9/12的新聞稿，剛發現沒人貼過 上面已經有b大的方案，不過還是貼一下 前面是病毒症狀介紹，最後是清除工具，給大家作個參考 奕瑞科技提供 Skype 病毒 Worm.Win32.Skipi.b 免費清除工具 Kaspersky | 12 Sep, 2007 15:37 針對日前利用 Skype 即時通訊軟體散佈的 Skype 病毒，國內知名資訊安全方案供 應商奕瑞科技對於提供此病毒的說明與並提供清除工具。 此病毒利用已經於前陣子 MSN 傳訊軟體中大量流傳的手法，傳送一個訊息並提供 一偽裝為圖片的惡意程式檔案，使用者在點擊此檔案之後，會在系統目錄 C:WindowsSystem32 資料夾下產生以下檔案以下檔案： wndrivs32.exe、mshtmldat32.exe 、winlgcvers.exe、sdrivew32.exe mshtmldat32.exe , winlgcvers.exe, sdrivew32.exe會以隱藏檔方式存在於系統 中，在一般資料夾檢視的狀況下，將無法察覺這3個檔案。 wndrivs32.exe為主要的病毒檔案，會執行下列這些動作： 1. 寫入機碼於 HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnce 下，導致一般電腦開機登入後立即執行此病毒檔，若是暫時從工作管理員，停 用此程序，不久後又會重新產生出來，也因此在正常模式中，無法順利刪除此 檔案。而因為此機碼是為了支援安裝程式而執行。程式會變更系統組態資料， 所以會造成使用者無法在重新設定系統期間使用該系統，因此Windows 檔案總 管會在建立桌面和工作列之前等待 RunOnce 程式執行完畢，所以被感染的電 腦將不能執行系統登錄編輯程式或像SKYPE、ProcessExplorer等應用程式的視 窗(開啟視窗後就會立即被關閉)。 2. 病毒也會改寫系統中「hosts」這個檔案，將大部分防毒軟體的更新路徑，IP 以亂數的方式來寫入至hosts這個檔案中，企圖造成防毒軟體無法正常更新的 狀況。 3. 病毒會監控mshtmldat32.exe , winlgcvers.exe, sdrivew32.exe這3個檔案， 若使用者在正常模式中，刪除這3個檔案，仍會再重新產生這三個檔案。 卡巴斯基實驗室已經於病毒爆發當日以最快速的反應時間將此病毒檔更新至防毒 資料庫中，判定病毒名稱為：Worm.Win32.Skipi.b，使用者只要更新至最新狀態 執行掃瞄即可偵測此病毒，若使用者使用卡巴斯基的免疫防護功能，也能夠在防 毒資料庫尚未更新之前直接攔截此病毒的危險行為。 另外由於此病毒並沒有更改ftp://ftp.kaspersky.com的IP位置，所以也可以將卡 巴斯基更新來源，設成此網址，並在安全模式中掃瞄，即可移除病毒檔，但機碼 和hosts的檔案，仍須手動修復。 奕瑞科技也提供一免費手動移除此病毒的工具 (清除工具請由此下載http://www.eraysecure.com.tw/attach/del-skipi_b.rar) 只要解壓縮後重新開機至安全模式中執行，即可刪除病毒，並還原機碼和hosts的 檔案。 以上轉自 kaspersky blog http://tinyurl.com/3x5yrq --

※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 219.91.72.121