作者hanne81 (相信会有一天)
看板AntiVirus
标题[求救] 一直开出广告页面
时间Tue Jun 22 02:14:34 2010
1. 叙述问题：
星期一(06/21)中午之前都没发生问题
下午开始就大约每隔几分钟就会开出一个广告视窗
因为看开始工具列的网路小图示一直在闪，觉得怪怪的
就用Wireshark抓封包，发现一直有不同的IP传送UDP封包到我的电脑
06/22早上
我本来桌面上的IE捷径已经删掉，忽然又出现了
我装了COMODO之後，看到svchost开了一个port 2869
查了发现是SSDP但容易变成Trojan port
暂时先关掉服务了 也暂时先把IE封锁了
06/22下午
我一开启Skype就看到COMODO里面Skype疯狂收到UDP port 1647的封包
查一下1647，就是我用wireshark抓到的一堆UDP封包
(但是我没开Skype的时候还是一直有那些封包打过来)
请问有人知道这情况要怎麽解决吗？
2. 系统资料：
Windows XP SP3
Avira AntiVir PersonalEdition Classic
3. 分析报告：
Combofix报告：
http://sun.cis.scu.edu.tw/~92a39/upload/39828.txt
Hijackthis ：
http://sun.cis.scu.edu.tw/~92a39/upload/39829.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/39830.txt
防毒软体报告：
(只有用防毒软体扫瞄C槽，没有出现错误)
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 122.122.251.135
※ 编辑: hanne81 来自: 122.122.251.135 (06/22 07:34)
※ 编辑: hanne81 来自: 140.116.247.16 (06/22 10:42)
※ 编辑: hanne81 来自: 140.116.247.16 (06/22 16:03)
1F：推 junorn:没看到甚麽异常的程序，就最近碰到经验来说要码是MBR 06/22 19:54
2F：→ junorn:要码就是有新的漏洞远端直接攻击 06/22 19:54
3F：→ hanne81:那请问我这个学术网路的固定IP被UDP攻击 有什麽方法可以解 06/23 01:37
4F：→ hanne81:决吗？我现在先躲在一台AP後面 然後先移除Skype 就没直接 06/23 01:38
5F：→ hanne81:打到我的电脑 可是AP那边还是一直收到UDP ... orz 06/23 01:38
6F：→ hanne81:请教关於MBR病毒，我若是用XP光碟开机进去修复主控台 06/23 09:36
7F：→ hanne81:然後fixmbr，可以不重新安装就清除病毒吗？还是执行这个 06/23 09:37
8F：→ hanne81:就一定要重新安装Windows？ 06/23 09:37
※ 编辑: hanne81 来自: 140.116.247.36 (06/23 10:01)
9F：推 junorn:FIXMBR吗？看情形，一般是不用重装 06/23 11:03
10F：→ junorn:假设是被攻击的话，那就是请网管处理不然也没别的办法。 06/23 11:04
11F：→ junorn:这种攻击也不像ARP在区网内的可以拿折凳找人谈，所以没办法 06/23 11:04
12F：→ hanne81:非常感谢你 我再找网管看看 目前就只能用防火墙暂时挡 06/24 11:33