作者alldrink (表演還要繼續)
看板AntiVirus
標題[情報] 很強的病毒 無極piloyd
時間Tue Dec 29 10:21:39 2009
跟他奮鬥好久
資料如下
http://virusinfo.jiangmin.com/virusdbsearch.asp?virusword=Win32/Piloyd.b
江民反病毒中心監測到，一個名為“無極殺手”變種b（Win32/Piloyd.b）
的病毒正在互聯網上瘋狂傳播，該病毒在短短20天的時間內就感染了37萬余台計算機。
江民反病毒專家分析，病毒運行后，生成qmgr.dll病毒文件，
加載sfc_os.dll並查找其5號導出函數，使得系統的文件保護對于其要修改的qmgr.dll失效
，然后病毒從資源中讀取數据寫到qmgr.dll，修改該文件時間，並啟動對應的服務
。然后在系統目錄下把自身復制為lsasvc.dll並在臨時目錄釋放“TempDel.bat”
以刪除自身。
病毒名稱：網絡蠕蟲Net-Worm.Win32.AutoRun.b
危害等級：高
病毒症狀：該樣本是使用「VC」編寫的蠕蟲病毒，採用「UPX」加殼方式，
企圖躲避特徵碼掃瞄，加殼後長度為「24,064 字節 」，病毒擴展名為「exe」，
主要通過「文件捆綁」、「下載器下載」、「移動存儲介質」、「網頁掛馬」
等方式傳播，病毒主要目的為實現網絡病毒傳播。
用戶中毒後，會出現殺毒軟件無故退出、系統運行緩慢、網絡速度降低、
出現大量未知進程等現象。
他會感染電腦中所有的
exe檔 => 破壞
htm檔 => 最後加入一行連結 到某cn網站下載個java程式
rar檔 => 把你解壓縮 再加病毒壓回去
查過版上....
有個標題是rar.exe的...應該就是這個病毒
不過那篇的推文連結失效了
我自己的解毒方法：
重灌C
安裝防毒解決exe檔
手動刪除所有htm
不過好多程式都被毀掉了 慘!!
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 112.104.22.228
1F：推 SDUM:阻止 訪問服務驅動，立刻掛掉------>弱 12/29 12:25
2F：推 frank1033:= =" 這篇是為了打廣告來po文的嗎? 12/29 12:40
3F：→ qin5200:整顆格式化，光C槽有用嗎，火就不會燒到隔壁嗎 12/29 13:36
4F：→ alldrink:這篇是解毒的流程 因為我自己的NOD32也被封了 ps我不是26 12/29 17:59
5F：→ alldrink:我也不知道怎麼中的 網路上倒是說可能是綠色軟件被加料 12/29 18:02
6F：→ alldrink:會用那是因為我搜尋google:Rar.exe剛好看到 無廣告之意 12/29 18:09
※ 編輯: alldrink 來自: 112.104.22.72 (12/29 18:09)