作者chinyi65 (天涯一粒米)
看板AntiVirus
標題[中毒] 難纏的木馬
時間Sun Sep 28 01:59:23 2008
一、問題描述：
所有硬碟會出現(aqjbakuy.exe)(htcnlqtl.exe)兩個執行檔
所有資料夾都會帶有一個autorun.inf、autorun.inf.vir檔
開機會自動跑..\system\(aqjbakuy.exe)(htcnlqtl.exe)內容為:
[AutoRun]
open=aqjbakuy.exe
shell\open=湖羲(&O)
shell\open\Command=aqjbakuy.exe
shell\open\Default=1
shell\explore=訧埭奪燴け(&X)
shell\explore\Command=aqjbakuy.exe
二、各個資料夾的隱藏檔都可以正常顯示
唯獨autorun.inf 以及 aqjbakuy.exe 不會顯示出來。
三、按F8無法進入安全模式。
四、「資料夾選項」-->「檢視」-->「隱藏保護的作業系統檔案（建議使用）」
最後那個選項會消失
五、卡八會被鎖掉，無法啟動對話匡
2.掃毒報告：
用NOD32掃不出來
用Trojan Remover掃的出來也刪掉，但開機後再生
用木馬清除大師2008，同上
用KVTOOLS 1.2.2，同上
用USBCleaner6.0，只能掃到autorun.inf，一樣再生
用kavo_killer依然存在
4.報告連結：
請將上傳的掃描報告(log)連結貼於下方 （全部都要）
Combofix ：
http://kotuha.com/file/ZTrRl-log.html
Hijackthis：
http://sun.cis.scu.edu.tw/~92a39/upload/32638.txt
SRENG ：
http://kotuha.com/file/2cERL-SREngLOG.html
掃毒報告 ：Nod掃不出
結論：
處理了兩台都無法解毒，最後都以重灌了事
PO上網看有沒有版友也有遇到的
--
灑下一粒種子，大地會為你開出一朵花。--紀伯倫
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 118.169.47.198
※ 編輯: chinyi65 來自: 118.169.47.198 (09/28 02:01)
1F：推 OceanRay:可以用XPE開機光碟進去 再用kavo_killer或其他清毒工具 09/28 02:30
※ 編輯: chinyi65 來自: 118.169.47.198 (09/28 02:33)
2F：→ OceanRay:這是隨身碟病毒 打搜尋有不少先進提出解決方案了 09/28 02:33
3F：→ chinyi65:kavo_killer用過了，無解，一樣存在 09/28 02:34
※ 編輯: chinyi65 來自: 118.169.47.198 (09/28 02:36)
4F：→ TypeZero:可以給我嗎?加密碼後傳免空 然後站內信 09/28 02:39
※ 編輯: chinyi65 來自: 118.169.47.198 (09/28 02:41)
5F：→ chinyi65:不知怎麼把病毒複製出來，因為視窗下看不到，用cmd 09/28 02:43
6F：→ chinyi65:然後在指令模式下打 dir /a/p才看的到這個執行檔 09/28 02:44
7F：→ chinyi65:順便補充，隨身碟有用USBCleaner製作一個免疫的 09/28 02:46
8F：→ chinyi65:Autorun.inf資料夾，以及關掉電腦的自動執行，但感染 09/28 02:47
9F：→ chinyi65:這支病毒後，防疫的Autorun.inf會失效,自動啟動也會恢復 09/28 02:48
11F：→ chinyi65:System32資料夾視窗下也會看不見,裡面也會有這兩支執行檔 09/28 03:02
13F：→ hirokofan:置底閃光呢？ 09/28 07:12
14F：推 xiaoyao:這隻我遇過 不難處理 09/28 09:59
15F：推 junorn:看特徵置底閃光應該可以清掉... 09/28 10:25
16F：→ junorn:不過要跟目錄的autorun.inf存在才行。 09/28 10:26
17F：→ junorn:喔對了這一支和KAVO一點關係都沒有。 09/28 12:02
18F：→ lovemost:不要使用kavo_killer...根本除不乾淨~問題多多 09/28 12:33
19F：→ chinyi65:置底閃光無解，最後用江民掃毒處理掉 09/29 22:17
20F：推 jg065:我用小紅傘ok 10/01 16:26