今天通过QQ远程协助
网友的电脑中发现scvhsot.exe的进程和启动项
http://endurer.bokee.com/6002927.html
中的网友。
用 pe_xscan 扫描 log，发现如下可疑项：
/========== pe_xscan by Purple Endurer 2006-12-31 8:49:22 Windows XP Service Pack 2(5.1.2600) 非管理员用户组 C:/Program Files/Symantec AntiVirus/DefWatch.exe*1772 C:/WINDOWS/SYSTEM32/WBEM/GUBVQ.DLL 2004-8-8 11:33:53 ProductName : irJIT ProductVersion : 5, 1, 2600, 2709 FileDescription : Microsoft irJIT Module LegalCopyright : (C) Microsoft Corporation. All rights reserved. FileVersion : 5, 1, 2600, 2709 CompanyName : Microsoft Corporation LegalTradeMarks : InternalName : IRJIT OriginalFileName : IRJIT.dll D:/GGGG/lyl/安装文件/Tencent/QQ/QQ.exe*1252 C:/WINDOWS/SYSTEM32/WBEM/GUBVQ.DLL 2004-8-8 11:33:53 ProductName : irJIT ProductVersion : 5, 1, 2600, 2709 FileDescription : Microsoft irJIT Module LegalCopyright : (C) Microsoft Corporation. All rights reserved. FileVersion : 5, 1, 2600, 2709 CompanyName : Microsoft Corporation LegalTradeMarks : InternalName : IRJIT OriginalFileName : IRJIT.dll C:/Program Files/Internet Explorer/iexplore.exe*2336 C:/Program Files/Common Files/CPUSH/cpush.dll*2006-12-15 14:47:2 ProductName : ProductVersion : 1.0.2.0 FileDescription : LegalCopyright : FileVersion : 1.0.2.0 CompanyName : LegalTradeMarks : InternalName : cpush.dll OriginalFileName : cpush.dll C:/WINDOWS/system32/SCIntruder.dll*2006-12-25 14:0:18 O2 - BHO CAdLogic Object - {11F09AFD-75AD-4E51-AB43-E09E9351CE16} - C:/Program Files/Common Files/CPUSH/cpush.dll O2 - BHO WinSC Class - {9ACEEE31-1440-471B-AA46-72B061FE7D61} - C:/WINDOWS/system32/SCIntruder.dll O4 - HKLM/../Run: [QQKAV] C:/WINDOWS/system32/scvhsot.exe D:/autorun.inf /----- [AutoRun] open=sss.exe shellexecute=sss.exe shell/Auto/command=sss.exe -----/ E:/autorun.inf /----- [AutoRun] open=sss.exe shellexecute=sss.exe shell/Auto/command=sss.exe -----/ O23 - 服务: 00007696 (00007696) - system32/drivers/00007696.SYS(引导) O23 - 服务: apzgvz94 (apzgvz94) - System32/DRIVERS/apzgvz94.sys(引导) O23 - 服务: djbicdib (djbicdib) - system32/drivers/djbicdib.sys(引导) O23 - 服务: lDOMANE (Windows Install Helper) - C:/WINDOWS/SYSTEM32/RUNDLL32.EXE C:/WINDOWS/SYSTEM32/WBEM/GUBVQ.DLL,Export 1087(自动启动) ==========/
用的 pe_xscan 不是最新版本的，log 格式不是很好-_-！
scvhsot.exe进程已经被网友用任务管理器终止了。
到 http://purpleendurer.ys168.com 下载 bat_do 和 FileInfo。
用 FileInfo 提取下列文件信息，bat_do把文件打包备份后删除，删除不掉的，用下次启动时执行来解决。
