今天，一位网友说他的电脑昨天下午突然变得很慢，只好强制关机，今天开机时有黑色窗口闪过，用瑞星查杀出一些病毒，但系统反应还是比较慢，让偶帮忙检修。
通过QQ远程协助，先检查瑞星的杀毒日志（片段）：
/===
病毒名称 处理结果 扫描方式 路径 文件 RootKit.Win32.GameHack.gfa 删除成功 文件监控 C:/WINDOWS/system32/drivers mselk.sys RootKit.Win32.GameHack.GEN 删除成功 文件监控 C:/WINDOWS/system32/drivers msyecp.sys RootKit.Win32.GameHack.GEN 删除成功 文件监控 C:/WINDOWS/system32 mseion.sys
病毒名称 处理结果 扫描方式 路径 文件 病毒来源 RootKit.Win32.Mnless.hz 删除成功 手动扫描 C:/WINDOWS/system32/drivers msosfpids32.sys 本机 Trojan.PSW.Win32.GameOL.GEN 删除成功 手动扫描 c:/windows/system32 2.exe>>upack0.32 本机 RootKit.Win32.GameHack.GEN 重新启动计算机后删除文件 手动扫描 c:/windows/system32 gnolnait.dll>>upack0.34 本机 Trojan.PSW.Win32.XYOnline.abx 删除成功 手动扫描 c:/windows/system32 msosmhfp00.dll>>upack0.34 本机 Trojan.PSW.Win32.GamesOnline.fz 删除成功 手动扫描 c:/windows/system32 10.exe>>upack0.39 本机 RootKit.Win32.GameHack.GEN 重新启动计算机后删除文件 手动扫描 c:/windows/system32 laixuhz.dll>>upack0.34 本机 Trojan.PSW.Win32.GameOL.mgw 重新启动计算机后删除文件 手动扫描 c:/windows/system32 xjxr.dll>>upack0.34 本机 Trojan.PSW.Win32.GamesOnline.oz 重新启动计算机后删除文件 手动扫描 c:/windows/system32 sve.dll>>upack0.34 本机 Trojan.PSW.Win32.SunOnline.ma 删除成功 手动扫描 c:/windows/system32 otaipvawow.dll>>upack0.34 本机 Trojan.PSW.Win32.SunOnline.ma 删除成功 手动扫描 c:/windows/system32 hhhcompress.dll>>upx_c 本机 Trojan.PSW.Win32.GameOL.mfv 重新启动计算机后删除文件 手动扫描 c:/windows/system32 kiluw.dll>>upack0.34 本机 Trojan.PSW.Win32.GameOL.lvx 重新启动计算机后删除文件 手动扫描 c:/windows/system32 tsqc.dll>>upack0.34 本机 Trojan.PSW.Win32.GameOL.lxr 重新启动计算机后删除文件 手动扫描 c:/windows/system32 jhrcar.dll>>upack0.34 本机 Trojan.PSW.Win32.GameOL.mgb 重新启动计算机后删除文件 手动扫描 c:/windows/system32 knaixnauhuoyizqq.dll>>upack0.34 本机 Trojan.PSW.Win32.SunOnline.mk 删除成功 手动扫描 c:/windows/system32 oubivagdj.dll>>upack0.34 本机 Trojan.PSW.Win32.SunOnline.mk 删除成功 手动扫描 c:/windows/system32 msmmmdj32.dll>>upx_c 本机 Trojan.PSW.Win32.GameOL.mgm 重新启动计算机后删除文件 手动扫描 c:/windows/system32 oaijihzeuyouhz.dll>>upack0.34 本机 Trojan.PSW.Win32.FYOnline.ei 重新启动计算机后删除文件 手动扫描 c:/windows/system32 duygnef.dll>>upack0.34 本机 Trojan.PSW.Win32.ZeroOnline.do 重新启动计算机后删除文件 手动扫描 c:/windows/system32 pahzij.dll>>upack0.34 本机 Trojan.PSW.Win32.GameOL.mgd 重新启动计算机后删除文件 手动扫描 c:/windows/system32 bchib.dll>>upack0.34 本机 Trojan.PSW.Win32.SO2Online.au 重新启动计算机后删除文件 手动扫描 c:/windows/system32 tzm.dll>>upack0.34 本机 RootKit.Win32.GameHack.GEN 删除成功 手动扫描 C:/WINDOWS/system32 mseion.sys 本机 Trojan.PSW.Win32.GameOL.mga 重新启动计算机后删除文件 手动扫描 c:/windows/system32 xptyj.dll>>upack0.34 本机 Trojan.PSW.Win32.GameOL.mgk 重新启动计算机后删除文件 手动扫描 c:/windows/system32 jemnaw.dll>>upack0.34 本机 RootKit.Win32.GameHack.gfa 删除成功 手动扫描 C:/WINDOWS/Temp tmp10.tmp 本机 Trojan.PSW.Win32.LMir.yzr 删除成功 手动扫描 C:/WINDOWS 49400MM.DLL 本机 Trojan.PSW.Win32.GameOL.GEN 删除成功 手动扫描 c:/windows gwsmhxuq.exe>>upack0.32 本机 Trojan.PSW.Win32.HXOnline.fp 删除成功 手动扫描 c:/windows shaproc.exe>>upack0.32 本机 Trojan.PSW.Win32.GameOL.GEN 删除成功 手动扫描 c:/windows wsockdrv32.exe>>upack0.32 本机 ===/
病毒还真多~
下载 pe_xscan 扫描 log 并分析，发现如下可疑项：
/=== pe_xscan 08-03-03 by Purple Endurer 2008-3-5 12:28:31 Windows XP Service Pack 2(5.1.2600) 管理员用户组 正常模式 [System Process] * 0 C:/WINDOWS/SYSTEM32/CUHAD.DLL | 2008-3-4 16:33:14 C:/WINDOWS/SYSTEM32/WINLOGON.EXE* 524 | 2004-8-17 12:0:0 | Microsoft(R) Windows(R) Operating System | 5.1.2600.2180 | Windows NT Logon Application | (C) Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | winlogon | WINLOGON.EXE C:/WINDOWS/SYSTEM32/CUHAD.DLL | 2008-3-4 16:33:14 C:/WINDOWS/SYSTEM32/SERVICES.EXE* 568 | 2004-8-17 12:0:0 | Microsoft(R) Windows(R) Operating System | 5.1.2600.2180 | Services and Controller app | (C) Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | services.exe | services.exe C:/WINDOWS/SYSTEM32/CUHAD.DLL | 2008-3-4 16:33:14 C:/WINDOWS/SYSTEM32/LSASS.EXE* 580 | 2004-8-17 12:0:0 | Microsoft? Windows? Operating System | 5.1.2600.2180 | LSA Shell (Export Version) | ? Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | lsass.exe | lsass.exe C:/WINDOWS/SYSTEM32/CUHAD.DLL | 2008-3-4 16:33:14 C:/WINDOWS/SYSTEM32/SVCHOST.EXE* 724 | 2004-8-17 12:0:0 | Microsoft? Windows? Operating System | 5.1.2600.2180 | Generic Host Process for Win32 Services | ? Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | svchost.exe | svchost.exe C:/WINDOWS/SYSTEM32/CUHAD.DLL | 2008-3-4 16:33:14 D:/PROGRAM FILES/RISING/RAV/RAVSTUB.EXE * 1340 | 2004-1-8 20:10:24 | RavStub Application | 19, 0, 0, 4 | Rising RavStub | Copyright (c) 1998-2005 Rising Corp. | 19, 0, 0, 4 | Beijing Rising Technology Co., Ltd. | | RavStub | RavStub.exe C:/WINDOWS/SYSTEM32/CUHAD.DLL | 2008-3-4 16:33:14 C:/WINDOWS/SYSTEM32/WDFMGR.EXE* 1528 | 2005-1-28 13:44:28 | Microsoft? Windows? Operating System | 5.2.3790.1230 | Windows User Mode Driver Manager | ? Microsoft Corporation. All rights reserved. | 5.2.3790.1230 built by: dnsrv(bld4act) | Microsoft Corporation| ? | WdfMgr | WdfMgr.exe C:/WINDOWS/SYSTEM32/CUHAD.DLL | 2008-3-4 16:33:14 C:/WINDOWS/EXPLORER.EXE* 1952 | 2007-6-13 21:21:56 | Microsoft(R) Windows(R) Operating System | 6.00.2900.3156 | Windows Explorer | (C) Microsoft Corporation. All rights reserved. | 6.00.2900.3156 (xpsp_sp2_gdr.070613-1234) | Microsoft Corporation| ? | explorer | EXPLORER.EXE C:/WINDOWS/SYSTEM32/CUHAD.DLL | 2008-3-4 16:33:14 C:/WINDOWS/SYSTEM32/ALG.EXE* 496 | 2004-8-17 12:0:0 | Microsoft? Windows? Operating System | 5.1.2600.2180 | Application Layer Gateway Service | ? Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | ALG.exe | ALG.exe C:/WINDOWS/SYSTEM32/CUHAD.DLL | 2008-3-4 16:33:14 C:/WINDOWS/SYSTEM32/CTFMON.EXE* 1516 | 2004-8-17 12:0:0 | Microsoft? Windows? Operating System | 5.1.2600.2180 | CTF Loader | ? Microsoft Corporation. All rights reserved. | 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158) | Microsoft Corporation| ? | CTFMON | CTFMON.EXE C:/WINDOWS/SYSTEM32/CUHAD.DLL | 2008-3-4 16:33:14 O4 - HKLM/../RUN: [WINSYSM] C:/WINDOWS/49400M.EXE O4 - Global Startup: AtiSrv.exe -> Invalid lnk file O20 - AppInit_DLLs: bauhgnem.dll,eohsom.dll,fyom.dll,sauhad.dll,ijougiemnaw.dll,taijoad.dll,lnaixnauhqq.dll,idtj.dll,vhqq.dll,atgnehz.dll,rsqq.dll,tsqc.dll,vauyiqvlnaix.dll,wQ.dll,fmxh.dll,cty.dll,pahzij.dll,jz.dll,bz.dll,pyomielnux.dll,mhtd.dll,qnefnaib.dll,ej.dll,uixauh.dll,hjiq.dll,kiluw.dll,dsfg.dll,yqhs.dll,oaijihzeuyouhz.dll,jemnaw.dll,cuhad.dll,laixuhz.dll,rfhx.dll,mnauygniqaixnaij.dll,oqnauhc.dll,xjxr.dll,utiemnaw.dll,sve.dll,wininat.dll,gnolnait.dll,zadnew.dll,htwx.dll,knaixnauhuoyizqq.dll,duygnef.dll,gmx.dll,nadgnohiac.dll,agzg.dll,qlihzouhgnfe.dll,bchib.dll,tzm.dll,r2.dll,slcs.dll,xptyj.dll,xhtd.dll,QQ.dll,sfhx.dll,gnaixnauhqq.dll,3auhad.dll,oadnew.dll,iemnaw.dll,qcsct.dll,oadgnohiac.dll,iqnauhc.dll,aixauh.dll,ddtj.dll,nuygnef.dll,uohsom.dll,gnefnaib.dll,ijiq.dll,hjxr.dll,naijoad.dll,naixuhz.dll,nahzij.dll,fmxh.dll,zqhs.dll,jsfg.dll,utgnehz.dll,uyom.dll,wtiemnaw.dll,uyomielnux.dll,vlihzouhgnfe.dll,2ty.dll,nauhgnem.dll,auhad.dll,rj.dll,hz.dll,naijihzeuyouhz.dll,xhqq.dll,jmx.dll,dgzg.dll,gsqq.dll,fz.dll O23 - 服务: iCafe Manager (iCafe Manager) - C:/DOCUME~1/donghe/LOCALS~1/Temp/usbhcid.sys(手动) O23 - 服务: Sc Manager (Sc Manager) - C:/DOCUME~1/donghe/LOCALS~1/Temp/usbcams3.sys(手动) O24 - ShlExecHook: [Microsoft] - {CAED0F3B-DF8B-4DBF-BB20-8DFBC3199068} = C:/WINDOWS/system32/jhrcar.dll O26 - IFEO: 360rpt.exe -> ntsd -d O26 - IFEO: 360safe.exe -> ntsd -d O26 - IFEO: 360safebox.exe -> ntsd -d O26 - IFEO: 360tray.exe -> ntsd -d O26 - IFEO: adam.exe -> ntsd -d O26 - IFEO: AgentSvr.exe -> ntsd -d O26 - IFEO: AppSvc32.exe -> ntsd -d O26 - IFEO: autoruns.exe -> ntsd -d O26 - IFEO: avconsol.exe -> ntsd -d O26 - IFEO: avgrssvc.exe -> ntsd -d O26 - IFEO: AvMonitor.exe -> ntsd -d O26 - IFEO: avp.com -> ntsd -d O26 - IFEO: avp.exe -> ntsd -d O26 - IFEO: ccSvcHst.exe -> ntsd -d O26 - IFEO: EGHOST.exe -> ntsd -d O26 - IFEO: FTCleanerShell.exe -> ntsd -d O26 - IFEO: FYFireWall.exe -> ntsd -d O26 - IFEO: HijackThis.exe -> ntsd -d O26 - IFEO: IceSword.exe -> ntsd -d O26 - IFEO: iparmo.exe -> ntsd -d O26 - IFEO: Iparmor.exe -> ntsd -d O26 - IFEO: isPwdSvc.exe -> ntsd -d O26 - IFEO: kabaload.exe -> ntsd -d O26 - IFEO: KaScrScn.SCR -> ntsd -d O26 - IFEO: KASMain.exe -> ntsd -d O26 - IFEO: KASTask.exe -> ntsd -d O26 - IFEO: KAV32.exe -> ntsd -d O26 - IFEO: KAVDX.exe -> ntsd -d O26 - IFEO: KAVPF.exe -> ntsd -d O26 - IFEO: KAVPFW.exe -> ntsd -d O26 - IFEO: KAVSetup.exe -> ntsd -d O26 - IFEO: KAVStart.exe -> ntsd -d O26 - IFEO: KISLnchr.exe -> ntsd -d O26 - IFEO: KMailMon.exe -> ntsd -d O26 - IFEO: KMFilter.exe -> ntsd -d O26 - IFEO: KPFW32.exe -> ntsd -d O26 - IFEO: KPFW32X.exe -> ntsd -d O26 - IFEO: KPfwSvc.exe -> ntsd -d O26 - IFEO: KRegEx.exe -> ntsd -d O26 - IFEO: KRepair.com -> ntsd -d O26 - IFEO: KsLoader.exe -> ntsd -d O26 - IFEO: KVCenter.kxp -> ntsd -d O26 - IFEO: KvDetect.exe -> ntsd -d O26 - IFEO: KvfwMcl.exe -> ntsd -d O26 - IFEO: KVMonXP.kxp -> ntsd -d O26 - IFEO: KVMonXP_1.kxp -> ntsd -d O26 - IFEO: kvol.exe -> ntsd -d O26 - IFEO: kvolself.exe -> ntsd -d O26 - IFEO: KvReport.kxp -> ntsd -d O26 - IFEO: KVScan.kxp -> ntsd -d O26 - IFEO: KVSrvXP.exe -> ntsd -d O26 - IFEO: KVStub.kxp -> ntsd -d O26 - IFEO: kvupload.exe -> ntsd -d O26 - IFEO: kvwsc.exe -> ntsd -d O26 - IFEO: KvXP.kxp -> ntsd -d O26 - IFEO: KvXP_1.kxp -> ntsd -d O26 - IFEO: KWatch.exe -> ntsd -d O26 - IFEO: KWatch9x.exe -> ntsd -d O26 - IFEO: KWatchX.exe -> ntsd -d O26 - IFEO: MagicSet.exe -> ntsd -d O26 - IFEO: mcconsol.exe -> ntsd -d O26 - IFEO: mmqczj.exe -> ntsd -d O26 - IFEO: mmsk.exe -> ntsd -d O26 - IFEO: Navapsvc.exe -> ntsd -d O26 - IFEO: Navapw32.exe -> ntsd -d O26 - IFEO: nod32.exe -> ntsd -d O26 - IFEO: nod32krn.exe -> ntsd -d O26 - IFEO: nod32kui.exe -> ntsd -d O26 - IFEO: NPFMntor.exe -> ntsd -d O26 - IFEO: OllyDBG.EXE -> ntsd -d O26 - IFEO: OllyICE.EXE -> ntsd -d O26 - IFEO: PFW.exe -> ntsd -d O26 - IFEO: PFWLiveUpdate.exe -> ntsd -d O26 - IFEO: procexp.exe -> ntsd -d O26 - IFEO: QHSET.exe -> ntsd -d O26 - IFEO: QQDoctor.exe -> ntsd -d O26 - IFEO: QQKav.exe -> ntsd -d O26 - IFEO: RawCopy.exe -> ntsd -d O26 - IFEO: RegTool.exe -> ntsd -d O26 - IFEO: rfwProxy.exe -> ntsd -d O26 - IFEO: rfwstub.exe -> ntsd -d O26 - IFEO: safebank.exe -> ntsd -d O26 - IFEO: safeboxTray.exe -> ntsd -d O26 - IFEO: safelive.exe -> ntsd -d O26 - IFEO: scan32.exe -> ntsd -d O26 - IFEO: shcfg32.exe -> ntsd -d O26 - IFEO: SREng.EXE -> ntsd -d O26 - IFEO: symlcsvc.exe -> ntsd -d O26 - IFEO: SysSafe.exe -> ntsd -d O26 - IFEO: TrojanDetector.exe -> ntsd -d O26 - IFEO: Trojanwall.exe -> ntsd -d O26 - IFEO: TrojDie.kxp -> ntsd -d O26 - IFEO: UIHost.exe -> ntsd -d O26 - IFEO: UmxAgent.exe -> ntsd -d O26 - IFEO: UmxAttachment.exe -> ntsd -d O26 - IFEO: UmxCfg.exe -> ntsd -d O26 - IFEO: UmxFwHlp.exe -> ntsd -d O26 - IFEO: UmxPol.exe -> ntsd -d O26 - IFEO: UpLive.exe -> ntsd -d O26 - IFEO: vsstat.exe -> ntsd -d O26 - IFEO: webscanx.exe -> ntsd -d O26 - IFEO: WinDbg.exe -> ntsd -d O26 - IFEO: WoptiClean.exe -> ntsd -d ===/ (未完待续)
