内网中毒(疑ROOTKIT,大家帮忙看下)

[gumwater]

win03
内网中出现多个不存在的IP与mac(例:10.10.10.2.230-00:22:00:00:cc:cc),可以ping通(自己无法

ping通自己)该IP,返回包时延偏大(30ms左右),经过交换机查看,拨线等方式,确定该MAC-IP对应所

在的主机,登录该主机上用procexp(专门进程查看工具)未发现任何异常进程,未发现异常连接,cpu,ram,硬盘读写均正常,在该

机上用科来抓包,发现有ping请求包,却未发现违造IP(10.10.2.230)的回复包

各位高手帮忙看看问题所在.
IP与mac是随机,很容易与本内网主机IP冲突,不知道是不是Rootkit类病毒木马

[drifter250771]

抓的包截图发来看看，进程图也发上来看看

[古井荡月]

同样的问题，何必发两次帖呢？

[ljc007]

积分多的朋友都喜欢重复发帖
不差钱儿

[huoyanming]

路过接分……

[jikuiyu]

Rootkit类病毒木马 是以管理员身份登录的

一般很难删除的

你还是先查查是不是Rootkit类病毒木马吧

建议找专杀

[pkuzhaojm1997]

路过，等着看回复学习。
笨办法就是，把可疑的进程和服务都列出来，一个一个的停，看看是谁在捣乱！

[古井荡月]

杀RK木马用ARK工具。。

[DevOps小强]

1、使用Icesowrd查看是否有隐藏进程
2、再检查一下驱动部分（C:\windows\system32\drivers）
3、检查网卡中加载的组件（与TCP/IP一起），是否有其他组件加载

[紫郢剑侠]

检测到的也可能是某台电脑上的虚拟机的IP与mac

[warren258]

用icesword可以看看有没有hook

[wgaiwuhan]

哪里找专杀？

[xcntime]

ARK：
icesword
wsyscheck
XueTr

knlps.exe
RkUnhooker
RootKit Hook Analyzer
RootkitRevealer
VundoFix
挨个软件试一试，就这么多了

或者再用Procmon WinsockXPFix 试试