作者hirokofan (笠原弘子 命！)
看板AntiVirus
標題Re: [求救] 電腦會一直利用25 port發圾垃信
時間Thu Apr 1 18:20:23 2010
http://kotuha.com/file/QzORE-combofix.html
http://kotuha.com/file/aaKJz-hijackthis.html
http://kotuha.com/file/eaZ6a-SREngLOG.html
異常現象：
1.電腦用25port發垃圾信
2.沒開IE，在工作管理員發現會有iexplore.exe跳出來
強制關閉之後還會自動出現
3.插上隨身碟之後，我的電腦沒有出現隨身碟所在的G槽
後來是用命令提示字元把ComboFix複製到電腦上
環境：
電腦所有者說有裝防毒，可是我去看的時候發現avast目錄裡面是空的
只有一個看起來像掃木馬程式的東西
處理：
1.EFix可以執行，沒有刪除任何檔案
2.ComboFix無法執行
3.進入安全模式才能使用ComboFix，跑完有刪除一堆東西
4.重開機後可以使用ComboFix
因為發現很多電腦都有用25port發垃圾信的情形，
但不知道是什麼毒、怎麼傳染的，想防治也沒有頭緒
起先懷疑是透過隨身碟感染（有人說他的隨身碟拿到別的地方就被發現有毒）
後來看看不像，根目錄沒有autorun.inf等檔案，電腦也有裝wow usb viruskiller
後來猜想可能是有人開了電子郵件中帶毒的附件但沒有證據
希望有類似經驗的人提供線索，不然現在只能消極的從防火牆擋port而已>_<
--
◢███◣
◤ ≡ ______________________________________
─⊙-⊙- / \
皿 _/ 把台灣那些可悲的節目收一收 該吃飯了 /
◣ ︶◢ \______________________________________/
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 114.39.29.96
1F：推 junorn:聽起來還蠻像SROSA ROOTKIT的。 04/01 19:18
2F：→ flu:病毒來源的話 不小心用ie看某網頁中了毒 牠可能會找逗陣的來 04/01 19:55
3F：→ hirokofan:偏偏那台電腦一堆人在用，總不能每個都抓來嚴刑拷打吧XD 04/01 20:48
已補log
※ 編輯: hirokofan 來自: 61.223.192.143 (04/02 08:17)
4F：推 junorn:這個檢查看看 04/02 09:11
5F：→ junorn:c:\windows\system32\drivers\nfelnkxs.sys 04/02 09:12
6F：→ junorn:不過要小心他是SYSTEM START的，直接刪有可能會掛系統 04/02 09:12
其實玩掛了也沒差，已經沒人敢用那個系統，最多就是把資料撈出來而已-_-
現在我在懷疑combofix砍掉的User Protection
據說這個也是假防毒，查看資料夾更動時間
這個被裝進去之後，過兩個小時防毒就消失了
※ 編輯: hirokofan 來自: 114.39.32.186 (04/02 21:03)
7F：推 junorn:那就有可能。 04/02 21:11