作者shaunchou (Shaun白)
看板AntiVirus
標題[問題] Regedit刪除機碼又出現 kdcah.exe
時間Tue Dec 2 14:41:29 2008
C:\WINDOWS\system32\kdcah.exe
我在Regedit的Run底下把它刪掉,按了F5重新整理畫面
他又會自己跑出來
翻遍google 也只有一篇關於kdcah.exe
而在該資料夾下,程式已經不在了
我用的防毒是 Antivir Premium 12/2 病毒碼
掃完電腦也沒發現病毒,頗怪
之前是有出現 resycled/boot.com 不見的訊息
但是也沒有掃出這隻病毒阿
另外還有一個很詭異的,我點Windows Update 他會連到www.msn.com
但是我透過Proxy的話就可以順利連到Windows Update
而防毒更新也是,直接連線會不能更新Antivir
透過Proxy卻又可以
真搞不懂電腦裡面到底有沒有毒阿QQ
附上EFix我覺得最詭異的地方:
catchme 0.3.1361 W2K/XP/Vista - userland rootkit detector by Gmer,
hxxp://www.gmer.net
掃描被隱藏的檔案：
C:\temp\Temporary Internet Files\Content.IE5\QC2QP6WD\tw_yahoo_com[1].htm
C:\WINDOWS\SYSTEM32\kdcah.exe 67072 bytes executable
C:\WINDOWS\system32\kdcah.exe 67072 bytes executable
掃描被隱藏的程序：
掃描被隱藏的啟動模組：
被隱藏的檔案數量：3
.
=======================================================
這些檔案我怎麼找都找不到阿QQ
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 59.115.225.37
※ 編輯: shaunchou 來自: 59.115.225.37 (12/02 15:33)
1F：推 junorn:把EFix的報告貼上來吧，用EFix自訂腳本方式來刪 12/02 16:29
3F：→ shaunchou:真的找不到那些檔案耶 超怪 防毒和WOW也都沒反應 12/02 16:42
4F：→ littlecho:丟virustotal分析看看吧 12/02 16:47
5F：推 junorn:他用rootkit技術隱藏檔案了吧我猜 12/02 16:50
6F：推 junorn:我回文你試看看吧。 12/02 16:54
7F：→ littlecho:用icesword提取出來在做加工~ 12/02 17:04