作者coldaqua (048/04/06/04/07)
站内AntiVirus
标题[求救] 隐藏资料夹并制作隐藏同名.exe假档 (使用硬碟救援软体可见)
时间Fri Aug 21 20:24:29 2009
1. 叙述问题：
8/5带一颗随身硬碟到学校 是别人帮忙抓资料进去(出门时关机是使用
"休眠")
硬碟平时是直接sata介面到电脑，开机前把硬碟接回去sata介面使用，
看到硬碟容量没增加，之後关机(正常关机)，再开机後发现硬碟容量减少，但没有
发现任何新增资料夹，但使用救援软体R-studio可以看到被隐藏的资料夹。
且可见多出的.exe档案 名称为
songs.exe &
shakespeare.exe
当时没发觉是病毒，使用救援软体复原到第一颗硬碟之後，用F-secure
就扫出上面两只毒。
但是无论"内容"点选不隐藏资料夹...等，或是用扫毒程式都无法扫出
在原中毒硬碟的两个档案，看不到也进不去资料夹
所以上来请求支援，希望高手能帮忙找出病灶
!!!!!!!!!!!!!谢谢!!!!!!!!!!!!
2. 系统资料：
使用的作业系统：Windows XP home sp3
使用的防毒软体：F-secure
3. 分析报告：
EFix：
http://sun.cis.scu.edu.tw/~92a39/upload/36006.txt
Combofix：
http://sun.cis.scu.edu.tw/~92a39/upload/36007.txt
Hijackthis：
http://sun.cis.scu.edu.tw/~92a39/upload/36008.txt
SRENG：
http://sun.cis.scu.edu.tw/~92a39/upload/36009.txt
再次感谢!!!!
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 118.170.16.136
1F：→ coldaqua:补充：目前系统无明显影响，希望不用格式化就删掉病毒 08/21 20:28
2F：推 TypeZero:单纯偷资料？ 08/21 21:15
3F：推 pokl123:在执行一次EF，然後勾选"还原随身碟含隐藏属性资料夹"试试 08/21 21:27
4F：推 maplefog:我都使用Linux删 08/21 22:06
系统感觉没变慢，毒没在C槽过 =>针对版主的问题。
用R-studio还原後，执行F-secure有抓到还原目的资料夹的那两只毒(d槽)，
但来源处的两只(在F槽内被隐藏的资料夹内)都没抓到，所以最大的困扰
是进不去被隐藏的资料夹。还是我应该把硬碟放回外接盒再扫？
(觉得好像有关系又没关系)
因为中毒时硬碟是放在外接盒里面的(要出门才装进外接盒，
平时是接sata速度比较快) =>针对三楼您说的，我有勾选耶!!是接sata扫描时
怎办呢...>"<
※ 编辑: coldaqua 来自: 118.170.14.132 (08/22 10:32)
5F：推 KarasuTW:无异常…用救援软体看到的应该是被删除的残骸吧 08/26 12:06
6F：→ KarasuTW:硬碟容量减少直觉是系统还原的问题 XDrz 08/26 12:07