作者roaerwang (YKWIA)
看板AntiVirus
標題[中毒] 上黑白大陸網頁後防毒大響！
時間Sun May 25 23:28:26 2008
Po文請使用下列格式並將有要求的檔案附上，資料詳細才有辦法幫您處理：
1.問題描述：
昨天上了一個大陸網站
之前上同樣的網站都沒事
沒想到昨天上了以後PCMan先是卡死
後來就警鈴大作
擋了一堆exe、dll等檔案擋到軟後
電腦頻頻跳出以下訊息：
XXX非有效的Windows影像，請在檢查一次您的安裝磁片
類以這樣的訊息但完整的訊息我忘了
XXX還真多，計有：
mnmhdsrv.dll zxmscwin.dll zptlcsys.dll mpwdcapi.dll
mndhcdwd.dll skqnbbib.dll yxcschip.dll
一開始是一直跳一直跳跳到我的PCCillin和Spybot一直叫
叫我我勉強重新開機
重開之後叫了一輪（上述dll七次一輪）後便沒事
之後只要滑鼠點擊（不論左右鍵）就會再叫一輪
用RocketDock開資料夾也很慢（但用其它方法就正常）
受不了這種狀況的我，決定跑置底閃光文
跑完後那條訊息就沒有了
開機除了更新就恢復到看似和平的生活
但有個
KB908531的更新
我已經跑了五次它都一直出現
甚至在跑完Hijackthis後它又要求更新
防毒軟體掃也掃出好多病毒
但都是「暫不處理」（之後我手動隔離）
覺得平靜的表面下還有不少問題
因此決定來這裡PO問請問板上的高手們……
這是第一次跑完efix的LOG檔：
http://sun.cis.scu.edu.tw/~92a39/upload/29872.txt
2.掃毒報告：
請先使用掃毒軟體執行全機掃描後將掃毒結果傳到置底空間
如會掃描很久請最少掃描以下位置：
C:\Windows\System32 C:\Windows C:\Program Files
請務必補上掃毒報告，如無法掃描請務必註明，也可使用線上掃毒掃描報告
線上掃毒使用方式請看
Trend Micro PC-Cillin 2004：
http://sun.cis.scu.edu.tw/~92a39/upload/29873.txt
「即時掃描」就是狂叫我關到手軟的那個時段
在執行efix後我才進行「手動掃描」
3.系統輔助分析軟體掃描報告(請依照COMBOFIX→Hijackthis→SRENG排序執行)：
請將掃描結果上傳至置底空間，置底空間無法使用者請改用http://www.kotuha.com
使用方式：
Combofix： http://reinfors.googlepages.com/Combofix
Hijackthis： http://reinfors.googlepages.com/Hijackthis
SRENG： http://reinfors.googlepages.com/SRENG
如無法使用網路請看 1 - 8 使用方式
4.報告連結：
請將掃描報告(log)貼於下方 (上面的全要)
Combofix ：
http://sun.cis.scu.edu.tw/~92a39/upload/29874.txt
這裡面補充一下，因為執行完Combofix後explorer無法啟動
所以重新開機過才繼續以下的進度
Hijackthis：
http://sun.cis.scu.edu.tw/~92a39/upload/29875.txt
SRENG ：（置底失敗，檔案大小302264）
改到
http://kotuha.com/file/Zlyh8-SREngLOG.html
掃毒報告 ：PC-Cillin2004，已在上方2.處
Lavasoft Ad-aware SE，找不到Log檔……囧
Spybot-Search & Destroy，沒有Log檔……
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 163.21.235.230
※ 編輯: roaerwang 來自: 163.21.235.230 (05/25 23:31)
1F：→ cclai:呼～這個是vundo還是dodolook阿.....Explorer.exe已掉包了 05/25 23:44
2F：推 junorn:主要還是explorer.exe被替換了，將dllcache底下的explorer 05/26 00:02
3F：→ junorn:複製到windows資料夾下重開機看看 05/26 00:03
4F：推 junorn:不過也不一定，看你有沒有裝windows美化的軟體，那種會改 05/26 00:08
5F：→ junorn:工具列的，如果有裝那比對錯誤是正常的 05/26 00:08
6F：→ roaerwang:WindowBlind6 05/26 00:22
7F：推 junorn:暈倒死白濫6不會改explorer.exe，那就照上面的作吧。 05/26 00:24
8F：→ junorn:好了之後重新掃個EFix和Combofix將報告貼上來 05/26 00:24
9F：→ roaerwang:dllcache在哪……（WINDOWS底下沒有，懷疑被毒刪了） 05/26 00:32
10F：推 junorn: C:\WINDOWS\system32\dllcache\explorer.exe 05/26 00:33
11F：→ junorn:dllcache資料夾應該是隱藏的你可以直接在網址列輸入 05/26 00:34
12F：→ roaerwang:如果複製光碟的explorer可以嗎？ 05/26 00:35
13F：→ roaerwang:喔喔！找到了！ 05/26 00:36
14F：推 junorn:光碟的也可以啊，只要替換成正常的就是了 05/26 00:37