作者NDark (K1下次要買搖滾區)
看板AntiVirus
標題Re: [求救] 木馬感染中
時間Mon Aug 31 09:31:12 2009
※ 引述《NDark (K1下次要買搖滾區)》之銘言：
1. 敘述問題：
防毒軟體在開機時出現木馬訊號.但清除後也似乎無法完全解除.
一些防毒出現的keyword: Trojan* Backdoor.Bot Worm.Palevo
開機的時候會跳出自動連接的IE視窗 google "earn money"
(ComboFix重開後已經沒有此網頁)
使用者資料夾下開機時會自動產生自動命名新的問題隱藏檔.
MSN會自動傳出imagshack的問題訊息,用過EFix不知是否已經清除.
2. 系統資料：
Windows XP, Trend OfficeScan ,費爾防火牆.
3. 分析報告：
20090831 Mon.
Combofix報告：
http://sun.cis.scu.edu.tw/~92a39/upload/36144.txt
Hijackthis ：
http://sun.cis.scu.edu.tw/~92a39/upload/36145.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/36146.txt
20090831 KarasuTW指示後
Combofix報告：
http://sun.cis.scu.edu.tw/~92a39/upload/36148.txt
開機後已無無預期的網頁開啟動作
使用者資料夾已無自行產生之隱藏執行檔
20090831-2
雖然已無上述狀況.但執行MBAM後,卻發現多數感染及MBAM錯誤現象.
MBAM的錯誤訊息
在掃描到最後一塊 "正在執行附加的和啟發式對象掃描" 時 會出現錯誤訊息
發生一個錯誤,請把下面的錯誤代碼給.....
Error code: 731 ( 0 , 6 )
並出現一無名稱之受感染物件,及多感染物件,log如下
並要求重開機,重開掃描後狀況相同.
http://sun.cis.scu.edu.tw/~92a39/upload/36160.txt
以上已經解決.感謝各位.
--------------------------------------------------------------------
另一台朋友電腦出現的狀況.
作業系統XP
防毒軟體是Avira
有徵狀的是MSN會傳訊息,防毒軟體也會叫有木馬.
MBAM有無內容的感染物
20090901
Combofix報告：
http://sun.cis.scu.edu.tw/~92a39/upload/36180.txt
Hijackthis ：
http://sun.cis.scu.edu.tw/~92a39/upload/36181.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/36182.txt
20090908
經 KarasuTW 36230 腳本處理.結果如下
Combofix報告：
http://sun.cis.scu.edu.tw/~92a39/upload/36289.txt
經此運作,回報網路無法連線,情況像是無法撥接上網.
使用還原後.本次處理也一併回朔了.
--
"May the Balance be with U"(願平衡與你同在)
視窗介面遊戲設計教學(
http://0rz.tw/V28It )，討論，分享。歡迎來信。
視窗程式設計（Windows CLR Form）遊戲架構設計（Game Application Framework）
遊戲工具設計（Game App. Tool Design ）
電腦圖學架構及研究（Computer Graphics）論文代讀(含投影片製作)
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 140.96.77.176
※ 編輯: NDark 來自: 140.96.77.176 (08/31 09:31)
1F：推 KarasuTW:按開始 - 執行 - notepad.exe 複製貼上以下網頁文字 08/31 10:12
3F：→ KarasuTW:按檔案 - 另存新檔，點左側桌面圖示，檔名取CFScript.txt 08/31 10:13
4F：→ KarasuTW:檔案類型選所有類型，編碼選 ANSI，存檔後將CFScript圖示 08/31 10:13
6F：→ KarasuTW:掃描完成後將 combofix 的 log 貼上來 08/31 10:15
※ 編輯: NDark 來自: 140.96.77.176 (08/31 10:31)
7F：推 KarasuTW:看起來已經沒有再生的問題了，請下載 MBAM 下來掃除病毒 08/31 15:07
8F：→ KarasuTW:遺留的殘渣，使用方式請看 #1AOlsLT7 ，Windows Update 08/31 15:08
9F：→ KarasuTW:也檢查一下。至於 C:\Windows\temp\ 下面那個亂數的 08/31 15:09
10F：→ KarasuTW:執行檔看樣子是和 office scan 有關的檔案。 08/31 15:09
11F：→ KarasuTW:記得用 ATFCleaner 清一下暫存區的垃圾 08/31 15:10
12F：→ NDark:了解了.會持續觀察,謝謝. 08/31 15:11
13F：→ KarasuTW:忘了說，一樣按開始 - 執行 - combofix /u 移除多餘檔案 08/31 15:19
※ 編輯: NDark 來自: 140.96.77.176 (08/31 15:44)
14F：→ NDark:C:\WINDOWS\temp 內檔案無法移除.ATFCleaner已使用. 08/31 15:45
15F：推 KarasuTW:那應該是 Office scan 的檔案，沒辦法完全移除的檔案重開 08/31 15:48
16F：→ KarasuTW:以後應該就會移除了 08/31 15:48
17F：推 KarasuTW:重開的安全模式含網路做全系統掃描吧，看起來有很多屍體 08/31 15:52
18F：→ KarasuTW: 到 08/31 15:53
19F：→ NDark:奇妙的是安全模式下MBAM掃描不到任何感染. 08/31 16:23
20F：→ NDark:anyway,如果沒有症狀的話,就先當作問題解決了,感謝協助. 08/31 16:23
※ 編輯: NDark 來自: 140.96.77.176 (09/01 20:03)
※ 編輯: NDark 來自: 140.96.77.176 (09/01 20:07)
21F：推 KarasuTW:你朋友的用下列網址內文字 09/04 01:17
※ 編輯: NDark 來自: 140.96.77.176 (09/07 20:18)
※ 編輯: NDark 來自: 140.96.77.176 (09/07 20:18)
23F：推 KarasuTW:你朋友沒有正確使用 CFScript 喔 09/07 20:28
24F：推 KarasuTW:鷇}始 - 執行 - notepad.exe 複製貼上以上網頁內文字 09/07 20:31
25F：→ KarasuTW:按檔案 - 另存新檔，點左側桌面圖示，檔名取CFScript.txt 09/07 20:31
26F：→ KarasuTW:檔案類型選所有類型，編碼選 ANSI，存檔後將CFScript.txt 09/07 20:31
28F：→ KarasuTW:掃描完成後將 combofix.txt 上傳並回報狀況是否有變化。 09/07 20:31
※ 編輯: NDark 來自: 140.96.77.176 (09/08 19:53)
※ 編輯: NDark 來自: 140.96.77.176 (09/08 20:01)