作者gin0111 (逆风的方向~更适合飞翔~)
看板CHNA
标题[转录][方案] 近期出现会删除全磁碟档案的病毒
时间Thu Jun 5 00:23:30 2008
※ [本文转录自 AntiVirus 看板]
作者: junorn (威廉华勒斯) 看板: AntiVirus
标题: [方案] 近期出现会删除全磁碟档案的病毒
时间: Wed Jun 4 15:07:05 2008
这毒9GY.....
目前特性我还不清楚，我必须要测试。(会删全磁碟的我看我测试系统准备要重灌..0rz)
不过目前已知
1.会在windows系统磁碟产生
,.exe档案
EX:c:\windows\,.exe
2.会在个磁碟根目录产生
,.exe和
autorun.inf档案
利用随身碟传拨...
EX: 随身碟代号F:
就写入F:\autorun.inf
F:\,.exe
autorun.inf的内容为
open=,.exe
3.会在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
写入下列登录值，之後随开机启动
"HUI"="c:\windows\,.exe"
4.会於不知道什麽情形下
重开机後删除某一磁碟内的所有档案
清除方式：
1.先将,.exe这个程序停止，或者进入安全模式。
2.删除windows资料夹内的,.exe档案 （建议使用icesword)
3.将各磁碟内的autorun.inf档案以及,.exe删除
4.重新检查windows资料夹内有没有产生,.exe
5.没有的话就ok
喔对了补充一下：
这个目前在virustotal测试是没有一家抓的到的，顶多报壳
应该只是使用正常的批次程序吧我猜...
-----------------------------------------------------------
我会在EFix我正在写的测试版加入删除此档案..但没样本我只能用抓档名删除的方式
看来测试的版本要提早先发了...
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 210.68.130.155
1F：推 pao1985:好可怕的毒... 06/04 15:16
2F：推 liskenny:如果先用笨方法建一个,.exe的唯读假档挡的下来吗？ 06/04 15:24
3F：推 maoa:请问如果档案已经被删 要先用FD救回档案再删病毒 还是先删毒 06/04 15:25
4F：→ maoa:再救档案? 谢谢 06/04 15:25
5F：→ junorn:被删除的档案磁碟不要动，然後病毒档先删 06/04 15:26
6F：→ junorn:to:liskenny 这个我就不清楚了样本刚拿到找时间试 06/04 15:27
7F：推 liskenny:谢谢板主回应，我想还是先去确认公司资料备份好了 06/04 15:39
※ 编辑: junorn 来自: 210.68.130.155 (06/04 15:50)
8F：→ bont:一开始中的时候发现硬碟一直跑 然後不给开工作管理员 06/04 16:07
9F：→ bont:用了至底闪光文它停了下来 从开机之後又是相同情况 06/04 16:12
10F：→ bont:刚刚接受J大指导删除了 现在从开机已经没有这个情况 06/04 16:12
11F：→ junorn:因为置底闪光文会将所有在跑的程式尝试停止下来 06/04 16:12
12F：→ junorn:但因为没删除他所以他开机後又会在启动，启动这段时间负责 06/04 16:13
13F：→ junorn:删除档案...0rz，好恶毒的程式。 06/04 16:13
14F：推 milen:AUTORUN是系统预设..所以改了就没效所以有用 06/04 16:25
15F：→ milen:,.EXE这种档名就算做了假档也没用..变种改一下就无效了 06/04 16:26
16F：→ milen:不过不知道C碟也一样砍吗?或是能砍的全砍?@_@ 06/04 16:26
17F：→ junorn:这点我也不清楚，前面几篇好像有一位是砍系统碟的.. 06/04 16:27
18F：推 milen:真是够GY.......... 06/04 16:41
19F：推 ysd:我已经将程序停止 但是删掉之後马上又出现 怎麽删都删不掉 T.T 06/04 17:21
20F：推 heber:这个GY病毒好可怕...~"~ 06/04 17:23
21F：→ everygay:想请问哪一些动作会比较容易中这个病毒? 06/04 17:45
22F：→ junorn:这个我就不清楚了，但是他有一个特性是透过随身碟 06/04 17:46
23F：→ junorn:所以多注意你的随身碟吧。 06/04 17:46
24F：推 daugh:请问是把autorun.inf删掉 还是把这个资料夹里的东西删掉？ 06/04 18:28
25F：推 joycewanga:太可怕了这种毒 06/04 18:44
26F：推 skm032:如果AUTORUN已经有假档防疫，随身碟就不会传染了? 06/04 18:48
27F：→ fffkkl: 扫毒软体还没办法清这种毒吗 ? 06/04 18:54
28F：推 cutenoodle:昨天我们研究室一共有5人同时中标~很恐怖!! 06/04 19:37
29F：→ junorn:照道理来说EFix的CRC32侦测法应该可以直接干掉他，但一般人 06/04 19:43
30F：→ junorn:执行时习惯不关防毒软体..这让EFix没办法读取autorun.inf 06/04 19:43
31F：→ junorn:的内容造成无法从autorun.inf内容中读取CRC32的值 06/04 19:44
32F：→ junorn:就删不到了.... 06/04 19:44
33F：→ junorn:晚点会将新版的EFix摆上去就可以删了...抓档名砍0rz 06/04 19:47
34F：推 cisab:靠…左边走… 好机车的病毒 06/04 19:51
35F：推 NoCanDo:批次档病毒 = = 够狠 06/04 20:11
36F：推 TWcannon:我在我的随身牒看到 ,.exe 这样表示中标了吗= =" 06/04 20:30
37F：→ junorn:To:楼上，你答对了.. 06/04 20:30
38F：推 leoandgrace:好狠.. 06/04 20:38
39F：推 s109612044:所以..只要中了就随它爱杀哪里就杀哪里...是吗...~"~ 06/04 20:45
40F：推 everygay:可是如果看到,.exe，是不是会来不及档案就被删光光了? 06/04 21:02
41F：→ junorn:这我就不清楚了，因为我不知道他启动删除档案的时机。 06/04 21:08
42F：推 ysd:不会来不及，看运气...我看到那个档案已经有一个礼拜之久 在昨 06/04 21:16
43F：→ ysd:天...他就启动了T.T 结果用FD只救回档案夹而已 资料救不回来 06/04 21:17
44F：推 everygay:看来真的很严重.感谢j大热心研究，希望早日有防护方法 06/04 21:23
45F：→ junorn:置底EFix已更新，可直接删除此档案，有需要的人请下载使用 06/04 21:23
46F：→ junorn:但被删除的档案基本上....找救援软体吧我没能力解决。 06/04 21:23
47F：→ junorn:顺便问一下，HUI可能是哪一个姓吗？就姓名的姓 06/04 21:25
48F：推 everygay:应该是许，google找到的 06/04 21:27
49F：推 miamodo:许? 06/04 21:27
50F：→ junorn:感觉上不知道是哪个白目学生写的...在外面干黑客的应该不会 06/04 21:28
51F：→ junorn:这样干才是... 06/04 21:28
52F：→ everygay:好像也有"惠"，不太清楚，好像蛮多种姓的 06/04 21:28
53F：→ junorn:而且似乎只有在学校才有在流行？外面还没看到过... 06/04 21:30
54F：推 everygay:看来最近不敢在学校用随身碟存取作业了，真要小心一点=_= 06/04 21:37
55F：推 terry1043:真的很缺德 最近nod32很容易扫到autorun...... 06/04 21:49
※ fantasycloud:转录至看板 NUU_IM 06/04 22:12
56F：推 nickcha:到底是从哪来的???最近也没用随身碟啊?? 06/04 22:18
57F：推 terry1043:区网会不会散布? 06/04 22:19
※ pearl0821:转录至看板 CSMU-MIS93 06/04 22:28
58F：推 pearl0821:借转班版~谢谢 06/04 22:28
59F：→ junorn:区网..不知道耶 06/04 22:29
60F：→ xiao:我有用undelete这软体救回被删除的资料 给大家做参考 06/04 22:31
※ laiyulai:转录至看板 NPUST 06/04 22:37
61F：推 terry1043:借转校BBS 06/04 22:44
※ tantalas:转录至看板 TTU-I91A 06/04 22:51
62F：推 imgoes:有在家里电脑中奖的吗? 06/04 23:23
63F：推 nickcha:me 06/04 23:40
64F：→ angnus:重点文转版，感谢orz 06/04 23:40
※ angnus:转录至看板 TaichungBun 06/04 23:40
65F：推 cafardpurple:借转感谢 06/04 23:43
※ cafardpurple:转录至看板 CSMU-MED93 06/04 23:44
66F：推 moominy:借转~~感恩~~ 06/05 00:06
※ moominy:转录至看板 KSU 06/05 00:07
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 59.127.66.75
67F：推 kikini916:天阿!!我之前D曹档案不见就是因为这个.....T_________T 06/05 00:25
68F：推 uniqueworm:可以请问楼上怎麽中毒的吗...@@ 06/05 00:30
69F：推 mmfgfc:我想系办应该也是中这个 超惨 06/05 00:31
70F：推 uniqueworm:今天本来要去系办印报告的..可是公告USB不给插..@@ 06/05 00:35
71F：推 kikiwiwi:我中了 d槽无缘无故全不见了 全删光 06/05 00:35
72F：→ kikini916:这个病毒超恐怖 ㄧ开始工作管理员会打不开 然後关机再 06/05 00:40
73F：→ kikini916:开机後 D槽档案通通不见 = = 哭~而且我还不见两次 06/05 00:40
74F：推 despaired:AntiVirus 置底闪光文可以清掉 今天才帮同学清 06/05 00:41
75F：推 kikini916:刚刚清完了 我的工作管理员终於可以打开了 感动!! 06/05 00:42
76F：推 jamie5408:之前中过了，当时被骗所以关掉防毒，资料就被砍光了囧 06/05 00:49
77F：推 mmfgfc:就是因为种了 才不让大家插了ㄚ 再次验证了我的爱滋病理论 06/05 02:04