作者ilovecurl (ilovecurl)
看板AntiVirus
標題[求救] 小紅傘 TR/Crypt.zpack.gen trojan
時間Sat Apr 10 08:20:03 2010
███████發文時，如果文字沒有顏色，可以使用「Ctrl+V」開啟顏色███████
※掃毒報告請保存下來，以便無法自行解決問題時發文用。
小紅傘一掃到他,跳出來的視窗我不管選哪一種處理方式按下去就會重開
已安裝更新檔
三、清除暫存檔（清除工具：http://tinyurl.com/nkb3v7）
已完成
1. 敘述問題：
看不出使用上的影響,只是開完機後小紅傘就會跳出來掃到此病毒
但是殺不掉,也不能隔離,除此之外的危害不詳
2. 系統資料：
使用的作業系統為Windows XP,防毒是小紅傘
3. 分析報告：
Combofix報告：
http://sun.cis.scu.edu.tw/~92a39/upload/39067.txt
Hijackthis ：
http://sun.cis.scu.edu.tw/~92a39/upload/39068.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/39069.txt
防毒軟體報告:
我什麼都沒做,小紅傘就突然跳出來了,不知道什麼問題,希望能幫忙解決,感激不盡!
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 123.193.81.244
1F：→ TypeZero:綠字 與 紅字 可以刪除 04/10 13:11
※ 編輯: ilovecurl 來自: 123.193.81.244 (04/10 13:23)
2F：推 mycallmax:C:\WINDOWS\system32\tecoobuku.exe有點可疑 04/10 15:29
3F：→ mycallmax:另外試試用小紅傘做一下Rootkit Search看有沒有可疑檔案 04/10 15:30
4F：推 mycallmax:能否提示一下掃到的檔案名稱? 04/10 15:42
5F：→ ilovecurl:C:\Documents and Settings\paul\Local Settings\Temp\ 04/10 17:21
6F：→ ilovecurl:ctv405.exe. 04/10 17:22
7F：→ ilovecurl:還有這個,也在同一個資料夾下pwcqqwgwrvgcofi.sys. 04/10 17:23
8F：→ ilovecurl:evufqwxflulpxn.sys. 這個也是 04/10 17:24
9F：→ ilovecurl:還有這個emoipeerbjp.sys,全部都被偵測成標題上那個東西 04/10 17:25
10F：推 mycallmax:使用XDelBox重開機在Dos下把可疑的檔案都刪一刪 04/10 21:01
12F：→ ilovecurl:我不知道刪掉了沒耶,因為想要用這個軟體殺的時候,已經找 04/11 11:14
13F：→ ilovecurl:不到這幾個檔案了,不知道是藏起來了,還是已經被殺掉了 04/11 11:14
14F：→ ilovecurl:我有用小紅傘掃了一下,好像沒看到 04/11 11:15
15F：→ ilovecurl:有時候還是會自己莫名的跳出廣告視窗,不知道有沒有辦法 04/11 11:28
16F：→ ilovecurl:檢查看看殺掉了沒 04/11 11:28
17F：推 mycallmax:有時候找不到 你必須把路徑複製起來 04/11 11:35
18F：→ mycallmax:然後使用那個程式按右鍵 不檢查加入檔案 04/11 11:35
19F：→ mycallmax:要檢查有沒有殺掉了可以在同目錄下建立一個同名的檔案 04/11 11:36
20F：→ ilovecurl:我把那些都刪掉了,但是今天又跑出新的檔案,是同樣的東西 04/12 12:11
21F：→ ilovecurl:而且在C:\Documents and Settings\paul\Local Settings 04/12 12:12
22F：→ ilovecurl:下多出了soundman.exe,rundll32.exe,各兩個一模一樣的 04/12 12:14
23F：→ ilovecurl:圖示是一本紅色的書的樣子,不知道這幾個檔能不能刪 04/12 12:14
24F：推 flpin:我現在每天也要看到這一隻毒....殺不掉啦 >"< 04/12 16:46
25F：推 mycallmax:你可以把那些檔案上傳到virustotal去看看 04/12 23:26
26F：→ mycallmax:如果報告說蠻有毒的就可以把他們殺掉 04/12 23:27
27F：推 mycallmax:不過看起來是可以刪的 因為圖示就不對了 04/12 23:57