作者Attui (show more we can do)
看板AntiVirus
标题[分享] 最近的kavo随身碟变种解法
时间Tue Mar 10 14:39:09 2009
大致上会出现以下几种状态
1.随身碟出现隐藏资料夹 ex A变成A隐藏 并出现A的执行档
点下去A的执行档就中毒 手动删除A的执行档也中毒
2.出现{{{或是}}}的资料夹
3.system32出现三个隐藏资料夹
2009/03/05最新版的EF会删除其中一个BE19**(四个数字)
但是另外两个不会删除 一个叫做AD**** 另外一个叫做****A
这三个资料夹我认为都是病毒 不过EF似乎只确认其中一个是病毒
dllcache应该是正确的资料夹
4.会出现recycle.exe 而且图示跟"真的"一样
5.(这点不太确定)
RECYCLER
System Volume Information
会出现tracking跟 跟RP*(数字一堆 从个位数到10位数都有)
里面放满有的没的一串dll跟杂七杂八 什麽snapshot之类的
删除也会出现 目前无解 不确定是不是病毒
6.windows有一个QTFont.qfn system32有一个wpa.dbl
这两个我也没办法确定是不是毒
目前大部分的资料我都是用最新版的unlocker删光光
有误或有其他建议心得也欢迎分享讨论:)
--
http://tw.youtube.com/watch?v=L1wXxQ0zbgk
The World Is Not Enough
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 61.221.173.34
※ 编辑: Attui 来自: 61.221.173.34 (03/10 14:40)
1F：→ jxpc:这只病毒处理过，因为WOWUSB已经挡不下了，所以改用病毒防御 03/10 15:06
2F：→ Attui:哪个 @@? 03/10 15:06
3F：→ jxpc:者，卸载服务後强制删除，在system有随机的大於数字档案夹， 03/10 15:07
4F：→ jxpc:删除之後再查询所有启动项目，确定没事之後再用ccleaner删除 03/10 15:08
5F：→ jxpc:弃置的机码，再使用efix和combofix再扫一次。 03/10 15:08
6F：推 bestpika:5.的[System Volume Information]是系统还原 03/10 15:27
7F：→ bestpika:[RECYCLER]是资原回收筒 03/10 15:27
8F：→ bestpika:上面那个关掉系统还原就好，下面那个可以删 不过只要下次 03/10 15:27
9F：→ bestpika:你有在那个磁碟机底下删过东西就会再出现 03/10 15:28
10F：→ Attui:@@ 我一直以为我关闭系统还原了 请问怎麽关闭 ? 03/10 16:07
11F：推 freezetime:请问一下 一直出现exe要怎麽解决呢? 03/10 16:55
12F：推 nicayoung:回楼上上，我的电脑上按右键>内容>系统还原 03/10 16:58
13F：推 junorn:这和kavo没有关系啦...一个用de..什麽写得忘了大概，这个用 03/10 17:18
14F：→ junorn:E语言写的. 03/10 17:19
15F：→ junorn:kavo之所以叫kavo是因为他所建立的恶意程式档案名称一直取 03/10 17:20
16F：→ junorn:名kavo.exe所以叫kavo. 03/10 17:21
17F：→ Attui:不好意思 对病毒不是很懂 XD 03/10 18:07
18F：→ Attui:已修正 谢谢j大分享 <(_ _)> 03/10 18:24