作者ccllcc (单车阿滚)
看板AntiVirus
标题[求救] 扫EFIX 卡在类型5之後就不动了
时间Sun Feb 7 23:29:26 2010
1. 叙述问题：
我中了[资料夹.exe]後，有点过[假的资料夹.exe]，跑过efix(最新版)，
也有到system32里面删除[乱数产生的隐藏资料夹]
也去删除了，启动里面的 病毒.lnk
不知道为什麽，之前跑到脚本 类型4的时候发现病毒并清除，
问题来了不知道为什麽，跑efix但是总是会停在
类型5
2. 系统资料：
Windows XP SP3
NOD32 2.7
3. 分析报告：
分析报告上传免费空间：http://sun.cis.scu.edu.tw/~92a39/upload.php
Combofix报告：
http://sun.cis.scu.edu.tw/~92a39/upload/38274.txt
Hijackthis ：
http://sun.cis.scu.edu.tw/~92a39/upload/38275.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/38276.txt
防毒软体报告：
没有扫到病毒
麻烦高手了，谢谢
--
▄▄
▄▄ ▄
㊣ccllcc
▄▄▄▄ ▄
▄
▄▄ ▄ ▄ ▄
人生的旅途中，我们不停的奔跑
▄▄ ▄ ▄ 别忘了有时候也停下来看看
▄▄▄▄▄ ▄ ▄ ▄▄
▄ 天空是多麽的美好唷..呵..
▄▄ ▄▄ ▄
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 59.115.20.189
1F：推 junorn:将EF档案放到c:\，然後按开始 -> 执行 -> 输入cmd後按确定 02/08 00:41
2F：→ junorn:之後在跳出的黑色视窗输入下列文字按ENTER ( 一次一行 ) 02/08 00:42
3F：→ junorn:SET DEBUG=DEBUG 02/08 00:42
4F：→ junorn:C:\EF2010020104.exe 02/08 00:43
5F：→ junorn:之後大概跑十分钟要还是没动的话就将视窗关闭 02/08 00:44
6F：→ junorn:然後将c:\ef_debug.txt文字内容传上来 02/08 00:44
7F：→ ccllcc:上传失败!!(档案过大:您的档案大小为1378098)，请将此数字 02/08 23:13
8F：→ ccllcc:回报给chi39 02/08 23:13
10F：推 junorn:似乎你C槽里面有超大.com档，findstr扫描到超长字串当掉 02/08 23:48
11F：→ ccllcc:没有啊，我刚刚有用搜寻去找 最大47k NTDETECT.COM 02/08 23:58
12F：推 junorn:那就不清楚了，看讯息是到扫描各磁碟所有com档案时会搜寻字 02/09 01:10
13F：→ junorn:串GetProcess currentprocess GetFileSizeEx 的时候一直跳 02/09 01:11
14F：→ junorn:行太长。要马就是findstr的bug要马就是碰到超大档案 02/09 01:12
15F：→ junorn:不过这也是我第一次碰到也不确定就是. 02/09 01:12
16F：推 junorn:不然您帮我看一下在c:\ef\temp里面应该会有一个叫做 02/09 01:18
17F：→ junorn:autorun01的档案，您帮我将那档案传空间贴连结上来 02/09 01:18
19F：→ ccllcc:麻烦您了，看起来那个rmvb的程式是很长没错，会不会有可能 02/09 07:27
20F：→ ccllcc:简体字跟日文档名会判读错误呢？读到乱码之类的 谢谢您了 02/09 07:28
21F：推 junorn:基本上是有可能，命令提示字元对其他编码判读问题很多 02/09 09:15
22F：→ ccllcc:这样可能会影响後续的程式执行，可以加上略过错误的选项吗? 02/09 23:49
23F：→ junorn:很难，几乎不可能. 02/10 01:16
24F：→ junorn:那是命令提示字元的问题除非微软那边有改，不然无解 02/10 01:18
25F：→ junorn:而且自动化脚本是前面有问题，後面要没问题很难.. 02/10 01:20
26F：推 junorn:不然就会发生像很久以前因为前面的错误结果造成後面执行结 02/10 01:28
27F：→ junorn:果错误最後就删除全系统磁碟档案的问题存在.... 02/10 01:29