作者hirokofan (笠原弘子 命！)
看板AntiVirus
标题Re: [求救] 电脑会一直利用25 port发圾垃信
时间Thu Apr 1 18:20:23 2010
http://kotuha.com/file/QzORE-combofix.html
http://kotuha.com/file/aaKJz-hijackthis.html
http://kotuha.com/file/eaZ6a-SREngLOG.html
异常现象：
1.电脑用25port发垃圾信
2.没开IE，在工作管理员发现会有iexplore.exe跳出来
强制关闭之後还会自动出现
3.插上随身碟之後，我的电脑没有出现随身碟所在的G槽
後来是用命令提示字元把ComboFix复制到电脑上
环境：
电脑所有者说有装防毒，可是我去看的时候发现avast目录里面是空的
只有一个看起来像扫木马程式的东西
处理：
1.EFix可以执行，没有删除任何档案
2.ComboFix无法执行
3.进入安全模式才能使用ComboFix，跑完有删除一堆东西
4.重开机後可以使用ComboFix
因为发现很多电脑都有用25port发垃圾信的情形，
但不知道是什麽毒、怎麽传染的，想防治也没有头绪
起先怀疑是透过随身碟感染（有人说他的随身碟拿到别的地方就被发现有毒）
後来看看不像，根目录没有autorun.inf等档案，电脑也有装wow usb viruskiller
後来猜想可能是有人开了电子邮件中带毒的附件但没有证据
希望有类似经验的人提供线索，不然现在只能消极的从防火墙挡port而已>_<
--
◢███◣
◤ ≡ ______________________________________
─⊙-⊙- / \
皿 _/ 把台湾那些可悲的节目收一收 该吃饭了 /
◣ ︶◢ \______________________________________/
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 114.39.29.96
1F：推 junorn:听起来还蛮像SROSA ROOTKIT的。 04/01 19:18
2F：→ flu:病毒来源的话 不小心用ie看某网页中了毒 牠可能会找逗阵的来 04/01 19:55
3F：→ hirokofan:偏偏那台电脑一堆人在用，总不能每个都抓来严刑拷打吧XD 04/01 20:48
已补log
※ 编辑: hirokofan 来自: 61.223.192.143 (04/02 08:17)
4F：推 junorn:这个检查看看 04/02 09:11
5F：→ junorn:c:\windows\system32\drivers\nfelnkxs.sys 04/02 09:12
6F：→ junorn:不过要小心他是SYSTEM START的，直接删有可能会挂系统 04/02 09:12
其实玩挂了也没差，已经没人敢用那个系统，最多就是把资料捞出来而已-_-
现在我在怀疑combofix砍掉的User Protection
据说这个也是假防毒，查看资料夹更动时间
这个被装进去之後，过两个小时防毒就消失了
※ 编辑: hirokofan 来自: 114.39.32.186 (04/02 21:03)
7F：推 junorn:那就有可能。 04/02 21:11