作者joycewanga (宒宒)
看板AntiVirus
標題[中毒] 逛了一個常去的大陸論壇之後發生問題
時間Mon Sep 15 20:30:03 2008
1.問題描述：
在逛了一個常逛的大陸論壇之後
出現了Winxp.dll記憶體在使用中的錯誤訊息
於是我就趕緊用combofix掃電腦
掃完之後出現的log有把C:/Windows/Winxp.dll以及另一個廣告cookie刪除掉
但還是不放心，就用AVG-FREE 7.5再掃一次
有掃到另外四個木馬 如圖：
http://www.badongo.com/pic/4461879
圖示看不清的話是這四個：
C:/Windows/zoej.exe
C:/Windows/ylgp.exe
C:/Windows/sryn.exe
C:/Windows/npzg.exe
用了AVG裡的Wipe功能將這四個木馬給刪除了
後來重新開機，也沒發現再生
只是不知道還有沒有其他餘孽
所以還是PO上LOG來請高手幫忙鑑定一下
如果已經沒問題了話 也希望可以給EFIX 或是COMBOFIX做個參考
2.掃毒報告：
即上圖
http://www.badongo.com/pic/4461879
AVG-FREE 7.5好像不能存成文字檔
另外，我後來又掃了avg-anti spy
報告：
http://sun.cis.scu.edu.tw/~92a39/upload/32428.txt
3.系統輔助分析軟體掃描報告：
此處報告為需了解你系統內有何程式啟動和常駐所必須要的報告
4.報告連結：
請將掃描報告(log)貼於下方 (上面的全要)
Combofix ：
http://sun.cis.scu.edu.tw/~92a39/upload/32429.txt
Hijackthis：
http://sun.cis.scu.edu.tw/~92a39/upload/32430.txt
SRENG ：
http://kotuha.com/file/eUHmi-SREngLOG.html
掃毒報告 ：見上圖
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 118.165.80.205
※ 編輯: joycewanga 來自: 118.165.80.205 (09/15 20:44)
※ 編輯: joycewanga 來自: 118.165.80.205 (09/15 20:46)
1F：→ joycewanga:另 AVG掃出的第五個應該不是木馬 可能是AVG太敏感了 09/15 21:09
2F：→ joycewanga:但我還是順手WIPE了 09/15 21:20
3F：推 idaer:怪怪的 : C:\WINDOWS\system32\down.sys 09/15 21:25
4F：→ joycewanga:請問是要刪掉嗎？ 還是說要另外處理？ 09/15 22:07
5F：推 idaer:把它更名down.sys.vir且移到別槽ex: c:\suspect 試試吧~~ 09/15 22:12
6F：→ joycewanga:啊 我剛剛已經刪掉咧 我再重新開機看看這餘孽有沒有存 09/15 22:13
7F：→ idaer:btw 這檔案只有236 bytes 也太小了吧 09/15 22:15
8F：→ idaer:刪掉就算了 應該不是什麼重要的檔 可能是病毒產生的downlist 09/15 22:15
9F：→ idaer:用意可能是中毒之後 讀取down.sys從網路上抓其他病毒 當然 09/15 22:16
10F：→ idaer:這只是我的猜測 呵呵~~ 09/15 22:16
11F：→ joycewanga:我刪掉了 目前沒看到餘孽 感謝您的幫忙 09/15 22:21
12F：→ joycewanga:請問這樣是代表都OK了嗎？ 09/15 22:22
13F：推 idaer:目前log沒看到什麼不對勁 應該是沒問題了 有問題再上po囉~ 09/15 22:23
14F：→ joycewanga:謝謝 這樣我就安心了 09/15 22:25
15F：推 idaer:以後上網用sandboxie上去吧~多了這層保護至少比較安全些~ 09/15 22:31
16F：→ joycewanga:SANDBOD跟LinkScaner的功能一樣嗎？ 我目前兩者都沒有 09/15 22:35
17F：推 idaer:不一樣 linkscaner是AVG幫你做檢驗 類似麥卡菲的siteadvisor 09/15 22:36
18F：→ idaer:功效沒有很大 因為網站安全評鑑只是一時的 沒有立即性的防護 09/15 22:37
19F：→ idaer:AVG商業版的WebShield就有立即的防護囉 不過搭配sandboxie 09/15 22:38
20F：→ idaer:會更好用 因為防毒軟體也不是什麼毒都抓的到@@ 09/15 22:39
21F：→ joycewanga:喔喔 請問I大有推荐的sandboxie嗎？ 09/15 22:40
24F：→ joycewanga:我已經裝好了 09/15 22:43
25F：→ idaer:序號的話 zha0的文章有喔 #15wzsbmW 09/15 22:45
26F：→ joycewanga:也註冊完成了 可是好像不太會用 09/15 22:48
27F：推 idaer:教學 SDUM大的文章裡有 #17EZH4fy :) 09/15 22:50
28F：→ idaer:我裝了都沒做什麼設定 我拿這來分析有問題的檔案 ex:病毒 09/15 22:51
29F：→ joycewanga:喔喔 感謝 09/15 22:52