作者DOREK (多雷克)
看板AntiVirus
標題[求救] 電腦重開機檔案夾會變exe且用過efix(已爬文)
時間Mon Dec 6 22:44:07 2010
1.敘述問題：
小弟我被這惡搞病毒搞好幾天了
這病毒傳染途徑我猜應該是我的usb插到學校電腦後又回家插在家裡
當時又因為剛睡醒沒發現檔案全變成exe檔於是開下去
現在變成每次開電腦檔案就會全變成exe檔
我有稍微觀察發現
他還會封鎖我的工作管理員
所以變成要去regedit那邊將system的設定由1改為0(每次開機都會再設成1)
然後關掉兩個工作程序" system32" 和 " wowexxx"(xxx是忘記了)
這兩個程序的特色是前面都有一個空格 + 沒有任何記憶體資訊
關掉之後
(本人曾經嘗試沒關過就重設資料夾，結果資料夾直接跑不見並多出同名exe檔在dos裡)
再跑attrib
才把全部隱藏檔跑出來
而且沒關還不能複製貼上任何文字與檔案...
2.系統資料：
windows7 & avast 5.0
3.掃毒報告：
avast我是設定為螢幕保護程式自動掃瞄
也都沒掃到相關病毒
而efix檔在這
http://sun.cis.scu.edu.tw/~92a39/upload/40841.txt
4.分析報告
這個要寫什麼=_="
先感謝大大解答
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 114.45.128.246
1F：→ DOREK:順便說一下，也出現一堆"desktop.ini"檔在一些資料夾內 12/06 23:08
2F：→ DOREK:而且開機會自己開啟desktop這個檔案，內容看不懂，是文字檔 12/06 23:09
3F：→ DOREK:再補充一下 他是systim32不是system32 12/07 00:10
4F：→ DOREK:而那個wo的正確檔名為wowecex 12/07 00:11
5F：推 junorn:挖靠...system32底下資料夾都被隱藏，這個夠狠 12/07 00:22
6F：→ junorn:你先找檔案大小是145664的先將他刪掉吧，應該很多 12/07 00:24
7F：→ junorn:這個可能光靠EFix沒效果，找COMBOFIX修看看 12/07 00:25
8F：→ DOREK:再補一個arswp3的報告 12/07 00:52
9F：→ DOREK:COMBOFIX的紅色老虎試過 貼板上的文字檔上去也沒用 12/07 00:57
11F：推 junorn:聽描述像vundo，並且是新種的...把那個145664大小的檔案傳 12/07 01:07
12F：→ junorn:防毒廠去分析在解看看吧，你貼的報告目前都看不出哪邊問題 12/07 01:07
13F：→ DOREK:要怎的找檔案大小是145664的呢? 12/07 09:43
14F：推 junorn:用Windows搜尋功能吧...命令提示字元的話不好打 12/07 10:01
15F：→ kaomike:我之前好像有用手動解過(不知道完全不完全)至少沒再發作過 12/07 19:12
16F：→ kaomike:到SYSTEM32裡找一些不是原來的隱藏資料夾，其中一個裡面會 12/07 19:13
17F：→ kaomike:有一個執行檔(當時看就不像是XP的~所以就砍了)再把 12/07 19:14
18F：→ kaomike:那些資料夾.EXE刪除重開機GET沒事了耶但是病毒名稱沒記住 12/07 19:14