微点交流论坛

标题: WINLOGON.EXE [Lengend进来看!] [打印本页]

作者: pointmicro 时间: 2006-7-3 09:46 标题: WINLOGON.EXE [Lengend进来看!]

中毒了,所有exe都打不开,最新版本的norton跟傻子似的查出1万个没用的病毒,该不行的还是不行.后来发现QQ和里面的QQB全被盗了!我干他母亲的!
后来上网查了一下说是W32.Netsky.D@mm的事,产生一个WINLOGON.EXE,跟windows自身的winlogon.exe只是大小写有区别.我用最新版本的微点杀了好几个,现在exe文件正常了,可是进程里WINLOGON.EXE还是大写的!!!!而且每次开机系统都提示找不到文件"1".
请问Lengend,怎么解决啊?麻烦了!谢谢昂!
还有,这是不是说明病毒没有杀干净?我输入的密码什么的还是会被盗???

[ Last edited by pointmicro on 2006-7-3 at 09:47 ]

作者: Legend 时间: 2006-7-3 09:49
请问你有否安装微点?若无,请到我们的网站上下载最新安装包进行安装.

作者: sxh_sxh 时间: 2006-7-3 09:51
楼主已装了微点！

作者: pointmicro 时间: 2006-7-3 09:52
大哥,你怎么看的帖子?
我装了微点,而且是最新版本的了....

作者: sxh_sxh 时间: 2006-7-3 09:54
找不到的文件可在“有害程序隔离”找找看。

作者: zqrsc 时间: 2006-7-3 09:55
一个蠕虫
楼主能否提供样本？
同时：关于找不到文件 1 建议检查 system.ini 是否附加到系统外壳在启动。（那个1.exe 应该已经被删除了。）
同时建议参考
http://bbs.micropoint.com.cn/showthread.asp?tid=1355&fpage=1
中俺的这部分回帖。
---------------------------------------------------------------------------------------------------
按照截图的提示楼主应该中了最进流行的一个破病毒（不过到目前咖啡还无视。）
在楼主的D盘下生成了这个文件（图标是个 dos快捷方式）和一个autorun.ini  指向这个文件。你可以打开隐藏显示手动清除这两个文件。
PS:  注意下文件生成日期后面有用。
使用冰刃类进程管理软件检查并结束异常守护进程（这个需要点经验一般注意和系统核心进程同名的
根据文件生成日期搜索检查系统盘同时期生成的文件大小因该是 47k (俺这里是47 你要观察下了）全部删除（如果删除失败那就是还有进程在运行看看是那个删不掉就应该是同名的进程还在，注意分辨 0（零）和 o .
提示：1  该病毒修改了system.ini  附加到系统外壳来启动注意修复
      2  该病毒修改了.exe 文件关联  注意修复。
重启系统检查D 盘根文件下是否还存在异常文件（包括系统盘）
再次重启以确定是否删除完全。

作者: Legend 时间: 2006-7-3 09:56
你可以打开微点的系统自启动信息找到相应的启动项然后删除就可以了,你再告诉我你操作系统,那个WINLOGON.EXE是在哪个目录下,文件大小.

作者: pointmicro 时间: 2006-7-3 09:57
楼上的斑竹,怎么提供样本?病毒的样本么?我不知道怎么弄~~~

作者: pointmicro 时间: 2006-7-3 10:01
我是XP SP2,winlogon就在system32里面,是480K,好象很正常的.但是在进程里它就是大写的!而且只有这一个!!
我把所有启动项都关掉了,只保留了输入法,还是提示找不到文件"1"

作者: pointmicro 时间: 2006-7-3 10:02
请问C:\WINDOWS\Prefetch里面的WINLOGON.EXE-36FAD343.pf和WINLOGON.EXE-32C57D49.pf是正常的么?

作者: Legend 时间: 2006-7-3 10:04
你需要在微点的系统自启动信息中找找有没有文件"1"这个相关项.

作者: pointmicro 时间: 2006-7-3 10:11
我从"全路径"里找了,好象找不到...

作者: auto 时间: 2006-7-3 10:52
估计是文件删除了，lz可以到注册表搜一下这个项看看是否有这个家伙的自启动项，如果有就把它给干掉贝

作者: ballpointpen 时间: 2006-7-3 11:00

Quote:

Originally posted by pointmicro at 2006-7-3 10:01:
我是XP SP2,winlogon就在system32里面,是480K,好象很正常的.但是在进程里它就是大写的!而且只有这一个!!
我把所有启动项都关掉了,只保留了输入法,还是提示找不到文件"1"

　　我的C:\Windows\System32\winlogon.exe的大小是476 kb。
　　在Windows XP_SP2自带的任务管理器里，这个进程（正常的）有时也会全部显示为大写。我的就曾经出现过。那时候，心情如现在的你，经仔细检查，发现没事。最重要的是，不要出现两个同名进程，一个是winlogon.exe，另一个是WINLOGON.EXE。如果出现两个，那就麻烦了——中招无疑。

补编：
正如Legend指出的那样，还要看这个进程的用户名是不是system。如果有不是，那肯定中招无疑。

[ Last edited by ballpointpen on 2006-7-3 at 11:22 ]

作者: Legend 时间: 2006-7-3 11:09
正常的winlogon是系统进程，其用户名为system程序名称为小写的winlogon.exe;
关于那个开机提示找不到文件"1"，你可以到微点的系统自启动信息里面看下是否有“1”这个文件，有的话请双击这个文件，会自动定位到注册表，然后选择删除相应的键值就可以了。

作者: sxh_sxh 时间: 2006-7-3 11:58
请楼主将这个样本发到virus@micropoint.com.cn

作者: 烟雨无声 时间: 2006-7-3 12:55

Quote:

Originally posted by Legend at 2006-7-3 11:09 AM:
正常的winlogon是系统进程，其用户名为system程序名称为小写的winlogon.exe;
关于那个开机提示找不到文件"1"，你可以到微点的系统自启动信息里面看下是否有“1”这个文件，有的话请双击这个文件，会自 ...

我的电脑原来也是和楼主的反映一样,找不到文件,后来就是用斑竹说的方法,在注册表里干掉了那个家伙,就不会出现这个提示了!

作者: fall_els 时间: 2006-7-6 11:17

Quote:

Originally posted by zqrsc at 2006-7-3 09:55:
一个蠕虫
楼主能否提供样本？
同时：关于找不到文件 1 建议检查 system.ini 是否附加到系统外壳在启动。（那个1.exe 应该已经被删除了。）
同时建议参考
[url]http://bbs.micropoint.com.cn/showthread. ...

汗!!

太复杂了!!!

能有简单通俗一点的解释吗??

我就是来回来可三,四遍都看不懂!!

太菜了!!

汗!!

欢迎光临微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn