作者Amitabha (嗯)
看板AntiVirus
标题[中毒] yrrwnkb.inf
时间Mon May 26 09:41:53 2008
1.问题描述：
之前别人把随身碟给我，一插进去wow！usb（忘了装那一版）有出现警示，
但是我还是把身碟打开了@@，随後nod32就被关掉了，打不开，
移除後，无法重新安装nod32，因为一打开防毒软体的资料夹，
资料夹就会被关闭，不然就安装到一半会被终止，新版的wow 0.7板也会被关闭＠＠
後来找到卖咖啡企业板，有安装进去。
安全模式进不去，会重新开机，卖咖啡有抓到yrrwnkb.inf、xwatmat.exe
有侦测有删除，但是还是一直冒出来，现在已经重复500多次了，封锁了近100次。
整个电脑cpu loading都在搞这个。
想要去手动删除 但隐藏档案都看不到了，直接打路径进去，一进去视窗又会被关掉，
昨天卖咖啡的主控台还可以进去，今天不行了，只剩下常驻可以看到，
在硬碟上按右键也无法进行扫描，防毒软体还可以更新。
4.报告连结：
请将扫描报告(log)贴於下方 (上面的全要)
Combofix ：
http://sun.cis.scu.edu.tw/~92a39/upload/29889.txt
Hijackthis：
http://sun.cis.scu.edu.tw/~92a39/upload/29890.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/29891.txt
扫毒报告 ：
http://sun.cis.scu.edu.tw/~92a39/upload/29892.txt
（卡八线上扫毒）
刚刚执行完efix ，病毒就不在冒出来了，以下是log
http://sun.cis.scu.edu.tw/~92a39/upload/29893.txt
请大家帮我看看，感谢感谢！
感谢感谢，这是是新版log
http://sun.cis.scu.edu.tw/~92a39/upload/29894.txt
执行完以後，卖咖啡主控台可以开了～
感谢，依照指示做好了～ 中间电脑有自己重新开机。
http://sun.cis.scu.edu.tw/~92a39/upload/29895.txt
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 203.72.58.210
※ 编辑: Amitabha 来自: 203.72.58.210 (05/26 09:46)
1F：推 junorn:下载置底新版的EFix跑过之後将报告传上来，毒还在 05/26 09:48
2F：→ junorn:新版的在置底 05/26 09:53
※ 编辑: Amitabha 来自: 203.72.58.210 (05/26 09:54)
3F：→ Amitabha:感谢感谢，执行好了～ 05/26 09:55
4F：推 junorn:没删到...大概是因为autorun.inf还没出现的关系 05/26 09:56
5F：→ junorn:等我回文 05/26 09:56
※ 编辑: Amitabha 来自: 203.72.58.210 (05/26 10:12)
6F：推 junorn:ok，好了，扫个毒将扫到的病毒删掉就可以了 05/26 10:18
7F：→ Amitabha:感谢～（泪） 05/26 10:18
8F：→ Amitabha:有什麽我可以报答的吗（跪） 05/26 10:20
9F：推 junorn:报答吗？去找olliekr然後亲他就好了XD，不用找我XD 05/26 10:30
10F：→ Amitabha:(￣□￣|||)a 啊～ 05/26 10:54
11F：→ olliekr:躺着也中枪 (￣﹁￣) 05/26 13:12
12F：→ lcjjaff: ↖Olliekr在流口水 XDDDDDDDDD 05/26 19:31