作者jim93 (小白不白)
看板AntiVirus
標題[求救] 電腦中了惡意程式，無法解決
時間Mon Nov 29 00:51:09 2010
███████發文時，如果文字沒有顏色，可以使用「Ctrl+V」開啟顏色███████
1. 敘述問題：
1. 電腦上禮拜似乎是在影印店插上隨身碟後，回家用即發生感染，明顯的
症狀比較明顯有"隱藏檔按顯示後能仍然打不開"、"或是執行一程式或文件大約過20秒"，
程式視窗上方的藍條框會變成淡藍色(XP版本)，就是需要在點一下才能繼續執行的問題；
2.每次關機時都會出現
*[1;32m WScript.exe. dll 初始化失敗，應用程式無法初始，工作站正在關機*[m
和*[1;32m svchost.exe 系統無法結束這個程式，因為他正在等您的回應*[m (另外此svc
host.exe是firefox瀏覽器的圖示)
3.另外感覺資料有被移動過，像是MSOCache、MSDOS、ntldr、NTDETECT、
IO、boot 這些檔本來不應該大剌剌的躺在資料夾外面，現在一點進去C槽就會看到這些
檔案，前幾天還差點誤刪。
4.一開始感染的時候有發現 autorun.inf 、 RECYCLE這兩個資料夾
2. 系統資料：
使用的作業系統：Windows XP
nod32
3. 分析報告：
Hijackthis ：
http://sun.cis.scu.edu.tw/~92a39/upload/40794.txt
抱歉因為不知道是不是惡意程式問題，現在efix使用時會出現 複製系統檔案失敗:C:/
AB2ACWS\ATIRIB.EF
http://sun.cis.scu.edu.tw/~92a39/upload/40795.txt
我是在11/22中了惡意程式，這是11/23使用efix那時的報告，但隔幾天發現病毒還是存
在我的電腦裡，之後就無法使用efix了，kavo killer也無法使用，然後稍早還看到
ComPlus Applications 資料夾有一些可疑的程式，因為執行Hijack強迫重新開機後，現在
ComPlus Applications 資料夾裡面現在是空的，不知道該怎麼辦。
combofix 跟Hijack 準備執行時會出現 This appears to have been started from a temporary
folders.Since temp folders tend to be emptied regularly,it's wise to copy
Hijack this exe to a folder of its own for instance C:\program files\Hijack
this. This way,any backups that will be made of fixed items won't be lost.
Please quit Hijack This and copy it to a separate folder first before fixing
any items.(之後就是跳出我上面打的錯誤訊息，然後就關機了，因為跳太快，所以沒記
錄到combofix 的訊息，不過印象中是跟Hijack這段訊息一樣的)
希望電腦高強的高手們，能幫我解決這種惡意程式，感激不盡!也學到教訓，影印店的電腦根本就
是毒窟
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 58.115.110.178
1F：推 nonono123:自己放attrib.ef到efix的資料夾內在執行 11/29 17:50
2F：推 junorn:sreng有沒有辦法使用？ 11/29 20:49
4F：→ jim93:sreng報告 11/29 21:58
5F：→ jim93:不知道EFIX資料夾是不是EF_BACKUP 這個，是的話放進去依然不 11/29 22:15
6F：→ jim93:能用喔 11/29 22:15
7F：推 junorn:不是，是你提到的AB2ACWS資料夾 11/29 22:51
8F：→ junorn:放進去執行看看，不行的話就再另外處裡 11/29 22:52
9F：→ jim93:經過搜尋發現此資料夾是隱藏檔，因為目前隱藏檔也打不開，然 11/29 23:51
10F：→ jim93:後在搜尋畫面點該搜尋到的資料夾會顯示無法存取C:\AB2ACWS 11/29 23:53
11F：→ jim93:存取被拒，真難纏呀... 11/29 23:53
12F：推 junorn:恩那大概知道了，換別的東西 11/30 09:23
13F：推 junorn:你試看看看這個能不能跑 11/30 09:26
15F：→ junorn:可以的話跑完貼報告上來，不行的話也回報一下就改用其他工 11/30 09:28
16F：→ junorn:具 11/30 09:28
17F：→ jim93:一開始可以，他的DOS視窗閃一下就不見了，之後再按開始一次 11/30 12:50
18F：→ jim93:會說複製系統檔案失敗C:\1E9D6WS\ATTRIB.EF 11/30 12:51
19F：推 junorn:恩好那我知道了，換個方式 11/30 13:08
20F：→ leyhernmo:前幾天店裡電腦也出現類似狀況，我死馬當活馬醫，用 12/02 01:33
21F：→ leyhernmo:google的Spyware Doctor with Anti-Virus 掃過就解決了 12/02 01:34
22F：→ leyhernmo:不保證一定會好，但提供你參考看看!! 12/02 01:35
23F：→ leyhernmo:在google軟體集裡面就有免費版的可以用!! 12/02 01:35