作者oldfaceHsu ()
看板AntiVirus
標題[求救] Win32:Fraudo、Win32:FakeAV-NO一直Avast不掉
時間Fri Aug 14 23:31:19 2009
1. 敘述問題：
上午發生的, 平常用FF逛網頁, 當時的Avast自動防護沒開,
我不小心開IE8連到一個印象中很普通的網站, 災難就開始了....
§
剛開始, 系統右下角出現紅圈白X的英文Warning泡泡框, 防火牆自動被關閉,
我緊急打開Avast防護, 就抓到Win32:Fraudo、Win32:Trojan-gen {Other}、
Win32:FakeAV-NO [Rtk]，但想隔離，Avast卻警告說隔離區失效，於是我刪除
但英文Warning始終在, 防火牆也中邪一直自動關閉....
§
然後我開始關閉系統還原, 清暫存檔, 拔網路, 以安全模式重開,
也個別刪掉了braviax.exe, wisdstr.exe等問題檔案, copy乾淨的beep.sys來覆蓋,
再用Avast掃過一次(以為沒事)
另外用SuperAniSpyware掃過, 清了3隻...
§
再正常重開機, 英文Warning是不見了, 但Avast一樣無能,
每次重開機後, Avast防護又會抓到wisdstr.exe和Install[1].exe...
只要刪除, 馬上又生一隻出來
徵狀幾乎和這老外描述得一模一樣
http://forums.majorgeeks.com/showthread.php?p=1371475
但始終沒google到對應的解毒方法
感覺是Win32:Fraudo、Win32:FakeAV-NO這兩隻在搞鬼...
2. 系統資料：
WinXP Pro Sp2, Avast 4.8家庭版
3. 分析報告：
hiJackThis:
http://sun.cis.scu.edu.tw/~92a39/upload/35769.txt
Combofix, sreng2, avast日誌:
http://www.twinpeak.com.tw/temp/logs.zip
求救~~~~~~~~~~~~
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 114.45.107.177
1F：推 TypeZero:置底＆範例不是有提供LOG專用空間... 08/14 23:32
※ 編輯: oldfaceHsu 來自: 114.45.107.177 (08/14 23:38)
3F：→ KarasuTW:掃過上面那個還有問題請再掃一次 combofix 08/15 03:21
6F：推 KarasuTW:使用上還有問題嗎？有的話要掃 combofix 08/15 23:19
7F：→ oldfaceHsu:被鎖住 慘的是我再avast一次,掃到ntfs.sys被感染,我手 08/15 23:19
8F：→ oldfaceHsu:賤,刪掉它,xp進不去了(藍白畫面,還自動重開機)>"<唉 08/15 23:21
9F：→ oldfaceHsu:我雙系統現在vista中,有可能間接comboxFix? i doubt 08/15 23:24
11F：→ oldfaceHsu:現在似乎沒事了ntfs.sys原來是另一隻叫cutwail-w來搗亂 08/17 16:44
12F：→ oldfaceHsu:至少 avast不會再吱吱叫了 謝K大 08/17 16:45