作者Ouiful (每天都很糟)
看板AntiVirus
标题[求救] 公司电脑防毒被干掉了...
时间Sat Apr 6 12:09:54 2013
1. 叙述问题：工作管理员内有不明exe在执行，防毒软体公司统一用Sophos直接被删除
C:\WINDOWS\TEMP\里面会有以win为开头的乱码档名exe
即使删除也会过没多久又自动再生
在这里请依序详细说明你的电脑发生了什麽事情，如果有图片、影片更好！
2. 系统资料：
使用的作业系统（如：Windows XP、Windows Vista）Windows Xp SP3
使用的防毒软体Sophos Anti Virus
3. 分析报告：
Combofix报告：
https://docs.google.com/document/d/1xmnveka8Jej5uRH1udImcr8DMe4uispu6Kao5wboBMQ/edit?usp=drive_web
缩址：
http://ppt.cc/VQRQ
Hijackthis ：
https://docs.google.com/file/d/0B8K9YzFnivcjdFRCd2FVcXZrY28/edit?usp=drive_web
缩址：
http://ppt.cc/oVYW
SRENG ：
https://docs.google.com/file/d/0B8K9YzFnivcjYm9sMzZvMjZXX2c/edit?pli=1
缩址：
http://ppt.cc/mNmH
防毒软体报告：被干掉了，重装也没有任何侦测到的报告
http://ppt.cc/W-uY
工作管理员内乱码程式
执行combofix虽然可以把所见到的乱码程式删除
但是下次开机或隔天又会有相同的症状
於是必须再执行一次
另外如果防毒被干掉了以後
电脑里面原先放置的combofix跟防毒的安装档也无法使用
必须重新抓一份才能执行
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 1.162.173.98
※ 编辑: Ouiful 来自: 1.162.173.98 (04/06 12:18)
1F：→ turnipcar75:移除你所有的防毒 去下载江民与kaspersky光碟试试 04/07 21:33
2F：→ miamodo:被加载服务驱动.. 04/07 21:58
看的出来吗@@? 是哪一项?
3F：推 sennei:用卡巴斯基的救援光碟扫扫看吧...虽然这样的情况我认为直接 04/08 10:52
4F：→ sennei:重灌会比较快 04/08 10:52
公司的电脑使用已久，里面有前辈们留下来的资料
如果要备份会是非常非常大的工程 囧
5F：推 hirokofan:Monitor Time和Image Task这两个服务怪怪的 04/08 13:30
Monitor Time经由svchost导向「C:\WINDOWS\system32\cpvlmtbs.dll」
Image Task导向「C:\Program Files\Internet Explorer\cpvlmtbs.dll」
可是丢上网没有任何资讯...，不敢动
※ 编辑: Ouiful 来自: 111.251.95.152 (04/10 04:28)
6F：推 SDUM:在IE下? 丢到virus total 看看! 04/10 06:47
7F：推 hirokofan:所以我觉得奇怪啊....而且若是重要的DLL档，没道理两边 04/10 11:18
8F：→ hirokofan:各放一个，还放在系统跟IE的资料夹下 04/10 11:18
9F：推 miamodo:服务abp470n5,另外TEMP下那几个正在运行的exe查一吧. 04/10 18:37
abp470n5没有什麽相关讯息...
TEMP底下的执行档是乱数产生，每次删除後再生的档名都不一样
10F：推 miamodo:这个服务MBAMSwissArmy也很查一下吧. 下 04/10 18:49
查不到相关＠＠ 都说这只是个driver
※ 编辑: Ouiful 来自: 111.251.95.129 (04/11 01:50)
11F：推 miamodo:只能说如果是我处理,会先备份,再将h大和我认为可疑的全删. 04/12 10:02
12F：→ miamodo:如果这台电脑是个人的,会选择重装. 04/12 10:05