作者estupid (For What)
看板AntiVirus
标题[求救] win7 X64有种被攻陷的感觉
时间Thu Sep 2 01:44:39 2010
1. 叙述问题：
自从升级RAM後灌了X64 红伞一直冒出病毒通知
前天中一套 a.bat, gz ,run.vbs ,ff.bat
昨天中假的系统档 档名我忘了
今天中假的 csrss.exe
之前X32时期没这麽严重过
东西都灌一样的 顶多有X64的软体换X64
不知道哪里被开洞了
恳请高手帮忙
2. 系统资料：
使用的作业系统 Windows7 X64
使用的防毒软体 小红伞 COMODO 5 BETA
3. 分析报告：
Combofix报告：
LOG没有出来....
Hijackthis ：
http://sun.cis.scu.edu.tw/~92a39/upload/40349.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/40350.txt
--
╱▇▇╲ 哈哈哈～～来追我呀 ◢██◣ 哈哈哈～～你这个小坏蛋
│ │ ◤◤◤◤
● ● │ ． ● ●
╲▼ ╱ ． "〃＿＿＿◥▼ ◤◣
/※※\ … … └≡▆▇▇▅▅▆▆
< ﹨ C4 ‥ " ▇》▃(└▇▆ 阿富汗爱情故事 ψmroscar
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 114.34.0.239
1F：推 elfkiller:有被植入rookie 但资讯太少我看不出来隐藏在哪 09/02 08:00
2F：推 elfkiller:关掉comodo,再用combofix和sreng扫一次看看 09/02 08:05
3F：→ elfkiller:不过建议全部槽格式化重灌,如果重要资料都有备份的话 09/02 08:06
4F：推 elfkiller:抱歉,是rootkit,英文太破... 09/02 08:08
5F：推 elfkiller:忘了说,关comodo前记得先拔掉网路线 09/02 08:13
6F：→ estupid:收到 等等来试 09/02 10:09
以下为安全模式执行..
combofix说不支援X64= =
sreng
http://sun.cis.scu.edu.tw/~92a39/upload/40351.txt
※ 编辑: estupid 来自: 114.34.0.239 (09/02 10:29)
7F：→ terry77720:怪逻辑 09/02 14:25
8F：→ jxpc:好奇询问登入的帐户权限是[受限制的使用者]还是[系统管理员] 09/04 05:38
9F：→ jxpc:控制台-使用者帐户-视窗右方会告知帐号名称和权限类型，以及 09/04 05:40
10F：→ jxpc:是否受密码保护(使用者是否有设定登入密码) 09/04 05:40
11F：→ jxpc:还有想询问UAC(电脑变更的通知时机)等级 09/04 05:41
12F：→ jxpc:更正，[受限制的使用者]在Win7应为[标准使用者] 09/04 05:44
13F：推 eragon:如果嫌麻烦重灌最快 平常就要养成备份资料的习惯 09/04 13:23
14F：→ estupid:系统管理员 要用CMD叫出来那种 09/04 23:46