作者coldaqua (048/04/06/04/07)
站內AntiVirus
標題[求救] 隱藏資料夾並製作隱藏同名.exe假檔 (使用硬碟救援軟體可見)
時間Fri Aug 21 20:24:29 2009
1. 敘述問題：
8/5帶一顆隨身硬碟到學校 是別人幫忙抓資料進去(出門時關機是使用
"休眠")
硬碟平時是直接sata介面到電腦，開機前把硬碟接回去sata介面使用，
看到硬碟容量沒增加，之後關機(正常關機)，再開機後發現硬碟容量減少，但沒有
發現任何新增資料夾，但使用救援軟體R-studio可以看到被隱藏的資料夾。
且可見多出的.exe檔案 名稱為
songs.exe &
shakespeare.exe
當時沒發覺是病毒，使用救援軟體復原到第一顆硬碟之後，用F-secure
就掃出上面兩隻毒。
但是無論"內容"點選不隱藏資料夾...等，或是用掃毒程式都無法掃出
在原中毒硬碟的兩個檔案，看不到也進不去資料夾
所以上來請求支援，希望高手能幫忙找出病灶
!!!!!!!!!!!!!謝謝!!!!!!!!!!!!
2. 系統資料：
使用的作業系統：Windows XP home sp3
使用的防毒軟體：F-secure
3. 分析報告：
EFix：
http://sun.cis.scu.edu.tw/~92a39/upload/36006.txt
Combofix：
http://sun.cis.scu.edu.tw/~92a39/upload/36007.txt
Hijackthis：
http://sun.cis.scu.edu.tw/~92a39/upload/36008.txt
SRENG：
http://sun.cis.scu.edu.tw/~92a39/upload/36009.txt
再次感謝!!!!
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 118.170.16.136
1F：→ coldaqua:補充：目前系統無明顯影響，希望不用格式化就刪掉病毒 08/21 20:28
2F：推 TypeZero:單純偷資料？ 08/21 21:15
3F：推 pokl123:在執行一次EF，然後勾選"還原隨身碟含隱藏屬性資料夾"試試 08/21 21:27
4F：推 maplefog:我都使用Linux刪 08/21 22:06
系統感覺沒變慢，毒沒在C槽過 =>針對版主的問題。
用R-studio還原後，執行F-secure有抓到還原目的資料夾的那兩隻毒(d槽)，
但來源處的兩隻(在F槽內被隱藏的資料夾內)都沒抓到，所以最大的困擾
是進不去被隱藏的資料夾。還是我應該把硬碟放回外接盒再掃？
(覺得好像有關係又沒關係)
因為中毒時硬碟是放在外接盒裡面的(要出門才裝進外接盒，
平時是接sata速度比較快) =>針對三樓您說的，我有勾選耶!!是接sata掃描時
怎辦呢...>"<
※ 編輯: coldaqua 來自: 118.170.14.132 (08/22 10:32)
5F：推 KarasuTW:無異常…用救援軟體看到的應該是被刪除的殘骸吧 08/26 12:06
6F：→ KarasuTW:硬碟容量減少直覺是系統還原的問題 XDrz 08/26 12:07