作者meletor (....)
看板AntiVirus
標題[建議] 關於最近一堆系統被改成1970年的
時間Tue Apr 10 01:21:27 2007
這個病毒最機車的地方不在於關掉防毒軟體
而是改系統時間
這樣做對於病毒本身有什麼好處？
1.combofix有可能抓不出來 因為根本沒有檔案在1970年新增
2.防毒軟體會誤判，有些防毒軟體也會認日期的 卡巴好像就會
3.Sreng沒辦法掃 因為他也會認日期
那病毒到底是怎麼辦到這點的？
他把自己寫入系統服務，進windows就會啟動這項服務
也會在各個磁碟寫入autorun.inf 主要執行檔是rising.exe的樣子
由於根本就是隨身碟病毒的一種
所以在毒還沒解完全之前 千萬不要用滑鼠直接點兩下的方式來開硬碟
另外，他的服務名稱不一定 但是幾乎都是八位數字加上英文大寫的樣子
應該是亂數去配的吧？這個我就沒把握了
該怎麼解？
先去下載Sreng放桌面吧
進安全模式 先將系統時間調回正常吧 這樣才能啟動Sreng
這時combofix跟Sreng應該都能用了
而J大放在置底的檔案 最好也跑過一遍
比較簡便的解法，只針對機碼下去處理的話
看是要執行Sreng的Boot Items
Services的Win32 Services
找到英文（都大寫）數字組合夾雜在一起的 然後啟動狀態又是Auto Start的
就有很大的可能是。
如果combofix掃下去，有新增的檔名跟Services相符且日期很接近中毒那天
那就有更大可能了
如果沒把握的話 可以先不刪 只要把Auto Start改成 Disable （有可能不止一組）
重開機如果沒有回復1970(or 2070)年
恭喜 那你就找到了
目前雖然在下解的不多 也不過三個還是四個吧
不過相信應該會多起來才是
以上是解毒心得
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 218.161.92.229
※ 編輯: meletor 來自: 218.161.92.229 (04/10 01:27)
1F：推 abian:推一個 04/10 01:42
2F：→ meletor:剛好自己在這版的第200篇 XD 04/10 01:50
3F：推 abian:請問可以轉錄到ask版和notebook版嗎？ 想必這問題，未來幾天 04/10 01:51
4F：→ abian:會很熱門 (在ask版已經有二個人問了，nb-shopping也有人問) 04/10 01:52
5F：→ meletor:轉吧，只要不要再轉回AntiVirus版就好 04/10 01:53
6F：推 abian:謝謝 <(__ __)> 04/10 01:54
※ abian:轉錄至看板 ask 04/10 01:55
※ abian:轉錄至看板 Notebook 04/10 01:56
7F：推 jubowbow:檔砍了~~可是進去系統桌面全沒了>< 04/10 02:01
8F：→ meletor:樓上你還是我第一個遇到這種情況的 04/10 02:07
9F：推 jubowbow:是運氣太好嗎T.T 04/10 02:23
10F：推 junorn:都是rising.exe.... 04/10 03:43
11F：推 junorn:這個好像有很多變種了要注意一下，有部分一樣會感染執行檔 04/10 03:51
※ dodo22:轉錄至看板 MSNmessenger 04/10 10:49
12F：→ dodo22:借轉@@q 04/10 10:49
※ qaws68:轉錄至看板 share 04/10 11:52
13F：推 samq:疑？跟我之前中的一樣耶~~還好我沒執行~(原來我走在流行尖端) 04/11 00:52
14F：→ samq:不過沒執行還是會產生八位數英數交雜病毒~~ 04/11 00:57
15F：→ meletor:不，你已經在不知不覺中執行了。不管是網路下載（應該是 04/11 13:13
16F：→ meletor:Script造成下載病毒且執行或是隨身碟插入然後autorun執行 04/11 13:14
17F：→ meletor:)一定有執行到才會這樣。 04/11 13:15
18F：推 deat:大大謝謝你!我解開了!感謝! 04/15 20:27
19F：推 wubaii:我也解開了，上來推一下。 05/03 13:42