作者iicbm (科四海)
看板AntiVirus
标题[中毒] 我也来中个60秒重开机毒
时间Wed Oct 1 16:08:52 2008
PO文请使用下列格式并将有要求的档案附上
资料越详细才有办法了解情况并作适当处理
1.问题描述：
请在下面说明碰到的中毒情形，越详细越好(可贴图说明)：
a) 也是RPC60秒倒数重开机
b) 之前有两三个礼拜在msn对话视窗上按crtl+v会贴上print screen，
在其他地方则会贴上真正复制的东西
c)有时候点选windows防火墙，会出现"因为无法辨识的问题，windows防火墙无法开启"
2.扫毒报告：
请先使用扫毒软体执行全机扫描後将扫毒结果传到置底空间
如会扫描很久请最少扫描以下位置和防毒软体显示的中毒档案位置：
C:\Windows\System32 C:\Windows C:\Program Files
请尽可能提供扫毒报告，如无法扫描请务必注明，也可使用线上扫毒扫描报告
线上扫毒使用方式请看
用过Trendmicro 的housecall，没有发现病毒
3.系统辅助分析软体扫描报告：
此处报告为需了解你系统内有何程式启动和常驻所必须要的报告
请将扫描结果上传至置底空间，置底空间无法使用者请改用http://www.kotuha.com
使用方式：
Combofix： http://reinfors.googlepages.com/Combofix.html
Hijackthis： http://reinfors.googlepages.com/Hijackthis
SRENG： http://reinfors.googlepages.com/SRENG.html
如无法使用网路请看 1 - 8 使用方式
4.报告连结：
请将扫描报告(log)贴於下方 (上面的全要)
Combofix ：
http://sun.cis.scu.edu.tw/~92a39/upload/32722.txt
Hijackthis：
http://sun.cis.scu.edu.tw/~92a39/upload/32723.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/32724.txt
EFix ：
http://sun.cis.scu.edu.tw/~92a39/upload/32725.txt
扫毒报告 ：
EFix485 ：
http://sun.cis.scu.edu.tw/~92a39/upload/32726.txt
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 24.86.163.222
※ 编辑: iicbm 来自: 24.86.163.222 (10/01 16:14)
1F：推 junorn:你下这个执行之後将扫描报告贴上来 10/01 16:54
补上efix485，谢谢
之前也有一阵子，线上游戏进行中会狂拍照，因为会按到v键
所以会不会也跟这病毒有关(复制功能失常)
※ 编辑: iicbm 来自: 24.86.163.222 (10/01 17:26)
3F：推 junorn:先下载正常的spoolsv.exe档案到 10/01 17:37
4F：→ junorn:windows\system32\dllcache资料夹底下之後再跑一次EFix 10/01 17:37
补上EF
http://sun.cis.scu.edu.tw/~92a39/upload/32732.txt
另外，我没有vxmessen.exe, sprint.dll, mssvch.dll这三个档案
※ 编辑: iicbm 来自: 24.86.163.222 (10/02 01:31)
5F：推 junorn:你那个spoolsv.exe是从哪边下载的？ 10/02 09:27
6F：→ iicbm:从之前有一篇文里面，大大你给的连结 10/02 09:54
7F：→ iicbm:17947 10/02 09:55
8F：推 junorn:那我看可能还是要先将全部的spoolsv.exe删掉才行 10/02 12:57
9F：→ iicbm:orz......真辛苦 10/02 13:18
10F：推 junorn:没办法这攻击很麻烦，加上复制过去的档案被瞬杀也只能先这 10/02 13:20
11F：→ junorn:样 10/02 13:21
12F：→ iicbm:已经两天过去了，还没发生问题，谢谢 10/04 12:41