【求助】如何解决system用户自动启动iexplore.exe？

chhao11

开机时发现多了个IEXPLORE.EXE进程,而且是system用户,这个教程，一般都判断为病毒，但用最新的杀毒库都查不到，查找msconfig里面的启动项和注册表里面的run项里面,甚至服务里面都没有, 查看该进程的启动目录为: C:\Program Files\Internet Explorer\IEXPLORE.EXE，在网上查找了很多资料，都不知是哪里设置的启动，没能解决，特求助各位高手，谢谢！

chhao11

用"金山毒霸的灰鸽子专杀3.6"也没有查杀到。

softice616

不要相信杀毒软件。

相信icesword，和手。

icesword 2M多，自己搜索吧，不占用论坛资源了

chhao11

谢谢楼上的，但用icesword还是没法处理，把C:\Program Files\Internet Explorer\IEXPLORE.EXE删除了，重新开机它又恢复了，还有这个进程。继续求教！

HOOP

C:\Program Files\Internet Explorer\IEXPLORE.EXE如果你没有拼错的话，这个是IE的进程啊。

但是开机自动运行这个比较诡异。

chhao11

这是IE的进程，但开机自动运行，而且用户名是system就不对了，打开IE后又会有一个本人用户名的进程，后一个才是对的。

softice616

用icesword查看启动项、启动服务，查找windows目录下面有没有怪异文件。

softice616

如果是病毒的话，90%可能为木马，这种东西启动项不会是iexplorer，而是它运行后loader插入dll到iexplorer当中去了。好好检查下服务。目前大部分木马还是依靠服务启动的。因为注册表的run太明显，容易被发现，搞一个名字很像系统的服务，是常用的手法。
国产木马大部分默认释放目录在windows根目录，检查windows根目录下的exe和dll。看看有没有奇怪的。如果放马的改成sys32目录，就麻烦些了。

softice616

给你看一个例子：我自己用的黑洞dll版（运行后插入iexplorer，目的是为了过防火墙）：

黑洞的exe版如果把exe名写成svchost.exe，迷惑性很高，而且无法直接远程卸载。

一般的木马手动删除方法：

1.停止可疑进程、以及可疑的挂接dll
2.删除服务项
3.清除exe、dll
4.检查注册表，清除垃圾

chhao11

谢谢softice616兄弟，等我参悟一下，看能不能解决。谢谢！

chhao11

试着找了，但以在下的水平找不到奇怪的exe和dll，请xd指教。谢谢！

chhao11

这个进程可以结束，但重启后又有了。继续等待解决办法。谢谢。

hwl_ynchina

很简单...卸载IE...关闭服务...安全模式..删了他...
重启...开启服务....
在重启..安装IE 7.0
安装MAXTHON 2.04
还有!重装...

chhao11

我是在出现问题后安装IE7.0的，还是有问题，现卸载了重启仍然有该进程，不过占用内存多了一点。重装对我来说不是好办法。谢谢。

chhao11

经检查和考虑，不是IE本身的问题，现又重装了IE7.0，情况照旧。

SailingStar

从问题描述看，推测是iexplore.exe被注入了，灰鸽子或者落雪木马的可能性比较大。下面几个措施供参考：

一、再找几个灰鸽子专杀和落雪木马专杀工具，一定到安全模式下查杀。

二、查找可疑模块：

1、冰刃－进程，在右边界面选中iexplore.exe进程，右键选中“模块信息”，查找与iexplore.exe相关联的可疑dll、exe文件。也查查与“WINLOGON.EXE”关联的模块，灰鸽子2004是注入explorer.exe和winlogon.exe进程。



2、这些dll、exe文件一般在%SystemRoot%\system32\目录下，也可以直接到system32和%SystemRoot%\windows目录下，按时间排序，从最近时间的文件中查找可疑文件。或者选中第一个文件，然后按上、下光标，把目录下所有文件都走一边，运气好的话，病毒实时监控程序会自动检测到可疑的文件。

三、几个判断信息：

1、查看Windows目录下是否有Game.exe、Game.dll、Game_Hook.dll以及Gamekey.dll文件。

2、在系统服务里，查看是否有“svchost.exe 应用端程序”服务项目。如有，双击打开，在常规项中，查看其可执行文件路径及名称。找到文件，删除。

四、以上都不得，又不想重装，在安全模式下把ie所在的文件夹改个名字，换其他浏览器。

SailingStar

另外，开始－运行－cmd，netstat -a -b，查看IEXPLORE.EXE是否有连接远程8000端口的连接，如有，灰鸽子确定无疑。

softice616

还没搞定？

那再试试 processxp，查看下iexplorer调用了哪个dll：

chhao11

iexplorer调用情况见图

chhao11

现在应该查找什么启动了这个进程。我不知怎么找，没办法判断，请教。

chhao11

QUOTE:

Posted by SailingStar on 2007-10-4 12:17
从问题描述看，推测是iexplore.exe被注入了，灰鸽子或者落雪木马的可能性比较大。下面几个措施供参考：

一、再找几个灰鸽子专杀和落雪木马专杀工具，一定到安全模式下查杀。

二、查找可疑模块：

1、冰 ...

基本上按兄的去做了，没有能找到，谢谢。

softice616

_pk.dll ？

chhao11

lpk.dll模块如图，不知有没有问题。

SailingStar

在以下目录是否存在这些文件：

%ProgramFiles%\Internet Explorer\msvcrt.bak
%ProgramFiles%\Internet Explorer\msvcrt.dll
%ProgramFiles%\Common Files\Relive.dll
%ProgramFiles%\Internet Explorer\msvcrt.ebk（可能存在）

SailingStar

在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run是否有Advapi32？

SailingStar

右边倒数第二个的WinSxS\x86_Microsoft.Wi...加载的是什么？

chhao11

都没有，倒数第二个我得查查，因我已结束进程，得重新启动才能看。谢谢。

chhao11

模块        公司名称        创建日期        修改日期        文件描述       
C:\WINDOWS\system32\ntdll.dll        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        NT Layer DLL
C:\WINDOWS\system32\kernel32.dll        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        Windows NT BASE API Client DLL
C:\WINDOWS\system32\ADVAPI32.dll        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        Advanced Windows 32 Base API
C:\WINDOWS\system32\RPCRT4.dll        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        Remote Procedure Call Runtime
C:\WINDOWS\system32\GDI32.dll        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        GDI Client DLL
C:\WINDOWS\system32\USER32.dll        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        Windows XP USER API Client DLL
C:\WINDOWS\system32\msvcrt.dll        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        Windows NT CRT DLL
C:\WINDOWS\system32\SHLWAPI.dll        Microsoft Corporation        2004-8-17 12:00:00        2006-9-23 12:12:34        Shell Light-weight Utility Library
C:\WINDOWS\system32\SHELL32.dll        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        Windows Shell Common Dll
C:\WINDOWS\system32\ole32.dll        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        Microsoft OLE for Windows
C:\WINDOWS\system32\urlmon.dll        Microsoft Corporation        2004-8-17 12:00:00        2006-11-7 21:03:36        OLE32 Extensions for Win32
C:\WINDOWS\system32\OLEAUT32.dll        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        0
C:\WINDOWS\system32\iertutil.dll        Microsoft Corporation        2006-10-17 11:57:20        2007-6-27 22:04:48        Run time utility for Internet Explorer
C:\WINDOWS\system32\VERSION.dll        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        Version Checking and File Installation Libraries
C:\WINDOWS\system32\IMM32.DLL        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        Windows XP IMM32 API Client DLL
C:\WINDOWS\system32\LPK.DLL        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        Language Pack
C:\WINDOWS\system32\USP10.dll        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        Uniscribe Unicode script processor
C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2982_x-ww_ac3f9c03\comctl32.dll        Microsoft Corporation        2007-2-3 9:53:26        2006-8-25 23:49:42        User Experience Controls Library
C:\WINDOWS\system32\comctl32.dll        Microsoft Corporation        2004-8-17 12:00:00        2004-8-17 12:00:00        Common Controls Library
--------------
超级进程管理器        1.0.1.920        模块列表        (19)        2007-10-4 19:18:42

SailingStar

ie的没看出有什么异常。请LZ再费点事，把winlogon.exe和那5个svchost.exe的进程模块发上来。

chhao11

没有winlogon.exe进程，随后发svchost.exe进程模块