endurer
endurer

遭遇Cli5.exe,DNFchin.exe,362.VBS,,svhot.exe,userdata.dll,oshajf.sys等

　　昨天，一位朋友的电脑重装系统没几天就出了问题：正常模式进入桌面后就卡住了，鼠标指针一直为漏斗状，无法操作。请我帮忙检修。
　　朋友电脑桌面上有金山毒霸2012的图标，但任务栏托盘区没有金山毒霸监控程序的图标。按 Ctrl+Alt+Del打开任务管理器，发现一些奇怪的进程。估计是中了恶意程序。
　　重启电脑到带网络连接的安全模式下，用pe_xscan扫描log并分析，发现如下可疑项：
 

pe_xscan 11-03-17 by Purple Endurer

2012-2-23 10:44:50

Windows XP Service Pack 3(5.1.2600)

MSIE:6.0.2900.5512

管理员用户组

带网络连接的安全模式

[System Process]*0

　　 C:\WINDOWS\system32\WHHFD008.OCX|2012-2-21 16:8:6|||Chinese (PRC)|Copyright(C) 2002|1, 0, 0, 1||||

C:\WINDOWS\system32\winlogon.exe*628|2008-4-24 0:14:3|Microsoft(R) Windows(R) Operating System|5.1.2600.5512|Windows NT Logon Application|(C) Microsoft Corporation. All rights reserved.|5.1.2600.5512 (xpsp.080413-2113)|Microsoft Corporation|?|winlogon|WINLOGON.EXE

　　 C:\WINDOWS\system32\WHHFD008.OCX|2012-2-21 16:8:6|||Chinese (PRC)|Copyright(C) 2002|1, 0, 0, 1||||

C:\WINDOWS\system32\svchost.exe*948|2008-4-14 20:0:0|Microsoft? Windows? Operating System|5.1.2600.5512|Generic Host Process for Win32 Services|? Microsoft Corporation. All rights reserved.|5.1.2600.5512 (xpsp.080413-2111)|Microsoft Corporation|?|svchost.exe|svchost.exe

　　 C:\Program Files\Common Files\001194EAce.dll|1658-2-24 3:26:51

C:\WINDOWS\system32\svchost.exe*1096|2008-4-14 20:0:0|Microsoft? Windows? Operating System|5.1.2600.5512|Generic Host Process for Win32 Services|? Microsoft Corporation. All rights reserved.|5.1.2600.5512 (xpsp.080413-2111)|Microsoft Corporation|?|svchost.exe|svchost.exe

　　 c:\progra~1\%program files%\wdcp.dll|2012-2-21 16:19:42|QQ2010|1, 55, 1870, 1|QQ2010|Copyright ? 2010 Tencent. All Rights Reserved|1, 55, 1870, 1|Tencent||QQ2010|QQ2010

　　 C:\Program Files\Common Files\001194EAce.dll|1658-2-24 3:26:51

C:\WINDOWS\system32\svchost.exe*1128|2008-4-14 20:0:0|Microsoft? Windows? Operating System|5.1.2600.5512|Generic Host Process for Win32 Services|? Microsoft Corporation. All rights reserved.|5.1.2600.5512 (xpsp.080413-2111)|Microsoft Corporation|?|svchost.exe|svchost.exe

　　 C:\Program Files\Common Files\001194EAce.dll|1658-2-24 3:26:51

C:\WINDOWS\system32\userinit.exe*1488|2008-4-14 20:0:0

　　 C:\Program Files\Common Files\001194EAce.dll|1658-2-24 3:26:51

 C:\DOCUME~1\Cli5.exe*1496|2012-2-21 16:46:52|EngineClicker|1.00|?|?|1.00|微软中国|?|EngineClicker4|EngineClicker4.exe

　　 C:\WINDOWS\system32\WHHFD008.OCX|2012-2-21 16:8:6|||Chinese (PRC)|Copyright(C) 2002|1, 0, 0, 1||||

　　 C:\Program Files\Common Files\001194EAce.dll|1658-2-24 3:26:51

C:\WINDOWS\explorer.exe*1520|2008-4-14 20:0:0|Microsoft(R) Windows(R) Operating System|6.00.2900.5512|Windows Explorer|(C) Microsoft Corporation. All rights reserved.|6.00.2900.5512 (xpsp.080413-2105)|Microsoft Corporation|?|explorer|EXPLORER.EXE

　　 C:\WINDOWS\system32\WHHFD008.OCX|2012-2-21 16:8:6|||Chinese (PRC)|Copyright(C) 2002|1, 0, 0, 1||||

　　 C:\Program Files\Common Files\whh37001.ocx|2012-2-21 16:8:6

　　 C:\WINDOWS\system32\yumsimg32.dll|2012-2-21 16:9:29|Microsoft? Windows? Operating System|5.1.2600.5512|GDIEXT Client DLL|? Microsoft Corporation. All rights reserved.|5.1.2600.5512 (xpsp.080413-2105)|Microsoft Corporation|?|gdiext|gdiext

　　 C:\WINDOWS\system32\sysapp1.dll|2012-2-21 16:11:54

　　 C:\WINDOWS\system32\sysapp2.dll|2012-2-21 16:9:46

　　 C:\WINDOWS\system32\sysapp5.dll|2012-2-21 16:12:46

　　 C:\WINDOWS\system32\sysapp6.dll|2012-2-21 16:11:48

　　 C:\WINDOWS\system32\sysapp8.dll|2012-2-21 16:9:30

　　 C:\WINDOWS\system32\sysapp9.dll|2012-2-21 16:12:1

　　 C:\WINDOWS\system32\sysapp17.dll|2012-2-21 16:12:15

　　 C:\WINDOWS\system32\sysapp18.dll|2012-2-21 16:12:7

　　 C:\WINDOWS\system32\sysapp19.dll|2012-2-21 16:10:35

　　 C:\WINDOWS\system32\sysapp21.dll|2012-2-21 16:12:21

　　 C:\WINDOWS\system32\sysapp23.dll|2012-2-21 16:10:1

　　 C:\WINDOWS\system32\sysapp29.dll|2012-2-21 16:11:28

　　 C:\WINDOWS\system32\sysapp33.dll|2012-2-21 16:11:42

 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\pbhmcv.exe*1980|2012-2-23 10:37:35|DHTMLProject|1.00|?|?|1.00|微软中国|?|1003|1003.exe

　　 C:\WINDOWS\system32\WHHFD008.OCX|2012-2-21 16:8:6|||Chinese (PRC)|Copyright(C) 2002|1, 0, 0, 1||||

　　 C:\Program Files\Common Files\001194EAce.dll|1658-2-24 3:26:51

F2 - REG: system.ini: UserInit = <C:\WINDOWS\system32\userinit.exe C:\DOCUME~1\Cli5.exe> |2008-4-14 20:0:0

F3 - REG: win.ini: load C:\WINDOWS\DNFchin.exe

O4 - HKCU\..\run: [LockIE] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\ie.exe /r

O4 - HKLM\..\run: [OpwareSE4]  C:\Program Files\ScanSoft\OmniPageSE4.0\OpwareSE4.exe"

O4 - HKLM\..\run: [] file c:\windows\362.VBS

O4 - HKLM\..\run: [pp_click] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1544937.exe

O4 - HKLM\..\run: [ie] c:\windows\svhot.exe

O4 - HKLM\..\run: [cftmon] C:\Program Files\iexplores\iexplore.exe

O4 - HKLM\..\run: [Lll] %systemroot%\Lll.exe

O4 - Global Startup: 齐秀社区.lnk -> C:\Program Files\qixiu\Qixiu001.exe

 O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel 存在 IE或Internet选项可能受到限制

O10 - LSP: Phoenix11LSP1020211c over MSAFD Tcpip [TCP/IP] = C:\Program Files\Common Files\001194EAce.dll|1658-2-24 3:26:51

O10 - LSP: Phoenix11LSP1020211c over MSAFD Tcpip [UDP/IP] = C:\Program Files\Common Files\001194EAce.dll|1658-2-24 3:26:51

O10 - LSP: Phoenix11LSP1020211c over MSAFD Tcpip [RAW/IP] = C:\Program Files\Common Files\001194EAce.dll|1658-2-24 3:26:51

O10 - LSP: Phoenix11LSP1020211c = C:\Program Files\Common Files\001194EAce.dll|1658-2-24 3:26:51

O23 - 服务: 6to4 (VMserviceshi) - C:\WINDOWS\sYSTEM32\SVCHOST.EXE -K NETSVCS|2008-4-14 20:0:0|Microsoft? Windows? Operating System|5.1.2600.5512|Generic Host Process for Win32 Services|? Microsoft Corporation. All rights reserved.|5.1.2600.5512 (xpsp.080413-2111)|Microsoft Corporation|?|svchost.exe|svchost.exe

　　-> C:\Documents and Settings\Local User\userdata.dll|2005-4-19 16:14:0(自动)

O23 - 服务: AppMgmt (Application Management) - C:\WINDOWS\system32\svchost.exe -k netsvcs|2008-4-14 20:0:0|Microsoft? Windows? Operating System|5.1.2600.5512|Generic Host Process for Win32 Services|? Microsoft Corporation. All rights reserved.|5.1.2600.5512 (xpsp.080413-2111)|Microsoft Corporation|?|svchost.exe|svchost.exe

　　-> C:\Progra~1\%Program Files%\Wdcp.dll|2012-2-21 16:19:42|QQ2010|1, 55, 1870, 1|QQ2010|Copyright ? 2010 Tencent. All Rights Reserved|1, 55, 1870, 1|Tencent||QQ2010|QQ2010(自动)

O23 - 服务: gmsgqn () - C:\Documents and Settings\All Users\Application Data\QEILCRW\gmsgqn.bin|2012-2-21 16:14:36(自动)

O23 - 服务: HidServ (Human Interface Device Access) - C:\WINDOWS\System32\svchost.exe -k netsvcs|2008-4-14 20:0:0|Microsoft? Windows? Operating System|5.1.2600.5512|Generic Host Process for Win32 Services|? Microsoft Corporation. All rights reserved.|5.1.2600.5512 (xpsp.080413-2111)|Microsoft Corporation|?|svchost.exe|svchost.exe

　　-> C:\Documents and Settings\All Users\Application Data\Storm\update\%SESSIONNAME%\feguf.cc3|2012-2-21 16:13:15(自动)

O23 - 服务: jolrdk () - C:\Documents and Settings\All Users\Application Data\QEILCRW\jolrdk.bin(自动)

O23 - 服务: oshajf () - C:\WINDOWS\system32\drivers\oshajf.sys|2012-2-21 16:14:0(自动)

O23 - 服务: rsrqgp () - C:\Documents and Settings\All Users\Application Data\VHQXVVM\rsrqgp.bin(自动)

O23 - 服务: pwimuj () - C:\Documents and Settings\All Users\Application Data\VHQXVVM\pwimuj.bin|2012-2-21 16:47:48(自动)

O23 - 服务: SoftDaemo (SoftDaemo) - C:\WINDOWS\system32\drivers\SoftDaemo.sys|2012-2-23 10:37:26(手动)

O23 - 服务: 系统关键服务 (System Service) - C:\Program Files\smss.exe|2012-2-21 16:7:18|NAdminAPI Module|1, 0, 2, 21|NAdminAPI Module|(c) NHN Corporation. All rights reserved.|1, 0, 2, 21|NHN Corp.|?|NAdminAPI|NAdminAPI.exe(自动)

O25 - InsCom: {AENGFU3AA-B552-11d2-9CBD-0000F87A369E} = C:\WINDOWS\Tyuip\lsasp.exe

O25 - InsCom: {AENGFU3AA-B933-11d2-9CBD-0000F87A369E} = C:\WINDOWS\Qedie\conime.exe

O29 - HKCU-Start Page = hxxp://www.daohangbai.com

O29 - HKUS-Start Page = hxxp://www.114la.com/index.htm

O30 - OpenHttp =  C:\Program Files\Internet Explorer\iexplore.exe" hxxp://www.9966dh.com/?1(CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command) C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch

　　启动 Internet Explorer 浏览器.lnk -> C:\Program Files\Internet Explorer\IEXPLORE.EXE hxxp://www.2345.com/?9011

　　 酷屏.lnk-> 非lnk文件

 C:\Documents and Settings\All Users\「开始」菜单\程序\启动

　　齐秀社区.lnk -> C:\Program Files\qixiu\Qixiu001.exe

 C:\Documents and Settings\Default User\Application Data\Microsoft\Internet Explorer\Quick Launch

　　启动 Internet Explorer 浏览器.lnk -> C:\Program Files\Internet Explorer\IEXPLORE.EXE hxxp://www.2345.com/?9011

 

 
　　有些恶意程序在安全模式下也启动了。
　　本来想下载Dr.Web CureIt! 来查杀的，但刚打开下载页面就卡住了！估计是O10组的恶意程序在做怪！
　　双于桌面上的金山毒霸查图标，打开金山毒霸查杀病毒，看看毒霸的查杀效果：
 
病毒查杀日志 如下:
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\WHHFD008.OCX Win32.Troj.FakeIME.d.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Program Files\Common Files\001194EAce.dll Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Program Files\Common Files\001194EAce.dll Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Program Files\Common Files\001194EAce.dll Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\WHHFD008.OCX Win32.Troj.FakeIME.d.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:c:\progra~1\%program files%\wdcp.dll Win32.Troj.DeepScan.b.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Program Files\Common Files\whh37001.ocx Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp1.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp2.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp5.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp6.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp8.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp9.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp17.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp18.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp19.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp21.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp23.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp29.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp33.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\WHHFD008.OCX Win32.Troj.FakeIME.d.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\WHHFD008.OCX Win32.Troj.FakeIME.d.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Program Files\Internet Explorer\MSIMG32.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Program Files\Common Files\001194EAce.dll Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\WHHFD008.OCX Win32.Troj.FakeIME.d.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\WHHFD008.OCX Win32.Troj.FakeIME.d.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp1.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp2.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp5.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp6.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp8.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp9.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp17.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp18.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp19.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp21.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp23.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp29.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\sysapp33.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\WHHFD008.OCX Win32.Troj.FakeIME.d.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Program Files\Common Files\001194EAce.dll Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Program Files\Internet Explorer\MSIMG32.dll Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Program Files\Common Files\001194EAce.dll Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Program Files\Common Files\001194EAce.dll Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Documents and Settings\Administrator\桌面\FileInfo.exe Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Progra~1\%Program Files%\Wdcp.dll Win32.Troj.DeepScan.b.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Progra~1\%Program Files%\Wdcp.dll Win32.Troj.DeepScan.b.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\Tyuip\lsasp.exe Win32.TrojDownloader.Agent.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\Qedie\conime.exe Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Documents and Settings\All Users\Application Data\QEILCRW\gmsgqn.bin Win32.Troj.Generic.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Documents and Settings\All Users\Application Data\Storm\update\%SESSIONNAME%\feguf.cc3 Win32.Hack.Unknown.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Documents and Settings\All Users\Application Data\Storm\update\%SESSIONNAME%\feguf.cc3 Win32.Hack.Unknown.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\Drivers\HTTP.sys Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Documents and Settings\All Users\Application Data\QEILCRW\gmsgqn.bin Win32.Troj.Generic.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\drivers\SoftDaemo.sys Win32.Troj.KillAV.nk.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\WHHFD008.OCX Win32.Troj.FakeIME.d.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\drivers\http.sys Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:c:\documents and settings\administrator\桌面\FileInfo.exe Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\drivers\oshajf.sys.del Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\drivers\SoftDaemo.sys Win32.Troj.KillAV.nk.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Program Files\Common Files\001194EAce.dll Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Program Files\Common Files\001194EAce.dll Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Program Files\Common Files\001194EAce.dll Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\Program Files\Common Files\001194EAce.dll Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\userinit.exe Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\arp.exe Win32.Hack.Delf.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\asipi.dll Win32.Troj.Generic.c.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\drivers\dv.dll Win32.TrojDownloader.VB.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:D:\daili.exe Win32.Troj.Agent.xb.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:D:\svchost.exe Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\drivers\Setup1.exe Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\drivers\Setupa.exe Win32.Troj.Undef.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\drivers\Setupb.exe Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\drivers\Setupc.exe Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\drivers\smsoft.exe Win32.Malware.Heur_Generic.A.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:C:\WINDOWS\system32\drivers\svchost.exe Win32.TrojDownloader.VB.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 病毒木马:c:\windows\system32\360ST.exe Win32.Troj.VB.(kcloud) 清除
[2012-02-23 11:50:58] 手动杀毒 C:\WINDOWS\DNFchin.exe 类型:启动项残留 安全级别:可疑  处理方式:清除
[2012-02-23 11:50:58] 手动杀毒 IE主页设置选项存在异常 类型:系统异常项 安全级别:风险  处理方式:修复
[2012-02-23 11:50:58] 手动杀毒 IE默认首页设置存在异常 类型:系统异常项 安全级别:风险  处理方式:修复
[2012-02-23 11:50:58] 手动杀毒 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\ie.exe /r 类型:启动项残留 安全级别:可疑  处理方式:清除
[2012-02-23 11:50:58] 手动杀毒 g:\chenhu\chenznwb.exe ch 类型:启动项残留 安全级别:可疑  处理方式:清除
[2012-02-23 11:50:58] 手动杀毒 file:c:\windows\362.VBS 类型:启动项残留 安全级别:可疑  处理方式:清除
[2012-02-23 11:50:58] 手动杀毒 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\1544937.exe 类型:启动项残留 安全级别:可疑  处理方式:清除
[2012-02-23 11:50:58] 手动杀毒 c:\windows\svhot.exe 类型:启动项残留 安全级别:可疑  处理方式:清除
[2012-02-23 11:50:58] 手动杀毒 C:\Program Files\iexplores\iexplore.exe 类型:启动项残留 安全级别:可疑  处理方式:清除
[2012-02-23 11:50:58] 手动杀毒 %systemroot%\Lll.exe 类型:启动项残留 安全级别:可疑  处理方式:清除
[2012-02-23 11:50:58] 手动杀毒 IE功能设置被禁用 类型:系统异常项 安全级别:异常  处理方式:修复
[2012-02-23 11:50:58] 手动杀毒 注册表中userinit键值存在异常 类型:系统异常项 安全级别:危险  处理方式:修复
[2012-02-23 11:50:58] 手动杀毒 注册表Shell键值存在异常 类型:系统异常项 安全级别:危险  处理方式:修复
[2012-02-23 11:50:58] 手动杀毒 部分系统服务对应注册表键值和文件异常问题 类型:系统异常项 安全级别:危险  处理方式:修复
[2012-02-23 11:50:58] 手动杀毒 部分系统服务对应文件异常 类型:系统异常项 安全级别:风险  处理方式:修复
[2012-02-23 11:50:58] 手动杀毒 系统常规文件存在异常 类型:系统异常项 安全级别:危险  处理方式:修复
[2012-02-23 11:50:58] 手动杀毒 可疑的启动项 类型:系统异常项 安全级别:危险  处理方式:修复
[2012-02-23 11:50:58] 手动杀毒 系统常用文件存在异常 类型:系统异常项 安全级别:危险  处理方式:修复
[2012-02-23 11:50:58] 手动杀毒 感染型病毒及驻留系统中的病毒残留 类型:系统异常项 安全级别:危险  处理方式:修复
[2012-02-23 11:50:58] 手动杀毒 C:\Program Files\AMD\Dual-Core Optimizer\amd_dc_opt.exe 类型:可疑启动项 安全级别:未知  处理方式:禁用
[2012-02-23 11:50:58] 手动杀毒 C:\Program Files\Canon\MF Toolbox Ver4.9\MfTBox.exe 类型:可疑启动项 安全级别:未知  处理方式:禁用
[2012-02-23 11:50:58] 手动杀毒 C:\Program Files\Common Files\Microsoft Shared\OFFICE11\MSOXMLED.EXE 类型:可疑启动项 安全级别:未知  处理方式:禁用
[2012-02-23 11:50:58] 手动杀毒 C:\Program Files\Common Files\Microsoft Shared\Source Engine\OSE.EXE 类型:可疑启动项 安全级别:未知  处理方式:禁用
[2012-02-23 11:50:58] 手动杀毒 C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE 类型:可疑启动项 安全级别:未知  处理方式:禁用
[2012-02-23 11:50:58] 手动杀毒 C:\Program Files\Common Files\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe 类型:可疑启动项 安全级别:未知  处理方式:禁用
[2012-02-23 11:50:58] 手动杀毒 C:\Program Files\Microsoft Office\OFFICE11\EXCEL.EXE 类型:可疑启动项 安全级别:未知  处理方式:禁用
[2012-02-23 11:50:58] 手动杀毒 C:\Program Files\Microsoft Office\OFFICE11\EXCEL.EXE 类型:可疑启动项 安全级别:未知  处理方式:禁用
[2012-02-23 11:50:58] 手动杀毒 C:\Program Files\Microsoft Office\OFFICE11\EXCEL.EXE 类型:可疑启动项 安全级别:未知  处理方式:禁用
[2012-02-23 11:50:58] 手动杀毒 C:\Program Files\Microsoft Office\OFFICE11\EXCEL.EXE 类型:可疑启动项 安全级别:未知  处理方式:禁用
[2012-02-23 11:50:58] 手动杀毒 C:\Program Files\Microsoft Office\OFFICE11\EXCEL.EXE 类型:可疑启动项 安全级别:未知  处理方式:禁用
[2012-02-23 11:50:58] 手动杀毒 C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE 类型:可疑启动项 安全级别:未知  处理方式:禁用
 
　　由于userinit.exe被病毒替换了，需要补上一正常的，另外O10项也比较特殊，不修复的话会打不开网页，于是在查杀过程中又下载金山卫士来检修。
 
　　毒霸查杀结束后，按提示重启电脑。
 
　　系统进入登录界面后反复登录、注销，典型的userinit.exe文件丢失后的症状。
 
　　用win pe光盘启动，用U盘从其它电脑中复制了userinit.exe到c:\windows\system32文件夹里。再次重启电脑。
 
　　这次顺利进入桌面，毒霸和卫士的监控图标都进驻系统托盘，金山卫士随即提示发现100多个漏洞需要打补丁……
 
附　部分恶意文件信息：
 

文件说明符 : C:\DOCUME~1\Cli5.exe
属性 : A---
数字签名:否
PE文件:是
语言 : 中文(中国)
文件版本 : 1.00
产品版本 : 1.00
产品名称 : EngineClicker
公司名称 : 微软中国
内部名称 : EngineClicker4
源文件名 : EngineClicker4.exe
创建时间 : 2012-2-21 16:46:49
修改时间 : 2012-2-21 16:46:52
大小 : 106569 字节 104.73 KB
MD5 : 7e4cd025b1b27f184a48048b9858892a
SHA1: 4D90F828F6D2D85DE0A510A69F3F924FD3F963E6
CRC32: de1c372e


文件说明符 : C:\WINDOWS\DNFchin.exe
属性 : A---
数字签名:否
PE文件:是
语言 : 中文(中国)
文件版本 : 1.2.2.9
说明 : DNF Launcher
版权 : 作者版权所有 请尊重并使用正版
备注 : DNF
产品版本 : 1.2.2.9
产品名称 : DNFchina
创建时间 : 2012-2-21 16:9:56
修改时间 : 2012-2-21 16:10:2
大小 : 5312512 字节 5.68 MB
MD5 : 28efa93866c5c6e8c0a0f0fca29ae794
SHA1: AFDCB6125B1C563D585F7A366B2F0E67485DE372
CRC32: c8f5711d


文件说明符 : c:\windows\362.VBS
属性 : A---
数字签名:否
PE文件:否
创建时间 : 2012-2-21 16:19:40
修改时间 : 2012-2-21 16:19:40
大小 : 111 字节
MD5 : ebacecdbb8a4f62f0b1a3e1d03d0c146
SHA1: 8A2D0840BB07070B8C04F440C47DD2285FB6BBD7
CRC32: 36e98201


文件说明符 : c:\windows\svhot.exe
属性 : A---
数字签名:否
PE文件:是
语言 : 中文(中国)
文件版本 : 1.00
产品版本 : 1.00
产品名称 : DHTMLProject
公司名称 : 微软中国
内部名称 : 1003
源文件名 : 1003.exe
创建时间 : 2012-2-21 16:14:5
修改时间 : 2012-2-21 16:14:5
大小 : 65536 字节 64.0 KB
MD5 : 3d8020fc70afec5fb479377c221f86dc
SHA1: 2EC8C288EE9290145F88C68334142520F3BAFB2E
CRC32: 8b2944db


文件说明符 : C:\Program Files\iexplores\iexplore.exe
属性 : A---
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2012-2-21 16:46:49
修改时间 : 2012-2-3 14:40:58
大小 : 146944 字节 143.512 KB
MD5 : b1ea74eaa518d6840ae93734f9b53e88
SHA1: DDD3E47A7DC64BA2BFDAF9952216E3814F6C2693
CRC32: d672c138


文件说明符 : C:\Documents and Settings\Local User\userdata.dll
属性 : -SHR
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2005-4-19 16:14:0
修改时间 : 2005-4-19 16:14:0
大小 : 103478 字节 101.54 KB
MD5 : c4a85d47e066767fa8a04dbfd0952c35
SHA1: E8292D673DF557F8880DE068904A4112E1B0857D
CRC32: 36fa7317


文件说明符 : C:\WINDOWS\system32\drivers\oshajf.sys
属性 : A---
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2012-2-21 16:14:0
修改时间 : 2008-4-14 20:0:0
大小 : 28976 字节 28.304 KB
MD5 : a22f2586ae56554598862c2004f2a4da
SHA1: BF41179BED54DA5167EB6E2B37710B60054DEA03
CRC32: 39ed9ea1


文件说明符 : C:\Documents and Settings\All Users\Application Data\VHQXVVM\pwimuj.bin
属性 : A---
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2012-2-21 16:47:48
修改时间 : 2008-4-14 20:0:0
大小 : 29440 字节 28.768 KB
MD5 : 639c17ec244e166807e6d0a82b5767ed
SHA1: BCE836F00EB288EC2B7A4AFD8D0E8E1FB5B16D44
CRC32: 251d4e90


文件说明符 : C:\Program Files\smss.exe
属性 : A---
数字签名:否
PE文件:是
语言 : 英语(美国)
文件版本 : 1, 0, 2, 21
说明 : NAdminAPI Module
版权 : (c) NHN Corporation. All rights reserved.
产品版本 : 1, 0, 2, 21
产品名称 : NAdminAPI Module
公司名称 : NHN Corp.
内部名称 : NAdminAPI
源文件名 : NAdminAPI.exe
创建时间 : 2012-2-21 16:7:16
修改时间 : 2012-2-21 16:7:18
大小 : 16442880 字节 15.697 MB
MD5 : be29845d09682d686b00daa179876151
SHA1: 811BD583C729D3AF8D1F5D9632B97F28CC540C42
CRC32: 74407bb4

 

文件说明符 : c:\windows\system32\explore.exe
属性 : A---
数字签名:否
PE文件:是
语言 : 中文(中国)
文件版本 : 1, 0, 0, 1
说明 : tongji_ie_mfc Microsoft 基础类应用程序
版权 : 版权所有 (C) 2012
产品版本 : 1, 0, 0, 1
产品名称 : tongji_ie_mfc 应用程序
内部名称 : tongji_ie_mfc
源文件名 : tongji_ie_mfc.EXE
创建时间 : 2012-2-21 16:13:49
修改时间 : 2012-2-21 16:13:49
大小 : 7680 字节 7.512 KB
MD5 : 38c2364e92026113a0df8449fe012605
SHA1: 0B988059B908FE8443479586FAB4757694477913
CRC32: 53c63971


文件说明符 : d:\daili.exe
属性 : A---
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2012-2-21 16:12:12
修改时间 : 2012-2-21 16:12:17
大小 : 1859584 字节 1.792 MB
MD5 : 8cdc62230a77751b1fa8f18b3010ce6c
SHA1: BE24D8BCB2608A347042764CF8BD607651AE5A17
CRC32: 080ca542
 

文件说明符 : d:\daili.exe
属性 : A---
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2012-2-21 16:12:12
修改时间 : 2012-2-21 16:12:17
大小 : 1859584 字节 1.792 MB
MD5 : 8cdc62230a77751b1fa8f18b3010ce6c
SHA1: BE24D8BCB2608A347042764CF8BD607651AE5A17
CRC32: 080ca542


文件说明符 : D:\svchost.exe
属性 : A---
数字签名:否
PE文件:是
语言 : 中文(中国)
文件版本 : 2.14.16.34
说明 : 完整版
版权 : 作者版权所有 请尊重并使用正版
备注 : svchost
产品版本 : 2.14.16.34
产品名称 : misofot
创建时间 : 2012-2-21 16:9:39
修改时间 : 2012-2-21 16:48:46
大小 : 2601299 字节 2.492 MB
MD5 : bc37d9fae09e9a329ee48518f26d1518
SHA1: 727FF9A0CFFE8C235B6D388F4C1B6F22577FF5BB
CRC32: e914d888

 
 　　 BTW，金山毒霸隔离区里的文件时只能恢复到原始位置，不如瑞星可以恢复到指定位置好使。

你可能感兴趣的:(oshajf.sys,pe_xscan,Cli5.exe,362.VBS,DNFchin.exe)

  • 遭遇beep.sys/Backdoor.Win32.Agent,DOVA/Backdoor.Win32.Hupigon,myRAT.rmvb/Trojan.Win32.Delf等2 紫郢剑侠 系统维护
    遭遇beep.sys/Backdoor.Win32.Agent,DOVA/Backdoor.Win32.Hupigon,myRAT.rmvb/Trojan.Win32.Delf等2endurer原创2008-06-22第1版(继1)到http://purpleendurer.ys168.com下载FileInfo和bat_do。用FileInfo提取pe_xscan的log中红色标记的文件的信息；
  • IE主页被改为http://www.9348.cn?原来是QQ2009.exe,TXP1atform.exe,svchoct.exe,klan.sys等作怪2 紫郢剑侠
    （续：IE主页被改为hxxp://www.9348.cn?原来是QQ2009.exe,TXP1atform.exe,svchoct.exe,klan.sys等作怪1http://blog.csdn.net/Purpleendurer/archive/2009/06/13/4267188.aspx）endurer原创2009-06-18第1版从pe_xscan的log上看，最近病毒常用的攻击方法都用
  • 瑞星杀毒软件、奇虎360杀毒软件、360卫士、百度卫士联手，搞不定弹出广告 & 恶意广告图标... weixin_33997389
    一位网友说他的电脑近期出了问题：开机后桌面和任务栏上的高速启动栏会出现恶意图标。删除了下次开机又会出现；使用电脑过程中每分钟都会弹出广告。他为电脑安装了瑞星杀毒软件、奇虎360杀毒软件、360卫士、百度卫士。以及广告神盾，都不能解决这个问题。如今电脑开机时须要几分钟才干进入桌面。请求帮忙。这些恶意广告图标pe_xscan扫描log中的相关项目：hao123_网址导航_Internet.lnk->h
  • 瑞星杀毒软件、奇虎360杀毒软件、360卫士、百度卫士联手，搞不定弹出广告 & 恶意广告图标 紫郢剑侠 系统维护
    一位网友说他的电脑最近出了问题：开机后桌面和任务栏上的快速启动栏会出现恶意图标，删除了下次开机又会出现；使用电脑过程中每分钟都会弹出广告。他为电脑安装了瑞星杀毒软件、奇虎360杀毒软件、360卫士、百度卫士，以及广告神盾，都不能解决问题。现在电脑开机时需要几分钟才能进入桌面。请求帮忙。这些恶意广告图标pe_xscan扫描log中的相关项目：hao123_网址导航_Internet.lnk->htt
  • 360浏览器被7322.com劫持，IE浏览器被6781.com劫持 浏览器
    一位网友说他的电脑中的360浏览器被7322．com劫持，而IE浏览器则被6781．com劫持，桌面上的IE图标也无法删除。请偶帮忙解决。 　　通过QQ远程协助，右击网友电脑桌面上的IE图标，弹出的快捷菜单确实与正常的IE图标不同： 　　点击“属性”，打开的是Internet选项，其中的主页设置为：about:blank。 　　用 pe_xscan 扫描log并分析，发现如下可疑项：
  • 安装smartPPT，电脑显示系统桌面就卡住…… Purpleendurer windows故障桌面pe_xscansmartPPT
    一同事从网上下载安装了smartPPT。重启电脑，显示桌面后360提示cpu占用率接近100%，系统就卡住了。到安全模式下卸载了smartPPT，再正常启动，故障依旧。于是请我检修。在安全模式下用pe_xscan下扫描log并分析，发现有如下可疑项：pe_xscan11-03-17byPurpleEndurer2015-5-2215:48:47WindowsXPServicePack3(5.1.2
  • 瑞星杀毒软件、奇虎360杀毒软件、360卫士、百度卫士联手，搞不定弹出广告 & 恶意广告图标 Purpleendurer
    一位网友说他的电脑最近出了问题：开机后桌面和任务栏上的快速启动栏会出现恶意图标，删除了下次开机又会出现；使用电脑过程中每分钟都会弹出广告。他为电脑安装了瑞星杀毒软件、奇虎360杀毒软件、360卫士、百度卫士，以及广告神盾，都不能解决问题。现在电脑开机时需要几分钟才能进入桌面。请求帮忙。这些恶意广告图标pe_xscan扫描log中的相关项目： hao123_网址导航_Internet.lnk->ht
  • 金山毒霸喜新厌旧 推荐QQ电脑管家抛弃金山卫士？ endurer
    一位朋友的电脑重装系统后，浏览网页不太正常，请我帮忙检修一下。用pe_xscan扫描log并分析，发现如下可清理项：pe_xscan11-03-17byPurpleEndurer2012-5-1518:12:22WindowsXPServicePack3(5.1.2600)MSIE:6.0.2900.5512管理员用户组正常模式C:\WINDOWS\explorer.exe*1644 |     
  • 金山毒霸喜新厌旧 推荐QQ电脑管家抛弃金山卫士？ Purpleendurer c网络qqModuleNetWork金山
    一位朋友的电脑重装系统后，浏览网页不太正常，请我帮忙检修一下。用pe_xscan扫描log并分析，发现如下可清理项：pe_xscan11-03-17byPurpleEndurer2012-5-1518:12:22WindowsXPServicePack3(5.1.2600)MSIE:6.0.2900.5512管理员用户组正常模式C:\WINDOWS\explorer.exe*1644 |     
  • 金山毒霸喜新厌旧 推荐QQ电脑管家抛弃金山卫士？ mixer_a qq
    一位朋友的电脑重装系统后，浏览网页不太正常，请我帮忙检修一下。用pe_xscan扫描log并分析，发现如下可清理项：pe_xscan11-03-17byPurpleEndurer2012-5-1518:12:22WindowsXPServicePack3(5.1.2600)MSIE:6.0.2900.5512管理员用户组正常模式C:\WINDOWS\explorer.exe*1644|2008-4
  • 瑞星、360、金山卫士、BaiduPlayer、SOSO开聚会，电脑吃不消了 endurer IE360搜搜pe_xscan金山卫士
    一朋友电脑最近电脑响应速度非常慢，IE6一启动就出错退出，请偶帮忙检修。用pe_xscan扫描log并分析： pe_xscan11-02-14byPurpleEndurer2012-3-1521:16:24WindowsXPServicePack3(5.1.2600)MSIE:6.0.2900.5512管理员用户组正常模式C:\ProgramFiles\Tencent\SOSOUpdate.exe
  • 瑞星、360、金山卫士、BaiduPlayer、SOSO开聚会，电脑吃不消了 Purpleendurer cMicrosoft百度360金山2010
    一朋友电脑最近电脑响应速度非常慢，IE6一启动就出错退出，请偶帮忙检修。用pe_xscan扫描log并分析： pe_xscan11-02-14byPurpleEndurer2012-3-1521:16:24WindowsXPServicePack3(5.1.2600)MSIE:6.0.2900.5512管理员用户组正常模式C:\ProgramFiles\Tencent\SOSOUpdate.exe
  • 遭遇Cli5.exe,DNFchin.exe,362.VBS,,svhot.exe,userdata.dll,oshajf.sys等 endurer oshajf.syspe_xscanCli5.exe362.VBSDNFchin.exe
    昨天，一位朋友的电脑重装系统没几天就出了问题：正常模式进入桌面后就卡住了，鼠标指针一直为漏斗状，无法操作。请我帮忙检修。朋友电脑桌面上有金山毒霸2012的图标，但任务栏托盘区没有金山毒霸监控程序的图标。按Ctrl+Alt+Del打开任务管理器，发现一些奇怪的进程。估计是中了恶意程序。重启电脑到带网络连接的安全模式下，用pe_xscan扫描log并分析，发现如下可疑项： pe_xscan11-03-
  • 遭遇Cli5.exe,DNFchin.exe,362.VBS,svhot.exe,userdata.dll,oshajf.sys等 Purpleendurer cwindowsMicrosoftapplicationSysteminternet
    昨天，一位朋友的电脑重装系统没几天就出了问题：正常模式进入桌面后就卡住了，鼠标指针一直为漏斗状，无法操作。请我帮忙检修。朋友电脑桌面上有金山毒霸2012的图标，但任务栏托盘区没有金山毒霸监控程序的图标。按Ctrl+Alt+Del打开任务管理器，发现一些奇怪的进程。估计是中了恶意程序。重启电脑到带网络连接的安全模式下，用pe_xscan扫描log并分析，发现如下可疑项： pe_xscan11-03-
  • 关于顽固进程scclient.exe、scguardc.exe、sccltui.exe和系统服务scclient、scguardc endurer 进程联想电脑scclient.exescguardc.exesccltui.exe
    今天一位网友在用QQ电脑管家优化系统启动项时，发现两个奇怪的服务项： 右击选择“打开所在目录”，打开的却是c:\。禁用不了。打开任务管理器： 又发现scclient.exe、scguardc.exe、sccltui.exe三个陌生的进程，无法终止。在网上搜索信息，有说是恶意程序，于是请我帮忙处理。用pe_xscan扫描log，对应的项目如下： pe_xscan11-03-17byPurpleEnd
  • 关于顽固进程scclient.exe、scguardc.exe、sccltui.exe和系统服务scclient、scguardc Purpleendurer cwindowsMicrosoftSystem联想杀毒软件
    今天一位网友在用QQ电脑管家优化系统启动项时，发现两个奇怪的服务项：右击选择“打开所在目录”，打开的却是c:\。禁用不了。打开任务管理器：又发现scclient.exe、scguardc.exe、sccltui.exe三个陌生的进程，无法终止。在网上搜索信息，有说是恶意程序，于是请我帮忙处理。用pe_xscan扫描log，对应的项目如下： pe_xscan11-03-17byPurpleEndur
  • IE被www.537.com,www.COXDX.INFO劫持，修复~ endurer IEpe_xscan537.com浏览器劫持www.COXDX.INFO
    一位同事的电脑中IE一直使用265网址导航作首页，这天忽然变成hxxp://www.COXDX.INFO/?z012了，修改不回来，请我帮忙检修。打开Internet选项，手动修改首页为http://www.265.com/，但总不能生效。将该电脑中的360杀毒软件的实时监控禁用，下载安装金山卫士检修，没有检查出问题。使用pe_xscan扫描日志并分析，发现如下可疑项： pe_xscan11-03
  • IE被www.537.com,www.COXDX.INFO劫持，修复~ endurer IE浏览器劫持pe_xscan系统维护
    一位同事的电脑中IE一直使用265网址导航作首页，这天忽然变成hxxp://www.COXDX.INFO/?z012了，修改不回来，请我帮忙检修。打开Internet选项，手动修改首页为http://www.265.com/，但总不能生效。将该电脑中的360杀毒软件的实时监控禁用，下载安装金山卫士检修，没有检查出问题。使用pe_xscan扫描日志并分析，发现如下可疑项：pe_xscan11-03-
  • IE被www.537.com,www.COXDX.INFO劫持，修复~ Purpleendurer ModuleIEMicrosoftapplicationinternet金山
    一位同事的电脑中IE一直使用265网址导航作首页，这天忽然变成hxxp://www.COXDX.INFO/?z012了，修改不回来，请我帮忙检修。打开Internet选项，手动修改首页为http://www.265.com/，但总不能生效。将该电脑中的360杀毒软件的实时监控禁用，下载安装金山卫士检修，没有检查出问题。使用pe_xscan扫描日志并分析，发现如下可疑项： pe_xscan11-03
  • pe_xscan作了3点更新 Purpleendurer 任务
     1、增强了对pendfile项的分析，可以区分改名和移除 2、改进lnk文件的分析代码，准确报告目标及参数 3、增加对用户桌面、开始菜单、开始菜单程序组、任务栏快速启动栏的扫描
  • 遭遇scvhost.exe,qsetup.exe,dsound.dll,hnetcfg.dll,olepro32.dll等2 Purpleendurer c网络测试任务金山
    遭遇scvhost.exe,qsetup.exe,dsound.dll,hnetcfg.dll,olepro32.dll等2 （续1）昨天下载DrWebCureIt!来帮朋友的电脑查杀病毒，然后就去忙活了。今天朋友说昨天DrWebCureIt!查杀出了许多病毒，后来跳出一个提示框，他不知道怎么处理，就把电脑关了，今天开机故障依旧。进入带网络连接的安全模式继续检修，用pe_xscan扫描，log与昨
  • 遭遇scvhost.exe,qsetup.exe,dsound.dll,hnetcfg.dll,olepro32.dll等2 isiqi C++cwindowsC#金山
    遭遇scvhost.exe,qsetup.exe,dsound.dll,hnetcfg.dll,olepro32.dll等2（续1）昨天下载DrWebCureIt!来帮朋友的电脑查杀病毒，然后就去忙活了。今天朋友说昨天DrWebCureIt!查杀出了许多病毒，后来跳出一个提示框，他不知道怎么处理，就把电脑关了，今天开机故障依旧。进入带网络连接的安全模式继续检修，用pe_xscan扫描，log与昨天
  • 遭遇scvhost.exe,qsetup.exe,dsound.dll,hnetcfg.dll,olepro32.dll等2 endurer pe_xscanscvhost.exeqsetup.exedsound.dllhnetcfg.dll
    （续1）昨天下载DrWebCureIt!来帮朋友的电脑查杀病毒，然后就去忙活了。今天朋友说昨天DrWebCureIt!查杀出了许多病毒，后来跳出一个提示框，他不知道怎么处理，就把电脑关了，今天开机故障依旧。进入带网络连接的安全模式继续检修，用pe_xscan扫描，log与昨天相似，scvhost.exe又冒出来了，explorer.exe又跑到c:\windows\temp里了。估计与系统文件被感
  • 遭遇nat.exe,socks.exe,USP10.dll,BOSC.dll,kb080387.CNT,~ctwxw.txt等2 endurer pe_xscannat.exesocks.exeUSP10.dllBOSC.dll
    （续1）从pe_xscan的log上看，恶意程序不仅使用了与Windows系统文件相同的文件名（如C:\ProgramFiles\svchost.exe），这样运行时可以在任务管理器中迷惑用户，而且还替换了许多系统文件（log中以紫色标记，如C:\WINDOWS\system32\GDI32.dll），而使用映像劫持技术（IEFO）来阻止系统安全防护软件的运行，则不是什么新鲜的技术了。由于鬼影病毒
  • 遭遇nat.exe,socks.exe,USP10.dll,BOSC.dll,kb080387.CNT,~ctwxw.txt等1 endurer pe_xscannat.exeBOSC.dllsocks.exeUSP10.dll
    一位朋友在使用QQ时，一位网友传来文件“我的照片.rar”，这位朋友接收并打开后，电脑出现问题：无法打网页；桌面莫名其妙地出现了淘宝等图标，无法删除；莫名其妙地多出了115浏览器、IE守护者等软件；有名为nat.exe的命令提示符窗口一闪而过；金山卫士、QQ电脑管家无法打开；以安全模式启动会蓝屏……重启电脑故障依旧，请偶帮忙解决。从症状看，与之前遇到的鬼影病毒相似。用U盘将pe_xscan拷入电脑
  • pe_xscan作了3点更新 Purpleendurer 浏览器脚本
    1、增强对开/关机和用户登录/注销脚本的检查2、增加了一个新的浏览器劫持项的检测和报告3、改进了部分公用代码
  • 遭遇nat.exe,socks.exe,USP10.dll,BOSC.dll,kb080387.CNT,~ctwxw.txt等2 isiqi windowsWebIEGoogle金山
    （续1）从pe_xscan的log上看，恶意程序不仅使用了与Windows系统文件相同的文件名（如C:\ProgramFiles\svchost.exe），这样运行时可以在任务管理器中迷惑用户，而且还替换了许多系统文件（log中以紫色标记，如C:\WINDOWS\system32\GDI32.dll），而使用映像劫持技术（IEFO）来阻止系统安全防护软件的运行，则不是什么新鲜的技术了。由于鬼影病毒
  • 遭遇nat.exe,socks.exe,USP10.dll,BOSC.dll,kb080387.CNT,~ctwxw.txt等2 isiqi WebwindowsGoogleIE金山
    （续1）从pe_xscan的log上看，恶意程序不仅使用了与Windows系统文件相同的文件名（如C:\ProgramFiles\svchost.exe），这样运行时可以在任务管理器中迷惑用户，而且还替换了许多系统文件（log中以紫色标记，如C:\WINDOWS\system32\GDI32.dll），而使用映像劫持技术（IEFO）来阻止系统安全防护软件的运行，则不是什么新鲜的技术了。由于鬼影病毒
  • 遭遇nat.exe,socks.exe,USP10.dll,BOSC.dll,kb080387.CNT,~ctwxw.txt等2 isiqi WebwindowsIEGoogle金山
    （续1）从pe_xscan的log上看，恶意程序不仅使用了与Windows系统文件相同的文件名（如C:\ProgramFiles\svchost.exe），这样运行时可以在任务管理器中迷惑用户，而且还替换了许多系统文件（log中以紫色标记，如C:\WINDOWS\system32\GDI32.dll），而使用映像劫持技术（IEFO）来阻止系统安全防护软件的运行，则不是什么新鲜的技术了。由于鬼影病毒
  • 遭遇nat.exe,socks.exe,USP10.dll,BOSC.dll,kb080387.CNT,~ctwxw.txt等2 Purpleendurer windows浏览器Googleexe任务金山
    （续1）从pe_xscan的log上看，恶意程序不仅使用了与Windows系统文件相同的文件名（如C:/ProgramFiles/svchost.exe），这样运行时可以在任务管理器中迷惑用户，而且还替换了许多系统文件（log中以紫色标记，如C:/WINDOWS/system32/GDI32.dll），而使用映像劫持技术（IEFO）来阻止系统安全防护软件的运行，则不是什么新鲜的技术了。由于鬼影病毒
  • jquery实现的jsonp掉java后台 知了ing javajsonpjquery
    什么是JSONP？ 先说说JSONP是怎么产生的： 其实网上关于JSONP的讲解有很多，但却千篇一律，而且云里雾里，对于很多刚接触的人来讲理解起来有些困难，小可不才，试着用自己的方式来阐释一下这个问题，看看是否有帮助。 1、一个众所周知的问题，Ajax直接请求普通文件存在跨域无权限访问的问题，甭管你是静态页面、动态网页、web服务、WCF，只要是跨域请求，一律不准； 2、
  • Struts2学习笔记 caoyong struts2
    SSH : Spring + Struts2 + Hibernate 三层架构(表示层,业务逻辑层,数据访问层) MVC模式 (Model View Controller) 分层原则:单向依赖，接口耦合 1、Struts2  =  Struts  + Webwork 2、搭建struts2开发环境    a>、到www.apac
  • SpringMVC学习之后台往前台传值方法 满城风雨近重阳 springMVC
    springMVC控制器往前台传值的方法有以下几种： 1.ModelAndView    通过往ModelAndView中存放viewName：目标地址和attribute参数来实现传参：      ModelAndView mv=new ModelAndView();  mv.setViewName="success
  • WebService存在的必要性？ 一炮送你回车库 webservice
    做Java的经常在选择Webservice框架上徘徊很久，Axis  Xfire Axis2 CXF ，他们只有一个功能，发布HTTP服务然后用XML做数据传输。 是的，他们就做了两个功能，发布一个http服务让客户端或者浏览器连接，接收xml参数并发送xml结果。 当在不同的平台间传输数据时，就需要一个都能解析的数据格式。 但是为什么要使用xml呢？不能使json或者其他通用数据
  • js年份下拉框 3213213333332132 java web ee
    <div id="divValue">test...</div>测试 //年份 <select id="year"></select> <script type="text/javascript"> window.onload =
  • 简单链式调用的实现技术 归来朝歌 方法调用链式反应编程思想
    在编程中，我们可以经常遇到这样一种场景：一个实例不断调用它自身的方法，像一条链条一样进行调用 这样的调用你可能在Ajax中，在页面中添加标签： $("<p>").append($("<span>").text(list[i].name)).appendTo("#result");   也可能在HQ
  • JAVA调用.net 发布的webservice 接口 darkranger webservice
    /** * @Title: callInvoke * @Description: TODO(调用接口公共方法) * @param @param url 地址 * @param @param method 方法 * @param @param pama 参数 * @param @return * @param @throws BusinessException
  • Javascript模糊查找 | 第一章 循环不能不重视。 aijuans Way
    最近受我的朋友委托用js+HTML做一个像手册一样的程序，里面要有可展开的大纲，模糊查找等功能。我这个人说实在的懒，本来是不愿意的，但想起了父亲以前教我要给朋友搞好关系，再加上这也可以巩固自己的js技术，于是就开始开发这个程序，没想到却出了点小问题，我做的查找只能绝对查找。具体的js代码如下： function search(){ var arr=new Array("my
  • 狼和羊，该怎么抉择 atongyeye 工作
    狼和羊，该怎么抉择 在做一个链家的小项目，只有我和另外一个同事两个人负责，各负责一部分接口，我的接口写完，并全部测联调试通过。所以工作就剩下一下细枝末节的，工作就轻松很多。每天会帮另一个同事测试一些功能点，协助他完成一些业务型不强的工作。 今天早上到公司没多久，领导就在QQ上给我发信息，让我多协助同事测试，让我积极主动些，有点责任心等等，我听了这话，心里面立马凉半截，首先一个领导轻易说
  • 读取android系统的联系人拨号 百合不是茶 androidsqlite数据库内容提供者系统服务的使用
           联系人的姓名和号码是保存在不同的表中,不要一下子把号码查询来,我开始就是把姓名和电话同时查询出来的,导致系统非常的慢   关键代码:     1, 使用javabean操作存储读取到的数据 package com.example.bean; /** * * @author Admini
  • ORACLE自定义异常 bijian1013 数据库自定义异常
    实例： CREATE OR REPLACE PROCEDURE test_Exception ( ParameterA IN varchar2, ParameterB IN varchar2, ErrorCode OUT varchar2 --返回值,错误编码 ) AS /*以下是一些变量的定义*/ V1 NUMBER; V2 nvarc
  • 查看端号使用情况 征客丶 windows
    一、查看端口 在windows命令行窗口下执行： >netstat -aon|findstr "8080" 显示结果： TCP     127.0.0.1:80         0.0.0.0:0    &
  • 【Spark二十】运行Spark Streaming的NetworkWordCount实例 bit1129 wordcount
    Spark Streaming简介   NetworkWordCount代码   /* * Licensed to the Apache Software Foundation (ASF) under one or more * contributor license agreements. See the NOTICE file distributed with
  • Struts2 与 SpringMVC的比较 BlueSkator struts2spring mvc
    1. 机制：spring mvc的入口是servlet，而struts2是filter，这样就导致了二者的机制不同。 2. 性能：spring会稍微比struts快。spring mvc是基于方法的设计，而sturts是基于类，每次发一次请求都会实例一个action，每个action都会被注入属性，而spring基于方法，粒度更细，但要小心把握像在servlet控制数据一样。spring
  • Hibernate在更新时，是可以不用session的update方法的(转帖） BreakingBad Hibernateupdate
    地址：http://blog.csdn.net/plpblue/article/details/9304459 public void synDevNameWithItil() {Session session = null;Transaction tr = null;try{session = HibernateUtil.getSession();tr = session.beginTran
  • 读《研磨设计模式》-代码笔记-观察者模式 bylijinnan java设计模式
    声明： 本文只为方便我个人查阅和理解，详细的分析以及源代码请移步 原作者的博客http://chjavach.iteye.com/ import java.util.ArrayList; import java.util.List; import java.util.Observable; import java.util.Observer; /** * “观
  • 重置MySQL密码 chenhbc mysql重置密码忘记密码
    如果你也像我这么健忘，把MySQL的密码搞忘记了，经过下面几个步骤就可以重置了（以Windows为例，Linux/Unix类似）： 1、关闭MySQL服务 2、打开CMD，进入MySQL安装目录的bin目录下，以跳过权限检查的方式启动MySQL mysqld --skip-grant-tables  3、新开一个CMD窗口，进入MySQL mysql -uroot  
  • 再谈系统论，控制论和信息论 comsci 设计模式生物能源企业应用领域模型
                               再谈系统论，控制论和信息论     偶然看
  • oracle moving window size与 AWR retention period关系 daizj oracle
    转自： http://tomszrp.itpub.net/post/11835/494147 晚上在做11gR1的一个awrrpt报告时,顺便想调整一下AWR snapshot的保留时间,结果遇到了ORA-13541这样的错误.下面是这个问题的发生和解决过程. SQL> select * from v$version; BANNER -------------------
  • Python版B树 dieslrae python
    话说以前的树都用java写的,最近发现python有点生疏了,于是用python写了个B树实现,B树在索引领域用得还是蛮多了,如果没记错mysql的默认索引好像就是B树... 首先是数据实体对象,很简单,只存放key,value class Entity(object): '''数据实体''' def __init__(self,key,value)
  • C语言冒泡排序 dcj3sjt126com 算法
    代码示例： # include <stdio.h> //冒泡排序 void sort(int * a, int len) { int i, j, t; for (i=0; i<len-1; i++) { for (j=0; j<len-1-i; j++) { if (a[j] > a[j+1]) // >表示升序
  • 自定义导航栏样式 dcj3sjt126com 自定义
    -(void)setupAppAppearance { [[UILabel appearance] setFont:[UIFont fontWithName:@"FZLTHK—GBK1-0" size:20]]; [UIButton appearance].titleLabel.font =[UIFont fontWithName:@"FZLTH
  • 11.性能优化-优化-JVM参数总结 frank1234 jvm参数性能优化
    1.堆 -Xms --初始堆大小 -Xmx --最大堆大小 -Xmn --新生代大小 -Xss --线程栈大小 -XX:PermSize  --永久代初始大小 -XX:MaxPermSize  --永久代最大值 -XX:SurvivorRatio --新生代和suvivor比例,默认为8 -XX:TargetSurvivorRatio --survivor可使用
  • nginx日志分割 for linux HarborChung nginxlinux脚本
    nginx日志分割 for linux 默认情况下，nginx是不分割访问日志的，久而久之，网站的日志文件将会越来越大，占用空间不说，如果有问题要查看网站的日志的话，庞大的文件也将很难打开，于是便有了下面的脚本   使用方法，先将以下脚本保存为 cutlog.sh，放在/root 目录下，然后给予此脚本执行的权限   复制代码代码如下: chmo
  • Spring4新特性——泛型限定式依赖注入 jinnianshilongnian springspring4泛型式依赖注入
    Spring4新特性——泛型限定式依赖注入 Spring4新特性——核心容器的其他改进 Spring4新特性——Web开发的增强 Spring4新特性——集成Bean Validation 1.1(JSR-349)到SpringMVC  Spring4新特性——Groovy Bean定义DSL Spring4新特性——更好的Java泛型操作API  Spring4新
  • centOS安装GCC和G++ liuxihope centosgcc
    Centos支持yum安装，安装软件一般格式为yum install .......，注意安装时要先成为root用户。 按照这个思路，我想安装过程如下： 安装gcc：yum install gcc 安装g++： yum install g++ 实际操作过程发现，只能有gcc安装成功，而g++安装失败，提示g++ command not found。上网查了一下，正确安装应该
  • 第13章 Ajax进阶（上） onestopweb Ajax
    index.html <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/
  • How to determine BusinessObjects service pack and fix pack blueoxygen BO
    http://bukhantsov.org/2011/08/how-to-determine-businessobjects-service-pack-and-fix-pack/   The table below is helpful. Reference   BOE XI 3.x 12.0.0. y BOE XI 3.0 12.0. x. y BO
  • Oracle里的自增字段设置 tomcat_oracle oracle
    　大家都知道吧，这很坑，尤其是用惯了mysql里的自增字段设置，结果oracle里面没有的。oh，no 　　我用的是12c版本的，它有一个新特性，可以这样设置自增序列，在创建表是，把id设置为自增序列 create table t ( id 　　 　　 number generated by default as identity (start with 1 increment b
  • Spring Security（01）——初体验 yang_winnie springSecurity
    Spring Security（01）——初体验     博客分类： spring Security Spring Security入门安全认证        首先我们为Spring Security专门建立一个Spring的配置文件，该文件就专门用来作为Spring Security的配置
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他