作者skm032 (豆皮)
看板AntiVirus
标题[中毒] 从 rundll32.exe 错误谈起
时间Wed Jul 16 21:10:56 2008
1.问题描述：
下午我点了这个网站里的下载连结，但不确定是否是该网页造成
http://www.dailykeys.com/today/bluesoleil_6_serial.html
选择直接开启，结果电脑跑出大量的网页视窗，後我将全网页关闭，感觉可能有中毒
重开机出现rundll32.exe错误，但工作管理员占cpu的不是它 是system idle process
後我将该程序关闭，再重开没有再出现错误，但是上网时，感觉桌面会不断重整
不定时EXPLORE.EXE会关闭，就没有桌面了
用comodo antivirus 2.0 beta 没扫到病毒，
晚上我又将防毒软体灌回小红伞 Avira AntiVir Premium ，更新完立刻扫到病毒
分别是在system32目录下的 awxlrwek.dll 和 rqRjggeb.dll
移到隔离区会持续跑出提醒视窗，并且无法执行IE FF
我将红伞暂时关闭，到该目录手动删除，会出现正被使用中而删除失败
GOOGLE上没有关於这两个档案的相关资料，是误判吗 ? 但感觉却确实有中毒
请各位帮帮我，因为资料多重灌不方便，谢谢
2.扫毒报告：
Virus or unwanted program 'TR/Vundo.Gen [trojan]'
detected in file 'C:\WINDOWS\system32\rqRjggeb.dll.
Action performed: Deny access
Virus or unwanted program 'TR/Monder.81408.1 [trojan]'
detected in file 'C:\WINDOWS\system32\awxlrwek.dll.
Action performed: Deny access
3.报告连结：
Hijackthis：
http://sun.cis.scu.edu.tw/~92a39/upload/31336.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/31335.txt
--
打开电视看到小丸子的爷爷也在看电视
http://liormasculine.blogspot.com
旅游‧美食‧YES
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 118.167.173.127
1F：推 junorn:有点严重... 07/16 21:23
2F：→ skm032:那是没有解药了吗..我不要重灌阿 +__+ 07/16 21:38
3F：推 junorn:有，不过我现在用的不是我的电脑...要找程式用 07/16 21:42
4F：→ skm032:那就等版大的好消息了..目前还没有更严重状况发生 07/16 21:44
5F：推 junorn:combofix现在有bug不适合用...不然用他最快 07/16 22:02
6F：→ junorn:the avenger hkcr机码似乎也不能删0rz 07/16 22:03
7F：→ skm032:版大，我刚刚用了COMBOFIX，有新的LOG档 07/16 22:47
8F：→ skm032:它有删除档案，我也有手动删除，不知道现在有没有比较好 07/16 22:48
10F：推 junorn:基本上应该ok，扫个毒看看吧 07/16 23:08