作者dennis277 (我愛直話直說)
看板AntiVirus
標題[中毒]RKIT/TDss.gxu不斷產生無法根除 matrix35010.exe
時間Sat Jan 31 02:05:11 2009
1.先盡量詳細描述電腦問題：
看影片缺少解碼器，以WINDOWS MEDIA自動DOWNLOAD後有個類似CODE的執行檔
安裝後就中毒，較明顯的是在各個硬碟的根目錄下不斷產生autorun.inf & ARK250.tmp
隱藏的資源回收筒裡有執行檔，且AUTORUN內容都在執行此檔案，
就算刪除這幾個檔案，皆在一分鐘左右會在各個槽中自動產生同樣的檔
2.提供掃毒結果： 小紅傘
C:\ARK24F.tmp (多次)
C:\ARK22B.tmp
C:\Documents and Settings\All Users\Application Data\Avira\
AntiVir PersonalEdition Classic\TEMP\
AVSCAN-20090131-012342-EC0AB852\AVSCAN-00000002.dl
C:\RECYCLER\S-9-5-95-100014333-100031827-100019275-6450.com
C:\Documents and Settings\yahaha@0910\Local Settings\temp\tmp221.tmp
C:\Documents and Settings\yahaha@0910\Local Settings\temp\matrix35010.exe
上面這個是當初的執行檔...= =|||
4.報告連結：
Combofix：
http://sun.cis.scu.edu.tw/~92a39/upload/34333.txt
Hijackthis：
http://sun.cis.scu.edu.tw/~92a39/upload/34334.txt
SRENG：
http://sun.cis.scu.edu.tw/~92a39/upload/34335.txt
PS.1.EFix執行過了，有刪掉各槽的autorun.inf 但電腦又自己產生
2. 還請各位高手協助了，感激不盡
------補充------
感謝Junorn大的回信
先將c:\windows\system32\drivers\gaopdxkcyurkfj.sys刪掉
需使用反rootkit的工具刪 EX: icesword
重開機後，進入SAFE MODE，將上述檔案刪除，
並且重新RUN一次combo Fix、EFix、KAVO_KILLER最新版
目前尚未出現AUTORUN.ini的檔案，繼續觀察中...
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 123.193.122.46
※ 編輯: dennis277 來自: 123.193.122.46 (01/31 02:22)
1F：推 junorn:西柏利亞漁夫病毒變種 01/31 02:25
2F：推 ueno:看到這篇文章後馬上開始備份我電腦的重要檔案了 @@ 01/31 02:49
※ 編輯: dennis277 來自: 123.193.122.46 (01/31 12:50)
3F：推 junorn:暫時ok. 用rootkit建立的登錄值也要用icesword刪 01/31 13:42