作者raphael0612 (翔)
看板AntiVirus
標題Re: [軟體] Wow! USB Protector 0.72a 隨身碟防毒
時間Sun Sep 7 16:51:35 2008
比較在意的是目前北部各級機關學校包括台北市桃園縣台北縣縣市政府全部都中了
一種kavo衍生型rootskit木馬，也已經知道是由對岸網軍特製。
且中了幾個月了，毫無警覺到或是一直解毒失敗。
因是連Pccillin 2008 、Kapersky 2009 、Norton 2008 即時掃瞄都沒出現警示，
所以也沒法說明是該取甚名。Wow! USB VirusKiller 0.70 也沒警示。這一隻會在
全系統掃瞄時被砍除木馬部份舊型原件，自動更換目錄與檔名，並由網路自動更新
木馬原件dll 、exe 檔。
也由於是Rootskit型，版上幾個掃瞄或修護軟體，不是掃不到異常就是當。開啟顯
示隱藏的檔案管理員也看不到。
目前透過強制關閉自動撥放功能，用iceSword刪除隨身碟裡木馬比較會躲藏處的異
常程式，系統用低階格式化後重建。無法用killbox 刪檔。
有興趣的防軟公司可以往那些機關找樣本來分析，解決為什麼會長期失誤的問題。
※ 引述《blman (我愛亦潔我愛亦潔)》之銘言：
: 答應過 PRODIGALEX 在 7月底前修正一些重大問題。
: 但工作繁忙拖了一個月才完成。
: 所以現在可以很高興地跟大家發佈 0.72a 版這個消息 :)
: 網誌圖文版
: http://antbsd.twbbs.org/~ant/wordpress/?p=1315
: 下載
: Wow! USB Protector
: http://of.openfoundry.org/projects/905
: Wow! USB VirusKiller
: http://of.openfoundry.org/projects/906
: 0.72a 新特色
: 1. 延續 0.70 版的新架構，修正某些特定情況下無法正確掃瞄隨身碟的問題。
: 2. 病毒庫更新下載點更換，不再提供 0.72a 版之前的版本更新病毒庫。
: 3. 廣泛掃毒策略，除了可以掃出立即危險外，也可以掃出潛在危險。
: 從原本只檢查 autorun.inf 的策略中，新增掃描隱藏的可疑程式，
: 並會與病毒庫比對。往後不再受限是否存在 autorun.inf。
: 缺點是速度視隨身碟檔案的多寡決定，檔案愈多掃描愈久。
: 若要改回只檢查 autorun.inf 的立即性危險(即舊版本的機制)，
: 如使用 WowUSBProtector 則
: 於 C:\Program Files\WowUSBProtector\config.txt，將
: ScanType= 改成 fast，如 ScanType=fast (注意 fast 都是小寫字母)，
: 最後重新啟動 Wow! 隨身碟防毒即可
: 4. 解決自動更新病毒碼程式(WowAutoUpdate)執行多個的問題(2個為正常)；
: 也解決停止 Wow! 隨身碟防毒時，程式不會停止的問題，
: 自動更新病毒碼程式會在下一個檢查點時檢查 Wow! 隨碟防毒是否已關閉，
: 若關閉則停止，所以會有些許時間差。
: 5. 增加額外自行建立的病毒庫(僅支援純文字檔)
: 如使用 WowUSBProtector 則於 C:\Program Files\WowUSBProtector\config.txt，
: 將 AdditionDB= 改成想要的路徑，
: 如 AdditionDB=C:\我的病毒庫\myvirus.txt。
: 格式可參考 C:\Program Files\WowUSBProtector\virusDB.txt
: FAQ
: 1. Wow! USB Protector 與 Wow! USB VirusKiller 有什麼不同
: Wow! USB Protector (以下簡稱 Protector) 在發現可疑的惡意程式時，會顯示出處
: 理視窗，您可以依照你的需求選擇，其中有 “刪除” 與 “不理會” 等選項。
: Wow! USB VirusKiller (以下簡稱 VirusKiller) 在發現可疑的惡意程式時，會將程
: 式的檔名變更。例如，若可疑的惡意程式名為 “malware.exe”，則 VirusKiller
: 會在該程式的相同目錄下變更為 “malware.exe.suspicious”，此時這個可疑的惡
: 意程式基本上已經沒有危害。這個更名動作也會用視窗顯示提醒。此時，您可以進入
: 隨身碟或磁槽中，將該檔案手動移除，若您不確定的話，可以通知了解的人協助處理。
: 因此，若您稍微了解電腦病毒，建議使用 Protector；而一般使用者建議使用
: VirusKiller。
: 2. Wow! USB 隨身碟防毒僅保護功能，無法解決已中毒的電腦
: Wow! USB 隨身碟防毒僅提供電腦防止隨身碟式的惡意程式感染，若您的電腦已經中
: 毒則請您使用其它防毒軟體來解決。這也意謂著，Wow! USB 隨身碟防毒可以與任何
: 防毒軟體配合，而不衝突。
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 123.204.1.66
1F：→ yukitowu:這個比較糟糕... 09/07 17:25
2F：推 xiaoyao:很多機關被掛木馬了也都不知道 漏洞一直沒補 科科 09/07 23:40
3F：推 PRODIGALEX:0.70確實在掃新版的KAVO系列病毒有問題，相關測試圖片 09/08 02:09
4F：→ PRODIGALEX:有範例給BLMAN大大看過，0.71後有針對此點改進，至於 09/08 02:10
5F：→ PRODIGALEX:您說的kavo衍生型rootskit木馬，在下怕是沒測試過.... 09/08 02:11
6F：→ PRODIGALEX:0.72a剛出來也沒有時間詳測，據您的說法確實可能無法 09/08 02:12
7F：→ PRODIGALEX:偵測掃除。 09/08 02:12