作者magickaka (magickaka)
看板AntiVirus
標題[中毒] TR/Crypt.XPACK.Gen Trojan
時間Tue Nov 18 13:55:05 2008
問題描述：
昨天下載一個壓縮檔之後，用小紅傘掃描沒有反應，解開掃也沒反應，
就手賤地點了兩下，想不到一執行，小紅傘叫了幾聲，
在隔離區就看到dlds1.exe、dlds2.exe、dlds5.exe、dlds6.exe、dlds7.exe
這幾個檔案
想說看看是哪個程式在搞鬼，結果工作管理員被鎖住，
進安全模式掃毒、spybot、a-squared Free、combofix掃完之後
小紅傘沒掃到毒
spybot掃出virtumonde
a-squared Free只有cookies
但重開機之後spywareguard會一直提醒我要新增BHO，
我必須要一直取消，看了log檔覺得ddcaywVp.dll、MlJBUKdD.dll、xidmqcdc.dll
這三個檔案非常可疑，又不敢亂刪，上來請教各位
掃描報告：
Combofix ：
http://sun.cis.scu.edu.tw/~92a39/upload/33399.txt
Hijackthis：
http://sun.cis.scu.edu.tw/~92a39/upload/33397.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/33398.txt
ad-aware掃也是cookies而已，
版上找到的vundofix、FxVMonde、fixvundo掃都沒掃到東西，
unlocker把鎖住的檔案解開就會藍屏當機
歷經了千萬次的重開以及掃描之後，
用efix493掃描完之後
在網路上找到VirtumundoBeGone.exe這個程式
附上連結：
http://secured2k.home.comcast.net/tools/VirtumundoBeGone.exe
最後還是藍屏當機了，不過重開之後奇怪的檔案就被更名，
刪除後到目前為止正常使用…
-
log已更新
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 210.192.215.75
1F：→ magickaka:重開機進安全模式combofix再掃一次 然後又出現另外的檔 11/18 15:38
2F：→ magickaka:而且不是lsass鎖住就是winlogon鎖住 糟了 @@" 11/18 15:39
3F：→ nonono123:找vundo 11/18 15:44
4F：→ magickaka:謝謝 掃描中.. 11/18 15:47
※ 編輯: magickaka 來自: 210.192.215.75 (11/18 18:41)
5F：→ junorn:上面那三個檔案都可以刪。 11/18 19:45
※ 編輯: magickaka 來自: 210.192.215.75 (11/18 20:59)
※ 編輯: magickaka 來自: 210.192.215.75 (11/18 21:15)
6F：→ magickaka:感謝二位的協助 <(＿ ＿)> 11/18 21:16