作者jw771216 (Justin)
看板AntiVirus
標題[中毒] OnlineGames 的木馬不知道有沒有砍乾淨..
時間Wed Jun 11 00:32:27 2008
Po文請使用下列格式並將有要求的檔案附上，資料詳細才有辦法幫您處理：
1.問題描述：
請在下面說明碰到的中毒情形，越詳細越好(可貼圖說明)：
去了一個大陸網站，結果網站有毒(而且它把時間調成2000年讓卡巴失效)
趕快調回來以後，卡巴就跳出有個檔案感染木馬Trojan-Donlowder.Win32.Tiny.bgu
點刪除以後卡巴又一直跳出偵測到惡意的HTTP物件
裡面有BackDoor.Win32.Agent.jkf，還有一些是Trojan-PSW.Win32.OnlineGames.ajau
一直按拒絕存取以後，索性把網路線拔了，整個電腦用卡巴掃過一遍，可是沒有掃到毒
後來網路線一接回來卡巴又開始跳出同樣的惡意的HTTP物件，也是一直按拒絕
當中有一些是檔案被感染，也是通通點刪除
可是後來跳出訊息說 explorer.exe被感染，點解毒解不了，也是只能刪掉
砍了之後電腦自動重開，開完機只剩桌面，就開工作管理員用執行開KKman來這找解決方法
當中有用了hijackthis跟SREng，有照裡說的去做
前者放到網路上去分析以後，黃色XX跟黃色問號大多都砍掉了
後者有出現AppInit_DLLs的值錯誤，照裡說的清空了
後來找到網友提供的explorer.exe才載下來替換
可是現在即使放在C:\WinNT\system32裡面，開機以後也不會自動執行
執行的時候也會一直問是否確定要執行此類型的檔案(.exe)
剛才下載Combofix用了以後，掃的過程中不知為啥又把explorer.exe砍掉~"~
雖然卡巴是沒有再叫了，可是不知道毒有沒有清乾淨
所以上來問一下板上的各位有沒有解決方法
還有板友提供的explorer.exe要怎麼讓它開機的時候會自動執行?
底下附報告連結
(上面那些木馬的名稱 是去看卡巴在防護裡面的"事件"找出來的)
(掃毒是掃了c:\winNT c:\winNT\system32 c:\program files\ 這三個資料夾)
4.報告連結：
請將掃描報告(log)貼於下方 (上面的全要)
Combofix ：
http://sun.cis.scu.edu.tw/~92a39/upload/30438.txt
Hijackthis：
http://sun.cis.scu.edu.tw/~92a39/upload/30437.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/30436.txt
掃毒報告 ：
http://www.badongo.com/file/9820918
拜託各位了orz
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 140.112.241.148
(修改標題+少許內文)
※ 編輯: jw771216 來自: 140.112.241.148 (06/11 00:34)
1F：推 junorn:你放錯位置了...是要放在windows不是windows\system32 06/11 00:34
2F：→ junorn:windows為你的win資料夾位置。 06/11 00:35
3F：→ jw771216:噢噢..原來是放錯位置XD 感謝~ 06/11 00:36
4F：→ jw771216:另外，開了SREng會說有5個RVA錯誤.. 那要怎麼處理@@? 06/11 00:46
5F：推 junorn:卡巴的api hook吧...那正常的，不過報表我沒看因為便當狗 06/11 00:48
6F：→ junorn:我這開太久不想開... 06/11 00:49
7F：→ jw771216:那我換一個空間... 06/11 00:54
※ 編輯: jw771216 來自: 140.112.241.148 (06/11 00:59)
8F：推 lcjjaff:把正常的explorer放回去後，跑個Efix即可 06/11 01:04