作者olukeo (慕尼黑漆漆)
看板AntiVirus
標題[求救] 中木馬後不斷遭攻擊
時間Wed Apr 14 21:26:41 2010
1. 敘述問題：
一開始是Lab收到計中通知說實驗室某IP中木馬，於是開始大掃毒，
掃完之後還是不停收到病毒或木馬，小紅傘一直逼不停，
不曉得是小紅傘或是木馬把C槽空間一點一滴吃光，
必須每隔一段時間就刪暫存檔...可以刪到1.5G多
後來一度懷疑是遭受封包攻擊，但是下載了ARP Protector後，
這軟體不停跳出"有問題需關閉"...
直接用命令字元執行arp -a，也很神奇的視窗半秒鐘就自己關掉
連ipconfig也是，看不到是否是遭受同網域的攻擊...
附上小紅傘掃到的內容
http://hotfile.com/dl/37884103/61648b6/Virus.jpg.html
有很多是.exe或是.script檔
2. 系統資料：
OS: WINDOWS XP
防毒: 小紅傘10.0
3. 分析報告：
Combofix報告：很神奇的完全無法下載，都會出現以下網頁
Security Warning!
Access to this website is prohibited: subs.geekstogo.com/ComboFix.exe
Infection Type: Malware and Spyware
Malware: Malware
Description: High risk malicious programs are hosted on these sites that have
the potential to cause damage to your PC, secretly install a backdoor into your
computer or silently steal sensitive information.
Hijackthis ：
http://sun.cis.scu.edu.tw/~92a39/upload/39129.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/39131.txt
麻煩各位了! 謝謝
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 140.116.71.105
1F：→ olukeo:另外工作管理員裡面有異常大量的svchost.exe 不曉得怎麼了 04/14 21:30
2F：推 fireslayer:應該壞光光了<猜> 04/14 21:45
3F：→ olukeo:囧 04/14 21:47
4F：→ olukeo:有沒有好心人願意幫我看一看，同網域的也有類似症狀了~ 04/15 09:14
5F：推 junorn:恩....不好處理。 04/15 09:26
6F：推 junorn:置底的EFix能跑嗎？ 用腳本處理會比較好弄些。 04/15 09:28
7F：→ olukeo:最後還是選擇重灌了Orz 系統受損到後來都無法開機.. 04/15 16:42
8F：→ olukeo:感謝jun大願意幫我看:) 04/15 16:42
9F：推 dick49576111:combo應該是木馬擋下載 我以前就遇過 04/15 23:07
10F：推 dick49576111:遇到這情況可能要請別人抓好 用免空來傳 04/15 23:10