127.0.0.1 down.malasc.cn
O1 - 未知 - Host: 127.0.0.1 nx.51ylb.cn
O1 - 未知 - Host: 127.0.0.1 up.22x44.com
O2 - 未知 - BHO: (ThunderAtOnce Class) - [迅雷浏览器高级特性支持模块] - {01443AEC-0FD1-40fd-9C87-E93D1494C233} - C:\Program Files\Thunder Network\Thunder\ComDlls\TDAtOnce_Now.dll
O4 - 未知 - HKLM\..\Run: [killrodog4] [] "C:\Documents and Settings\HarrySun\桌面\killer_rodog.exe" -anti
O4 - 未知 - HKLM\..\RunOnce: [360safeKill] [] "C:\Documents and Settings\HarrySun\桌面\killer_rodog.exe" -runonce
O8 - 未知 - Extra context menu item: 使用迅雷下载 - C:\Program Files\Thunder Network\Thunder\Program\GetUrl.htm
O8 - 未知 - Extra context menu item: 使用迅雷下载全部链接 - C:\Program Files\Thunder Network\Thunder\Program\GetAllUrl.htm
O8 - 未知 - Extra context menu item: 添加到QQ表情 - d:\腾迅\QQ\AddEmotion.htm
O9 - 未知 - Extra button: 启动迅雷5(HKLM) - C:\Program Files\Thunder Network\Thunder\Thunder.exe
O10 - 未知 - Winsock LSP: [] [{6580D3AD-D58A-4D67-8808-CA6120663F47}]C:\WINDOWS\system32\EBSPI.dll
O10 - 未知 - Winsock LSP: [] [{D3C21122-85E1-48F3-9AB6-23D90C731919}]C:\WINDOWS\system32\EBSPI.dll
O23 - 未知 - Service: MSSQLSERVER [MSSQLSERVER] - C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe - (running)
O23 - 未知 - Service: Printer Spool [Internet Connection Service] - C:\Program Files\Common Files\System\ado\msader15.exe - (not running)
O23 - 未知 - Service: Sernet [Servers] - C:\WINDOWS\Srer - (not running)
O23 - 未知 - Service: SQLSERVERAGENT [SQLSERVERAGENT] - C:\Program Files\Microsoft SQL Server\MSSQL\binn\sqlagent.exe -i MSSQLSERVER - (not running)
=======================================
100 - 安全 - Process: smss.exe [进程为会话管理子系统用以初始化系统变量，ms-dos驱动名称类似lpt1以及com，调用win32壳子系统和运行在windows登陆过程。] - C:\WINDOWS\System32\smss.exe
100 - 安全 - Process: csrss.exe [客户端服务子系统，用以控制windows图形相关子系统。] - C:\WINDOWS\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=base
100 - 安全 - Process: winlogon.exe [windows nt用户登陆程序。] - C:\WINDOWS\system32\winlogon.exe
100 - 安全 - Process: services.exe [用于管理windows服务系统进程。] - C:\WINDOWS\system32\services.exe
100 - 安全 - Process: lsass.exe [本地安全权限服务控制windows安全机制。] - C:\WINDOWS\system32\lsass.exe
100 - 安全 - Process: svchost.exe [service host process是一个标准的动态连接库主机处理服务。] - C:\WINDOWS\system32\svchost -k DcomLaunch
100 - 安全 - Process: svchost.exe [service host process是一个标准的动态连接库主机处理服务。] - C:\WINDOWS\system32\svchost -k rpcss
100 - 安全 - Process: svchost.exe [service host process是一个标准的动态连接库主机处理服务。] - C:\WINDOWS\System32\svchost.exe -k netsvcs
100 - 安全 - Process: svchost.exe [service host process是一个标准的动态连接库主机处理服务。] - C:\WINDOWS\system32\svchost.exe -k NetworkService
100 - 安全 - Process: svchost.exe [service host process是一个标准的动态连接库主机处理服务。] - C:\WINDOWS\system32\svchost.exe -k LocalService
100 - 安全 - Process: spoolsv.exe [windows打印任务控制程序，用以打印机就绪。] - C:\WINDOWS\system32\spoolsv.exe
100 - 安全 - Process: explorer.exe [windows program manager或者windows explorer用于控制windows图形shell，包括开始菜单、任务栏，桌面和文件管理。] - C:\WINDOWS\Explorer.EXE
100 - 安全 - Process: inetinfo.exe [microsoft internet infomation services (iis)的一部分，用于debug调试除错。] - C:\WINDOWS\system32\inetsrv\inetinfo.exe
100 - 安全 - Process: MDM.EXE [debug除错管理用于调试应用程序和microsoft office中的microsoft script editor脚本编辑器。] - C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
100 - 安全 - Process: sqlservr.exe [microsoft sql server用于架设sql服务。] - C:\PROGRA~1\MI6841~1\MSSQL\binn\sqlservr.exe
100 - 安全 - Process: nvsvc32.exe [nvidia driver helper service在nvida显卡驱动中被安装。] - C:\WINDOWS\system32\nvsvc32.exe
100 - 安全 - Process: SMAgent.exe [一个声卡相关软件。] - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
100 - 安全 - Process: svchost.exe [service host process是一个标准的动态连接库主机处理服务。] - C:\WINDOWS\system32\svchost.exe -k imgsvc
100 - 安全 - Process: ctfmon.exe [office xp输入法图标。] - C:\WINDOWS\system32\ctfmon.exe
100 - 安全 - Process: wscntfy.exe [是microsoft windows安全系统和输出当前安全身份的一部分，用于其电脑的稳定性以及安全运行的。] - C:\WINDOWS\system32\wscntfy.exe
100 - 安全 - Process: alg.exe [这是一个应用层网关服务用于网络共享。] - C:\WINDOWS\System32\alg.exe
100 - 安全 - Process: IEXPLORE.EXE [microsoft internet explorer浏览器用于浏览网页。] - C:\Program Files\Internet Explorer\iexplore.exe
100 - 安全 - Process: 360Safe.exe [360安全卫士相关程序。] - C:\Program Files\360safe\360Safe.exe
100 - 安全 - Process: 360tray.exe [360安全卫士实时监控程序。] - C:\Program Files\360safe\safemon\360tray.exe
R1 - 安全 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page=C:\WINDOWS\system32\blank.htm
O2 - 安全 - BHO: (Thunder Browser Helper) - [迅雷附带下载监视器相关文件。] - {889D2FEB-5411-4565-8998-1DD2C5261283} - C:\Program Files\Thunder Network\Thunder\ComDlls\xunleiBHO_Now.dll
O4 - 安全 - HKLM\..\Run: [NvCplDaemon] [是NVIDIA显示卡相关动态链接库文件。] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - 安全 - HKLM\..\Run: [360Safetray] [360safe实时保护功能模块。] C:\Program Files\360safe\safemon\360tray.exe /start
O4 - 安全 - HKCU\..\Run: [ctfmon.exe] [office xp输入法图标。] C:\WINDOWS\system32\ctfmon.exe
O8 - 安全 - Extra context menu item: 导出到 Microsoft Office Excel(&X) - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - 安全 - Extra button: Windows Messenger(HKLM) - C:\Program Files\Messenger\msmsgs.exe
O16 - 安全 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Flash播放器) - [url]http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab[/url]
O18 - 安全 - Protocol: OFFICE 相关 - {807553E5-5146-11D5-A672-00B0D022E945} - C:\Program Files\Common Files\Microsoft Shared\OFFICE11\MSOXMLMF.DLL
O18 - 安全 - Protocol: OFFICE 相关 - {32505114-5902-49B2-880A-1F7738E5A384} - C:\PROGRA~1\COMMON~1\MICROS~1\WEBCOM~1\11\OWC11.DLL
O23 - 安全 - Service: MSSQLServerADHelper [Mssqlserveradhelper 服务。] - C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqladhlp.exe - (not running)
O23 - 安全 - Service: NVSvc [是NVIDIA显示卡相关程序。] - C:\WINDOWS\system32\nvsvc32.exe - (running)
O23 - 安全 - Service: SoundMAX Agent Service (default) [是Analog SoundMAX声卡产品相关程序。] - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe - (running)
=======================================
O31 - 未知 - SEApproved: {42071714-76d4-11d1-8b24-00a0c9068ff3} - deskpan.dll - - - - 0 -
O31 - 未知 - SEApproved: 无效的CLSID：Shell extensions for file compression - - - - - 0 -
O31 - 未知 - SEApproved: 无效的CLSID：加密上下文菜单 - - - - - 0 -
O31 - 未知 - SEApproved: {0DF44EAA-FF21-4412-828E-260A8728E7F1} - - - - - 0 -
O31 - 未知 - SEApproved: {00E7B358-F65B-4dcf-83DF-CD026B94BFD4} - - - - - 0 -
O31 - 未知 - SEApproved: {7A9D77BD-5403-11d2-8785-2E0420524153} - - - - - 0 -
O31 - 未知 - SEApproved: {A70C977A-BF00-412C-90B7-034C51DA2439} - C:\WINDOWS\system32\nvcpl.dll - NVIDIA Corporation - NVIDIA Display Properties Extension - 6.14.10.9381 - 7700480 -
O31 - 未知 - SEApproved: {1D2680C9-0E2A-469d-B787-065558BC7D43} - C:\WINDOWS\system32\mscoree.dll - Microsoft Corporation - Microsoft .NET Runtime Execution Engine - 1.1.4322.573 - 155648 - 4c702aea1c11d15c176c2c276d0907dd
O31 - 未知 - SEApproved: 无效的CLSID：Shell Extensions for RealOne Player - - - - - 0 -
O31 - 未知 - SEApproved: {B41DB860-8EE4-11D2-9906-E49FADC173CA} - C:\Program Files\WinRAR\rarext.dll - - - - 127488 - 3efb7b9ca082e4f82b9190764910ba79
O31 - 未知 - SEApproved: {FFB699E0-306A-11d3-8BD1-00104B6F7516} - C:\WINDOWS\system32\nvcpl.dll - NVIDIA Corporation - NVIDIA Display Properties Extension - 6.14.10.9381 - 7700480 -
O31 - 未知 - SEApproved: {1CDB2949-8F65-4355-8456-263E7C208A5D} - C:\WINDOWS\system32\nvshell.dll - - - 6.14.10.11061 - 466944 - 047871c6d5fa21dd7c2b28f99dd0d265
O31 - 未知 - SEApproved: {1E9B04FB-F9E5-4718-997B-B8DA88302A47} - C:\WINDOWS\system32\nvshell.dll - - - 6.14.10.11061 - 466944 - 047871c6d5fa21dd7c2b28f99dd0d265
O31 - 未知 - SEApproved: {1E9B04FB-F9E5-4718-997B-B8DA88302A48} - C:\WINDOWS\system32\nvshell.dll - - - 6.14.10.11061 - 466944 - 047871c6d5fa21dd7c2b28f99dd0d265
O31 - 未知 - Directory Menu: {B41DB860-8EE4-11D2-9906-E49FADC173CA} - C:\Program Files\WinRAR\rarext.dll - - - - 127488 - 3efb7b9ca082e4f82b9190764910ba79
O31 - 未知 - LSA: Security Packages - sv1_0.dll - - - - 0 -
O31 - 未知 - LSA: Security Packages - channel.dll - - - - 0 -
=======================================
O40 - winlogon.exe - SoundMAX - C:\WINDOWS\system32\SYNCOR11.DLL - SynthCore R2.0 Midi Interface Driver - bd9b4450d00d4ac891407b8c0e08de9c
O40 - services.exe - SoundMAX - C:\WINDOWS\system32\SYNCOR11.DLL - SynthCore R2.0 Midi Interface Driver - bd9b4450d00d4ac891407b8c0e08de9c
O40 - lsass.exe - SoundMAX - C:\WINDOWS\system32\SYNCOR11.DLL - SynthCore R2.0 Midi Interface Driver - bd9b4450d00d4ac891407b8c0e08de9c
O40 - svchost.exe - SoundMAX - C:\WINDOWS\system32\SYNCOR11.DLL - SynthCore R2.0 Midi Interface Driver - bd9b4450d00d4ac891407b8c0e08de9c
O40 - svchost.exe - SoundMAX - C:\WINDOWS\system32\SYNCOR11.DLL - SynthCore R2.0 Midi Interface Driver - bd9b4450d00d4ac891407b8c0e08de9c
O40 - svchost.exe - - C:\WINDOWS\system32\EBSPI.dll - - e691e8bea8db53ab358bce6c89426cad
O40 - svchost.exe - SoundMAX - C:\WINDOWS\System32\SYNCOR11.DLL - SynthCore R2.0 Midi Interface Driver - bd9b4450d00d4ac891407b8c0e08de9c
O40 - svchost.exe - - C:\WINDOWS\system32\EBSPI.dll - - e691e8bea8db53ab358bce6c89426cad
O40 - svchost.exe - SoundMAX - C:\WINDOWS\system32\SYNCOR11.DLL - SynthCore R2.0 Midi Interface Driver - bd9b4450d00d4ac891407b8c0e08de9c
O40 - svchost.exe - SoundMAX - C:\WINDOWS\system32\SYNCOR11.DLL - SynthCore R2.0 Midi Interface Driver - bd9b4450d00d4ac891407b8c0e08de9c
O40 - Explorer.EXE - SoundMAX - C:\WINDOWS\system32\SYNCOR11.DLL - SynthCore R2.0 Midi Interface Driver - bd9b4450d00d4ac891407b8c0e08de9c
O40 - Explorer.EXE - - C:\Program Files\Thunder Network\Thunder\Components\ResWorker\DsBho_00.dll - DsBho - a8a1d3987f9a1f6db04749b57c6e5c82
O40 - Explorer.EXE - Thunder Networking Technologies,LTD - C:\Program Files\Thunder Network\Thunder\Components\ResWorker\DataProcessor_00.dll - DataProcessor - 972282b3a6cd05c2d73882ba2e43433a
O40 - Explorer.EXE - NVIDIA Corporation - C:\WINDOWS\system32\nvcpl.dll - NVIDIA Display Properties Extension -
O40 - Explorer.EXE - NVIDIA Corporation - C:\WINDOWS\system32\nvapi.dll - NVIDIA NVAPI Library, Version 93.81 - 276a2b83dd62ae514f6775944ee69f74
O40 - Explorer.EXE - - C:\WINDOWS\system32\nvshell.dll - - 047871c6d5fa21dd7c2b28f99dd0d265
O40 - svchost.exe - SoundMAX - C:\WINDOWS\system32\SYNCOR11.DLL - SynthCore R2.0 Midi Interface Driver - bd9b4450d00d4ac891407b8c0e08de9c
=======================================
O41 - pfc - Padus(R) ASPI Shell - C:\WINDOWS\system32\drivers\pfc.sys - (running) - Padus(R) ASPI Shell - Padus, Inc. - 957b82ec80ad7ead64e5e47df6b0dc40
O41 - yukonx86 - NDIS5.1 Miniport Driver for Marvell Yukon Gigabit Ethernet Adapter - C:\WINDOWS\system32\drivers\yukonx86.sys - (running) - NDIS5.1 Miniport Driver for Marvell Yukon Gigabit Ethernet Adapter - Marvell Semiconductor Inc. - 26ba6284869bebc19990fc0c1df7b9a7
O41 - ZSMC301b - Video streaming and Capture Device Driver - C:\WINDOWS\system32\drivers\usbVM31b.sys - (running) - Video streaming and Capture Device Driver - VM - 617c6711ea9049f39043cab2886418bf
=======================================
360Safe.exe=4.0.3.1009
AntiAdwa.dll=4.0.3.1009
AntiEng.dll=4.0.3.1009
AntiActi.dll=2.0.0.3000
CleanHis.dll=4.0.0.1001
live.dll=1.0.1.1025
在360求助地址：
[url]http://bbs.360safe.com/viewthread.php?tid=471780&extra=page%3D1[/url]
此后在360的软件发布区中找到卖咖啡2008的。能用到2014年。尝试着下载了。并且开始杀毒。
下载地址：[url]http://www.jvqq.net.cn/n8226c993.html[/url]
当我回到家的时候查杀了14个病毒。嘿嘿。
老貓 2008-7-30 05:14
学习后。。
发现我家多了3个。。。杀杀:|:50 :|:50
