作者gispuppy (坏人模式-吉士)
看板AntiVirus
标题[闲聊] 最近遇到的机车随身碟病毒！
时间Thu Jul 9 01:05:57 2009
之前随身碟病毒通常都是建立autorun.inf去传染病毒，
後来我们都帮随身碟做一个免疫资料夹，
或是用超级巡警USB免疫器帮随身碟做免疫，
其原理就是建立一个无法删除的资料夹，
当你删除时，会出现「无法删除 无法读取来源资料夹或档案」的视窗，想要删掉这个资
料夹除了解除免疫，也只能做格式化了。
刚刚碰到一个case，想说只是单纯的随身碟中毒，
没想到这个随身碟病毒会破坏系统档案，cmd、regedit等全部破坏，
开机时会跳出工作管理员视窗，但是这是病毒造成的假象，
病毒传染途径是一个为driver.exe的档案，
一开机会执行的档案藏在C:\Windows\Tasks 内，档名为taskmgr.exe，
这个档案就算你解除"隐藏档案"、"显示所有系统档案"都看不到，
你看得到隐藏档案、系统档案就是看不到它，
最机车的是，它会学免疫器在传染途径的资料夹内，
建一个让你删不掉的资料夹，
档案名称例如像：
F:\recycle.{S-1-5-21-823518204-2000478354-1177238915-500}\safe.
就算你删掉病毒传染档案，这个资料夹也是让你删不掉，
当你要删掉这个病毒资料夹，也会出现「无法删除 无法读取来源资料夹或档案」视窗
变成你要把所有档案都拉出来，再重新格式化，这个垃圾资料夹才会删掉，
开始头痛了！！！！！！
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 122.120.240.103
1F：推 KarasuTW:用 SREng 作者作的 RenamePlus 可以强制更名 07/09 03:42
2F：→ KarasuTW:不然也可以用 DeleteFXP 来处理 大概 XD 好久没用了 07/09 03:42
3F：推 KarasuTW:Unlocker 有效 07/09 03:50
4F：→ mp607:那个资料夹其实可以删... 07/09 10:31
5F：→ mp607:rd f:\..好长...\safe..\ 这样应该可以:p 07/09 10:32
6F：推 icemonkey200:进nero删... 07/09 16:31
7F：推 agong:今天到的是变成 系统档(隐藏档). 打开隐藏才删除掉. 07/09 20:30
8F：→ valater:删不掉时可以看一下是否权限被拿掉 07/10 16:40