遭遇beep.sys/Backdoor.Win32.Agent,DOVA/Backdoor.Win32.Hupigon,myRAT.rmvb/Trojan.Win32.Delf等1

遭遇beep.sys/Backdoor.Win32.Agent,DOVA/Backdoor.Win32.Hupigon,myRAT.rmvb/Trojan.Win32.Delf等1

endurer 原创 2008-06-20 第1

一位朋友的电脑,最近电脑反应很慢,瑞星查杀出病毒,清除后一次开机又出现。另外,系统经常提示系统文件被替换,提示插入系统光盘进行恢复。请偶帮忙处理。 打开任务管理器,发现一个名为 1.exe 的进程占用了大量的CPU时间,先终止了。 使用 pe_xscan 扫描 log 并分析,发现如下可疑项:

pe_xscan 08-04-26 by Purple Endurer 
2008-6-16 16:15:56 
Windows XP Service Pack 2(5.1.2600) 
MSIE:6.0.2900.2180 
管理员用户组 
正常模式 

C:/WINDOWS/System32/SVCHOST.EXE* 996 | 2004-8-23 8:0:0 | Microsoft? Windows? Operating System | 5.1.2600.2180 | Generic Host Process for Win32 Services | ? Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | svchost.exe | svchost.exe 
   c:/windows/system32/bitsex.dll | 2004-8-17 12:0:0 | svchost | 5.1.2600.2180 | Microsoft SNMP Manager API (uses WinSNMP) | Copyright @ 2004 | 5.1.2600.2180 | @ Microsoft Corporation. All rights reserved. | | svchost | svchost.dll 
C:/WINDOWS/System32/shared/smss.exe * 1664 | 2008-6-16 2:44:14 
C:/WINDOWS/System32/SVCHOST.EXE* 1696 | 2004-8-23 8:0:0 | Microsoft? Windows? Operating System | 5.1.2600.2180 | Generic Host Process for Win32 Services | ? Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | svchost.exe | svchost.exe 
   c:/program files/myrat/myrat.rmvb | 2008-6-16 2:44:19 | | 1.0.0.0 | | | 1.0.0.500 | | | | 
C:/WINDOWS/System32/shared/services.exe * 328 | 2008-6-16 8:6:37 
F2 - REG: system.ini: UserInit = <USERINIT.EXE ,,C:/WINDOWS/system32/Kinds/1.exe> 
O23 - 服务: ADHelper (Active Directory Helper) - C:/WINDOWS/system32/shared/smss.exe | 2008-6-16 2:44:14(自动) 
O23 - 服务: BITS (Background Intelligent Transfer Service) - C:/WINDOWS/system32/svchost.exe -k netsvcs -> C:/WINDOWS/system32/BITSEx.dll | 2004-8-17 12:0:0 | svchost | 5.1.2600.2180 | Microsoft SNMP Manager API (uses WinSNMP) | Copyright @ 2004 | 5.1.2600.2180 | @ Microsoft Corporation. All rights reserved. | | svchost | svchost.dll(自动) 
O23 - 服务: COM+ Event (COM+ Event irat) - C:/WINDOWS/System32/svchost.exe -k krnlsrvc -> C:/Program Files/myRAT/myRAT.rmvb | 2008-6-16 2:44:19 | | 1.0.0.0 | | | 1.0.0.500 | | | | (自动) 
O23 - 服务: Drivers Desktop (Drivers Desktop Management) - C:/WINDOWS/system32/explore.exe | 2008-6-13 4:14:2(自动) 
O23 - 服务: Microsoftpvsy (Microsoftpvsy) - C:/WINDOWS/DOVA | 2008-6-16 2:44:38(自动)

从log 上看,先前终止的进程1.exe对应的文件是 C:/WINDOWS/system32/Kinds/1.exe

(未完待续)

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

紫郢剑侠

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值