作者givelove (啊 你不懂啦!! )
看板AntiVirus
标题[中毒] 无法删除Trojan.Win32.Agent.twl
时间Mon Jul 21 18:43:51 2008
1.问题描述：
请在下面说明碰到的中毒情形，越详细越好(可贴图说明)：
因电脑最近关机後有时候都还会自动开机
使用a-squared Anti-Malware - 版本 3.5扫瞄後跑出Trojan.Win32.Agent.twl
木马 在扫描後显示直接删除 但 再次扫描却发现还是有这个木马存在
档案位置C:\WINDOWS\System32\svchost.exe 如果由我的电脑位置删除
就会显示某程式被关闭几秒後电脑重新开机
但档案还是删除不了
2.扫毒报告：
请先使用扫毒软体执行全机扫描後将扫毒结果传到置底空间
如会扫描很久请最少扫描以下位置和防毒软体显示的中毒档案位置：
C:\Windows\System32 C:\Windows C:\Program Files
请尽可能提供扫毒报告，如无法扫描请务必注明，也可使用线上扫毒扫描报告
线上扫毒使用方式请看
使用NOD32扫毒後显示没有病毒
3.系统辅助分析软体扫描报告：
此处报告为需了解你系统内有何程式启动和常驻所必须要的报告
请将扫描结果上传至置底空间，置底空间无法使用者请改用http://www.kotuha.com
使用方式：
Combofix： http://reinfors.googlepages.com/Combofix.html
Hijackthis： http://reinfors.googlepages.com/Hijackthis
SRENG： http://reinfors.googlepages.com/SRENG.html
如无法使用网路请看 1 - 8 使用方式
4.报告连结：
请将扫描报告(log)贴於下方 (上面的全要)
Combofix ： 下载Combofix 开始程式却没有反应
Hijackthis：
http://sun.cis.scu.edu.tw/~92a39/upload/31415.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/31416.txt
扫毒报告 ：
http://sun.cis.scu.edu.tw/~92a39/upload/31417.txt
麻烦各位达人帮帮小弟的忙
感激不尽..
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 220.131.74.171
1F：推 junorn:c:\windows\system32\svchost.exe是系统最重要的核心档案 07/21 19:53
2F：→ junorn:之一，删了就可以准备重灌了。 07/21 19:53
3F：→ givelove:看来 只有重灌了...感谢版主帮忙 07/21 20:36
4F：推 junorn:你要注意这个档案是正常的，重灌还是会在喔 07/21 20:51
5F：推 twsakura:这只木马该怎麽防呢?很多防毒捉不到，又会附在核心档案上 07/22 02:56
6F：推 junorn:简单说...误判啦。 07/22 09:13
7F：→ junorn:用误判率高的防毒自己要多留意。 07/22 09:14
8F：→ junorn:如果有碰到一些核心档案被修改的像userinit.exe或explorer 07/22 09:16
9F：→ junorn:这一类的，那就用cmd的ren指令去改档名就可以了很快 07/22 09:16