作者u8544138 (kkk)
看板AntiVirus
標題[求救] SafeDrvll.exe病毒 連還原卡都防不了
時間Fri Feb 25 17:22:21 2011
███████發文時，如果文字沒有顏色，可以使用「Ctrl+V」開啟顏色███████
1. 敘述問題：
我是管理四間教室的苦命電腦老師，學生會帶隨身碟到電腦教室亂插，
三不五時中個隨身碟病毒也是沒辦法的，之前都是靠網路衛士還原卡
中毒重開機還原就是了，自從去年底電腦教室電腦陸續出現win xp下方
工具列由藍色變灰色，軟碟機讀不停，有些桌面會出現可樂視頻社區
的圖示，重點是教學廣播系統就廣播不到了，而且好像瘟疫一樣，剛開
始兩三台後來每天增加兩三台，兩三個禮拜後大部分電腦就沒法廣播了
之後有重灌，確定無病毒，然後整間電腦教室重傳(網路對拷)
本來以為OK了，但幾天後又陸續中毒
雖然每台電腦都有裝還原卡，也沒失效，但是還是感染
用EF.exe有掃到SafeDrvll.exe跟Autorun.inf
不過清除失敗，懷疑是還原卡載入前就藏在開機磁區
因為D槽沒用還原卡保護，所以一度懷疑病毒藏在D槽，因為沒辦法格式化
氣到把D槽磁區整個刪掉，重開機還是一樣，我已經黔驢技窮了
上網google SafeDrvll.exe只有些簡體網站有提到
不過似乎沒什麼具體解決辦法
2. 系統資料：
windows xp sp3
因為有還原卡 所以沒裝防毒軟體
3. 分析報告：
Combofix報告：
http://sun.cis.scu.edu.tw/~92a39/upload/41130.txt
Hijackthis ：
下載完安裝無反應...> <
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/41131.txt
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 210.59.58.189
※ 編輯: u8544138 來自: 210.59.58.189 (02/25 17:25)
※ 編輯: u8544138 來自: 210.59.58.189 (02/25 17:27)
1F：→ xbit:首先 要找到這病毒的備份檔,大概像administrater\228.tmp.等 02/25 20:54
2F：→ xbit:還有放ghost的磁碟機也有這類的檔案.日期很新仔細看找的到 02/25 20:55
3F：→ xbit:用PE開機後,找出上敘的檔案刪掉,接下來使用防毒軟體全掃一次 02/25 20:58
4F：→ xbit:這種病毒會自動再有ghost的磁碟機留備份檔,你還原一次就copy 02/25 21:00
5F：→ xbit:一次,很機車的毒 02/25 21:00
6F：→ lcjjaff:可以的話efix報告一起放上來... 02/26 00:28