作者licht (腦袋壞掉的日子)
看板AntiVirus
標題[中毒] 資料夾裡不斷出現怪程式，檔案關聯被更改
時間Mon Nov 10 22:43:33 2008
PO文請使用下列格式並將有要求的檔案附上
資料越詳細才有辦法了解情況並作適當處理
1.問題描述：
請在下面說明碰到的中毒情形，越詳細越好(可貼圖說明)：
開電腦，Norton忽然跳出來說我中了infostealer.XXXXXXXXX (OnlineGame、lineage等)
c:\documents and settings\administrator\local settings
目錄下的temp及temporary internet files不斷出現怪檔案如new.exe、xxxxxx.x
砍不完，會一直再生，把new.exe砍掉他又跑出一個new1.exe ↑
數字
然後我真的很想把圖檔上傳...但是上傳到一半就被鬼隱了。
norton明明掃到了卻掃不掉，移掉norton換卡巴...根本跑不動，馬上就被幹掉。
打開程式管理員就看到卡巴的執行檔一下子被砍掉一下子跑回來又被砍掉 (loop)
除了出現會執行的檔案，還會把要連的網頁亂牽，
例如原本要連tw.yahoo.com，
IE左下角會看到它想連到 www.www.tw.yahoo.com.org
然後檔案連結會被更改，導致開啟有問題，word檔開啟時會出現
「此文件無法註冊，無法在其他文件建立與此文件的連結」。
用combofix、hijack this 及 SRENG掃過後，問題依然沒有解決，
而且windows installer也掛點，導致防毒軟體重灌不能。
(先前曾經一度移除Norton改裝卡巴，但卡巴無法更新，
打卡巴的客服，客服叫我先把卡巴砍掉，跑完他們給的一個修復程式，再重灌卡巴
但是跑完後，不要說卡巴沒辦法重灌，連防火牆也一度死翹翹..........)
2.掃毒報告：請見底下連結
請先使用掃毒軟體執行全機掃描後將掃毒結果傳到置底空間
如會掃描很久請最少掃描以下位置和防毒軟體顯示的中毒檔案位置：
C:\Windows\System32 C:\Windows C:\Program Files
請盡可能提供掃毒報告，如無法掃描請務必註明，也可使用線上掃毒掃描報告
線上掃毒使用方式請看
3.系統輔助分析軟體掃描報告：
此處報告為需了解你系統內有何程式啟動和常駐所必須要的報告
請將掃描結果上傳至置底空間，置底空間無法使用者請改用http://www.kotuha.com
使用方式：
Combofix： http://reinfors.googlepages.com/Combofix.html
Hijackthis： http://reinfors.googlepages.com/Hijackthis
SRENG： http://reinfors.googlepages.com/SRENG.html
如無法使用網路請看 1 - 8 使用方式
4.報告連結：
請將掃描報告(log)貼於下方 (上面的全要)
Combofix ：
http://sun.cis.edu.tw/~92a39/upload/33299.txt
Hijackthis：
http://sun.cis.edu.tw/~92a39/upload/33300.txt
SRENG ：
http://sun.cis.edu.tw/~92a39/upload/33301.txt
掃毒報告 ：
http://sun.cis.edu.tw/~92a39/upload/33302.txt
(防毒掛了沒報告，附上卡巴的客服給的程式掃完後的log)
以上，其實我覺得我可以準備重灌了....冏
--
天天三鹿，安心上路。
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 124.11.240.83
1F：→ licht:補充，現在處於IE完全掛點的狀態 11/10 22:54
3F：→ junorn:然後等他跑完將報告貼上來。 HB木馬群...有的搞。 11/10 22:56
4F：→ junorn:rundll32.exe 看起來似乎也掛了...超嚴重。 11/10 22:58
5F：→ licht:這就叫一中驚人？(苦笑) 要向朋友求援了，IE開不了網頁 11/10 23:00
6F：→ junorn:如果可以的話就麻煩將c:\windows\system32\rundll32.exe 11/10 23:00
7F：→ junorn:打包一下傳上來，這個應該是被病毒替換掉的下載器 11/10 23:01
8F：→ junorn:userinit.exe也掛...不愧是大陸那邊流行的HB蝗蟲軍團 11/10 23:03
9F：→ licht:資料夾打開一片空白，顯示有檔案，但是什麼也看不到 11/10 23:03
10F：→ licht:算是連檔案總管也掛了嗎？j大這麼晚還醒著，辛苦您了 11/10 23:03
11F：推 junorn:你是win2000喔....那就不用了直接跑上面的EFix吧。 11/10 23:07
12F：→ junorn:不過照這情形看如果沒有備份檔案....重灌可能還比較快 11/10 23:08
13F：→ junorn:還在寫上面提供連結的東西...因為又是大改0rz 11/10 23:09
14F：→ licht:發現檔案是選擇性鬼隱，有的看得見有的看不見 11/10 23:09
15F：→ licht:是的我是2000...好的先來跑一次Efix (還好先前有下載過) 11/10 23:10
16F：推 junorn:我是說上面聯結的EFix測試版，請重新下載，盡量啦... 11/10 23:11
17F：→ licht:喔耶，下載成功了...是說防火牆跳訊息說systems在抓 11/10 23:24
18F：→ licht:HBQQXX.dll HBDNF.dll 等HB開頭的dll檔，可以用IceSword把它 11/10 23:25
19F：→ licht:們直接砍掉嗎？(先來去執行一次新的Efix) 11/10 23:25
20F：→ junorn:那些不是頭，所以砍了也沒用，要找頭在哪才行。 11/10 23:26
22F：→ licht:IE現在可以正常使用，但被鬼隱的檔案仍然看不到，桌面也掛了 11/10 23:35
23F：→ licht:...不 前言撤回 IE只是不再直接說無法顯示網頁 但頁面依然 11/10 23:36
24F：→ licht:打不開 11/10 23:36
25F：推 junorn:你看一下c:\windows\system32\rpcss.dll還在不在 11/10 23:40
26F：推 junorn:應該是winnt\system32\y 11/10 23:43
27F：→ junorn:winnt\system32\rpcss.dll 11/10 23:43
28F：→ licht:j大，winnt點進去是一片空白，檔案搜索功能也無法開啟 11/10 23:46
29F：→ licht:從左下角看得到檔案夾裡有東西，但是顯示不出來 11/10 23:46
30F：→ licht:temp資料夾裡倒是沒有再繼續出現怪檔案 11/10 23:46
31F：推 junorn:ok，那先清餘毒，下載器已經解決了 11/10 23:47