作者hazel0093 (HAZEL)
看板AntiVirus
标题[求救] 随身碟所有资料夹变捷径 (csrss.exe)
时间Tue Jan 12 01:20:47 2016
1. 叙述问题：
就是资料夹变捷径，上网查过很多类似的案例
http://imgur.com/a/hVEdV
拿去影印店以後就中毒了，目前不确定有没有传到电脑上
目前本机的磁碟跟其他新插的装置都没有问题
用cmd执行attrib -s -r -h * /S /D以後，把csrss.exe跟捷径删光光以後
再重新插入电脑又变回原来的样子，看来csrss.exe也只是饵
难道问题在System Volume Information？
求大神解答。
2. 系统资料：
Windows 10 企业版 64x
Avira Professional Security 2014 中文版
--
Believe, believe, there's magic here tonight...
Believe, believe!
--
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/AntiVirus/M.1452532850.A.B53.html
1F：推 hirokofan: ....这毒超老的吧，对WIN10应该无效，但是资料怎麽找回 01/12 09:09
2F：→ hirokofan: 来可能比较麻烦，我都是塞给LINUX去处理 01/12 09:09
3F：推 hirokofan: 我都用最笨的方法，档案复制出来，随身碟格式化再COPY 01/12 09:12
4F：→ hirokofan: 回去-_- 01/12 09:12
结论我猜是win10中毒不会扩散，但本身win10也会执行病毒
根据本版推文
#1JSkg5vk (AntiVirus)
OK，我刚刚搞定了这个东西，他自我复制到本机路径大概是在
登录编辑程式中的起始选项
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
旁边也有一个假的csrss.exe，这个路径就是指向他自我复制到本机
C:Users\使用者名称\AppData\Roaming\Microsoft\Crypto\fH\csrss.exe
开工作管理员，有三个csrss.exe，其中一个居然不是system执行的，马上停止
问题是小红伞居然不认为这是毒，只好手动隔离删除
5F：→ malk1986: 有些地方以为是有人住的 但是你去过的地方却是空的!? 01/12 17:30
6F：→ malk1986: 用 SystemExplorer 试试看 这东西可以侦测假执行档案 01/12 17:32
上传给小红伞实验室，得到回信是这样
Filename Result
7261d429.vir MALWARE
The file '7261d429.vir' has been determined to be 'MALWARE'. Our analysts
named the threat TR/Agent.177152.120. The term "TR/" denotes a trojan horse
that is able to spy out data, to violate your privacy or carry out unwanted
modifications to the system. Detection is added to our virus definition file
(VDF) starting with version 8.12.44.242.
这也真奇怪，自己产品不当他是病毒，防毒公司居然又说他是病毒
※ 编辑: hazel0093 (140.119.136.250), 01/12/2016 19:30:36
7F：推 hirokofan: XD 01/13 11:40
8F：→ George017: 就启发式没抓到啊！所以你看他回你的最後面 01/13 11:47
9F：→ George017: 他把你贡献的这支加入病毒资料库里了 01/13 11:48