作者shaunchou (Shaun白)
看板AntiVirus
标题[问题] Regedit删除机码又出现 kdcah.exe
时间Tue Dec 2 14:41:29 2008
C:\WINDOWS\system32\kdcah.exe
我在Regedit的Run底下把它删掉,按了F5重新整理画面
他又会自己跑出来
翻遍google 也只有一篇关於kdcah.exe
而在该资料夹下,程式已经不在了
我用的防毒是 Antivir Premium 12/2 病毒码
扫完电脑也没发现病毒,颇怪
之前是有出现 resycled/boot.com 不见的讯息
但是也没有扫出这只病毒阿
另外还有一个很诡异的,我点Windows Update 他会连到www.msn.com
但是我透过Proxy的话就可以顺利连到Windows Update
而防毒更新也是,直接连线会不能更新Antivir
透过Proxy却又可以
真搞不懂电脑里面到底有没有毒阿QQ
附上EFix我觉得最诡异的地方:
catchme 0.3.1361 W2K/XP/Vista - userland rootkit detector by Gmer,
hxxp://www.gmer.net
扫描被隐藏的档案：
C:\temp\Temporary Internet Files\Content.IE5\QC2QP6WD\tw_yahoo_com[1].htm
C:\WINDOWS\SYSTEM32\kdcah.exe 67072 bytes executable
C:\WINDOWS\system32\kdcah.exe 67072 bytes executable
扫描被隐藏的程序：
扫描被隐藏的启动模组：
被隐藏的档案数量：3
.
=======================================================
这些档案我怎麽找都找不到阿QQ
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 59.115.225.37
※ 编辑: shaunchou 来自: 59.115.225.37 (12/02 15:33)
1F：推 junorn:把EFix的报告贴上来吧，用EFix自订脚本方式来删 12/02 16:29
3F：→ shaunchou:真的找不到那些档案耶 超怪 防毒和WOW也都没反应 12/02 16:42
4F：→ littlecho:丢virustotal分析看看吧 12/02 16:47
5F：推 junorn:他用rootkit技术隐藏档案了吧我猜 12/02 16:50
6F：推 junorn:我回文你试看看吧。 12/02 16:54
7F：→ littlecho:用icesword提取出来在做加工~ 12/02 17:04