作者kochikame (Blitzkrieg)
看板AntiVirus
标题Re: [请益] 最近少去伊莉
时间Sun May 14 12:12:43 2017
※ 引述《DrDisk (At room man)》之铭言：
: 推 SuperSg: powershell.exe是什麽档案? 我发现我有一个，但安装日期 05/06 12:42
: → SuperSg: 是2009年了 05/06 12:42
: 推 catzvicky21: 感谢分享 扫出66个档案 删除之後powershell.exe 就没 05/06 12:55
: → catzvicky21: 出现了 继续观察 05/06 12:55
: → hn9480412: powershell.exe是系统本来就有的壳层命令列程式 05/06 13:29
: → hn9480412: 如果要类比的话就是OS X(Un*x)的终端机 05/06 13:30
: 推 SuperSg: 所以说这个档案没错，是病毒借用这个档案搞事这样? 05/06 13:31
: 对。
: → hn9480412: 而这个powershell跟普通的CMD(命令提示字元)概念类似 05/06 13:33
: → hn9480412: 但是Powershell可以透过指令执行脚本 05/06 13:33
: → hn9480412: 而Powershell也可以输入cmd後下cmd的指令 05/06 13:34
: → hn9480412: 主要还是看那个powershell.exe位置在哪里 05/06 13:36
: → hn9480412: 我是没有中过啦，但如果是这样的话可以推测是透过PS 05/06 13:36
: → hn9480412: 来远端执行脚本指令 05/06 13:36
借用这篇问请教各位前辈
在下很幸运地在中5月12日这波勒索病毒前发现相关讯息得以提前预备
不过爬文後才知道其实在4月23日伊莉已经有利用假FLASH更新来植入木马
进而让使用者中勒索病毒的情况
因为自己也算是伊莉的常客
所以这段期间应该也有上伊莉的可能性
但不太记得有没有出现FLASH更新的画面，更不记得有无下载
只是至目前为止，还没有跳出被绑架的绿色画面
想请问一下有无检测自己电脑是否中毒的方式
虽然我开启工作管理员并无前述的powershell.exe执行情形
但这东西似乎是OS本身就有的
以这个做为依据是否可靠?
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 118.165.121.176
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/AntiVirus/M.1494735168.A.C31.html
1F：→ gwofeng: powershell.exe不会闲来无事一直常驻 05/14 12:14
2F：推 yugiyo: chrome不会出现叫你安装Flash 05/14 12:25
3F：→ WhiteMouse: 伊莉那波 那天只要进去就会一直跳要你更新的画面 基 05/14 12:25
4F：→ WhiteMouse: 本上一定有记忆 没有就没有了吧 05/14 12:25
5F：→ a313102002: 难怪先前powershell.exe莫名一直要求对外连线... 05/14 13:16
6F：推 abramtw: PowerShell 可以在登录档关闭 我是把他给关掉了 05/14 13:36
7F：推 edward40812: Eyny现在安全了吗 05/14 16:52
8F：推 smt3457: 伊莉现在安全了吗?+1 05/22 16:44