作者DOREK (多雷克)
看板AntiVirus
标题[求救] 电脑重开机档案夹会变exe且用过efix(已爬文)
时间Mon Dec 6 22:44:07 2010
1.叙述问题：
小弟我被这恶搞病毒搞好几天了
这病毒传染途径我猜应该是我的usb插到学校电脑後又回家插在家里
当时又因为刚睡醒没发现档案全变成exe档於是开下去
现在变成每次开电脑档案就会全变成exe档
我有稍微观察发现
他还会封锁我的工作管理员
所以变成要去regedit那边将system的设定由1改为0(每次开机都会再设成1)
然後关掉两个工作程序" system32" 和 " wowexxx"(xxx是忘记了)
这两个程序的特色是前面都有一个空格 + 没有任何记忆体资讯
关掉之後
(本人曾经尝试没关过就重设资料夹，结果资料夹直接跑不见并多出同名exe档在dos里)
再跑attrib
才把全部隐藏档跑出来
而且没关还不能复制贴上任何文字与档案...
2.系统资料：
windows7 & avast 5.0
3.扫毒报告：
avast我是设定为萤幕保护程式自动扫瞄
也都没扫到相关病毒
而efix档在这
http://sun.cis.scu.edu.tw/~92a39/upload/40841.txt
4.分析报告
这个要写什麽=_="
先感谢大大解答
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 114.45.128.246
1F：→ DOREK:顺便说一下，也出现一堆"desktop.ini"档在一些资料夹内 12/06 23:08
2F：→ DOREK:而且开机会自己开启desktop这个档案，内容看不懂，是文字档 12/06 23:09
3F：→ DOREK:再补充一下 他是systim32不是system32 12/07 00:10
4F：→ DOREK:而那个wo的正确档名为wowecex 12/07 00:11
5F：推 junorn:挖靠...system32底下资料夹都被隐藏，这个够狠 12/07 00:22
6F：→ junorn:你先找档案大小是145664的先将他删掉吧，应该很多 12/07 00:24
7F：→ junorn:这个可能光靠EFix没效果，找COMBOFIX修看看 12/07 00:25
8F：→ DOREK:再补一个arswp3的报告 12/07 00:52
9F：→ DOREK:COMBOFIX的红色老虎试过 贴板上的文字档上去也没用 12/07 00:57
11F：推 junorn:听描述像vundo，并且是新种的...把那个145664大小的档案传 12/07 01:07
12F：→ junorn:防毒厂去分析在解看看吧，你贴的报告目前都看不出哪边问题 12/07 01:07
13F：→ DOREK:要怎的找档案大小是145664的呢? 12/07 09:43
14F：推 junorn:用Windows搜寻功能吧...命令提示字元的话不好打 12/07 10:01
15F：→ kaomike:我之前好像有用手动解过(不知道完全不完全)至少没再发作过 12/07 19:12
16F：→ kaomike:到SYSTEM32里找一些不是原来的隐藏资料夹，其中一个里面会 12/07 19:13
17F：→ kaomike:有一个执行档(当时看就不像是XP的~所以就砍了)再把 12/07 19:14
18F：→ kaomike:那些资料夹.EXE删除重开机GET没事了耶但是病毒名称没记住 12/07 19:14