作者pts0130 (好可愛的幹)
看板AntiVirus
標題Re: [求救] 連上網路就會中毒
時間Tue Apr 27 18:55:46 2010
combofix掃出來的
[code]<pre>
c:\program files\ASUS\ATK Media\dmedia .exe
c:\program files\ASUS\NB Probe\nbprobe .exe
c:\program files\ASUS\Power4 Gear\batterylife .exe
c:\program files\ASUS\Splendid\acmon .exe
c:\program files\ATI Technologies\ATI.ACE\Core-Static\clistart .exe
c:\program files\ATKOSD2\atkosd2 .exe
c:\program files\Microsoft Office\Office12\groovemonitor .exe
c:\program files\Synaptics\SynTP\syntpenh .exe
c:\program files\Windows Live\Messenger\msnmsgr .exe
c:\program files\Wireless Console 2\wcourier .exe
c:\windows\ime\IMJP8_1\imjpmig .exe
</pre>[/code]
這些我都去資料夾看過了，似乎是病毒把原本的exe檔多加一個空白
自己複製一個相同檔名的進去，然後小紅傘完全掃不到
所以是這些程式感染的意思嗎?
那如果我把這些程式反安裝再灌
有機會將病毒清乾淨嗎?
畢竟除了最後一項以外，我都還留著安裝程式
感謝各位大大解惑，若說了甚麼蠢話請見諒~
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 140.112.14.136
1F：→ pts0130:另外補充目前電腦使用正常，小紅傘可能懶得叫了XD 04/27 18:56
2F：→ winloudy:出現同樣的狀況+1.....圖示也變成一個很詭異的圖案 04/27 19:33
3F：推 fireslayer:你的毒本檔有掃出來嗎？ 04/27 19:36
4F：→ pts0130:樓上，抱歉不懂您的意思，中毒徵狀與上傳檔在上一篇 04/27 19:37
5F：推 junorn:基本上應該是可以吧...不過還有其他的啟動項 04/27 19:53
6F：推 junorn:如果方便的話就將工作排程的東西全部清掉 04/27 20:07
7F：→ pts0130:請問是工作管理員的處理程序嗎? 看到很多是執行有含空白 04/27 20:15
8F：→ pts0130:的執行檔QQ 04/27 20:15
9F：推 junorn:基本上我會建議你找系統裡面檔案大小為36864的執行檔 04/27 20:16
10F：→ junorn:然後再去比對看有沒有空白檔案，有就將那36864大小的檔刪掉 04/27 20:16
11F：→ pts0130:ok 我試試看 謝謝!! 04/27 20:17
12F：→ pts0130:.exe檔最大只有到31xxx耶 所有檔案也沒有符合36864的 04/27 20:20
13F：推 junorn:那你可能要計算一下了，我不知道CF的報告檔案大小是怎麼 04/27 20:30
14F：→ junorn:計算的，不然你自己看比較快，找前面翻CF報告 04/27 20:31
15F：→ junorn:從[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Current 04/27 20:31
16F：→ junorn:Version\Run]開始往下看看到啟動\前面 04/27 20:31
17F：→ junorn:看最後面文字是2010-04-27 36864的，對應到前面的檔案找吧 04/27 20:32
18F：→ pts0130:有了 找到c槽msn根d槽adobe裡有檔案 剛剛沒找到msn是因為 04/27 20:38
19F：→ pts0130:我都刪了 現在adobe那個也刪了 然後把正確的檔名改回來了 04/27 20:38
20F：→ pts0130:我現在正在用非趨勢用戶掃毒方式半自動化掃 掃完重開機試 04/27 20:40
21F：推 junorn:你在找有沒有這檔案有就刪掉，其他基本上就還好了 04/27 20:41
22F：→ junorn:c:\program files\Internet Explorer\wmpscfgs.exe 04/27 20:41
23F：→ junorn:如果有的話看可不可以一樣傳到免空之後再刪 04/27 20:41
24F：→ pts0130:ok 有找到 我會試著把有問題的檔案壓縮傳上去 04/27 20:43
25F：→ miamodo:能不能隔離所裏的一併打包? 04/27 21:44
27F：→ pts0130:j大 我只留了36864的msn中毒檔 其他因為已經將黨名改好 04/28 01:38
28F：→ pts0130:怕又亂改導致系統出問題 抱歉了!! 04/28 01:38
29F：推 junorn:沒關係啦樣本非必要，問題處理好就好。 04/28 01:41