作者magickaka (magickaka)
看板AntiVirus
标题[中毒] TR/Crypt.XPACK.Gen Trojan
时间Tue Nov 18 13:55:05 2008
问题描述：
昨天下载一个压缩档之後，用小红伞扫描没有反应，解开扫也没反应，
就手贱地点了两下，想不到一执行，小红伞叫了几声，
在隔离区就看到dlds1.exe、dlds2.exe、dlds5.exe、dlds6.exe、dlds7.exe
这几个档案
想说看看是哪个程式在搞鬼，结果工作管理员被锁住，
进安全模式扫毒、spybot、a-squared Free、combofix扫完之後
小红伞没扫到毒
spybot扫出virtumonde
a-squared Free只有cookies
但重开机之後spywareguard会一直提醒我要新增BHO，
我必须要一直取消，看了log档觉得ddcaywVp.dll、MlJBUKdD.dll、xidmqcdc.dll
这三个档案非常可疑，又不敢乱删，上来请教各位
扫描报告：
Combofix ：
http://sun.cis.scu.edu.tw/~92a39/upload/33399.txt
Hijackthis：
http://sun.cis.scu.edu.tw/~92a39/upload/33397.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/33398.txt
ad-aware扫也是cookies而已，
版上找到的vundofix、FxVMonde、fixvundo扫都没扫到东西，
unlocker把锁住的档案解开就会蓝屏当机
历经了千万次的重开以及扫描之後，
用efix493扫描完之後
在网路上找到VirtumundoBeGone.exe这个程式
附上连结：
http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe
最後还是蓝屏当机了，不过重开之後奇怪的档案就被更名，
删除後到目前为止正常使用…
-
log已更新
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 210.192.215.75
1F：→ magickaka:重开机进安全模式combofix再扫一次 然後又出现另外的档 11/18 15:38
2F：→ magickaka:而且不是lsass锁住就是winlogon锁住 糟了 @@" 11/18 15:39
3F：→ nonono123:找vundo 11/18 15:44
4F：→ magickaka:谢谢 扫描中.. 11/18 15:47
※ 编辑: magickaka 来自: 210.192.215.75 (11/18 18:41)
5F：→ junorn:上面那三个档案都可以删。 11/18 19:45
※ 编辑: magickaka 来自: 210.192.215.75 (11/18 20:59)
※ 编辑: magickaka 来自: 210.192.215.75 (11/18 21:15)
6F：→ magickaka:感谢二位的协助 <(＿ ＿)> 11/18 21:16