作者sugar0612 (╭糖╮★〞)
站內AntiVirus
標題[求救] 電腦中毒 程式無法執行(FAKE AV)
時間Mon Dec 31 00:34:51 2012
███████發文時，如果文字沒有顏色，可以使用「Ctrl+V」開啟顏色███████
【全部資料皆為必填！看完後，不要刪掉白字，請將綠字與紅字刪除】
1. 敘述問題：
電腦突然出現win7 defender,一直彈出視窗告知有病毒&惡意攻擊
我用自己的avira掃毒都沒有掃病毒,但我用defender卻掃到200多個病毒
然後也不斷跳出要求購買軟體才能刪除這些病毒,木馬
目前電腦的程式都無法執行,需要按右鍵用系統管理員身分執行
(kkman可,但firefox.chorme,小畫家等都無法)
請幫幫我.謝謝
參考圖片
http://dropcanvas.com/0j4c0
2. 系統資料： win7
3. 分析報告：
Combofix報告：
http://sun.cis.scu.edu.tw/~92a39/upload/42012.txt
Hijackthis ：
http://sun.cis.scu.edu.tw/~92a39/upload/42013.txt
SRENG ：
http://sun.cis.scu.edu.tw/~92a39/upload/42014.txt
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 114.45.29.106
1F：→ ra065311:這幾天剛處理好一個而已= = 你是哪裡人? 12/31 00:37
2F：推 ra065311:先說一下 這絕對不是防毒軟體 這是假冒成防毒的病毒 12/31 00:49
3F：→ sugar0612:新北,靠近基隆,請問這是什麼樣的病毒還是木馬? 12/31 00:49
4F：→ ra065311:就跟XP Defender一樣 12/31 00:49
5F：→ ra065311:最快的方法 就是把硬碟拔下 裝到另台電腦上 12/31 00:51
6F：→ ra065311:然後用另台電腦的檔案總管 找到wgsdgsdgdsgsd.exe 12/31 00:52
7F：→ ra065311:把它所在的資料夾pcdfdata刪除就可以了 12/31 00:53
8F：→ sugar0612:我的是NB不會拆= =" 有無其他方法呢 12/31 00:55
9F：→ ra065311:你進去安全模式看看還會不會有被擋掉的問題 12/31 00:56
10F：→ sugar0612:進入安全模式還是會跳出Defender... 12/31 01:01
11F：→ ra065311:回到一般模式 開始 在搜尋欄輸入regedit.exe 然後以系統 12/31 01:02
12F：→ ra065311:管理員身分執行它 12/31 01:02
13F：→ ra065311:不能執行的話再說 12/31 01:24
14F：推 SDUM:fake AV 有做得那麼像？ 12/31 01:38
15F：推 SDUM:如果確認不是自己習慣差愛亂執行的話，可以考慮裝個sandbox 12/31 01:41
16F：→ SDUM:把瀏覽器給包起來。 12/31 01:41
17F：→ sugar0612:成功刪掉了,重開機後沒有再跳出來 12/31 01:42
18F：→ sugar0612:但執行程式時出現-這個檔案沒有執行這個動作的關聯程式 12/31 01:44
19F：→ sugar0612:?請安裝程式,如已安裝在控制台建立關聯... 12/31 01:45
20F：推 SDUM:登錄檔file association相關，要找個軟體修理。 12/31 01:53
※ 編輯: sugar0612 來自: 114.45.29.106 (12/31 02:07)
21F：→ ra065311:Sre有修關聯的功能 12/31 08:32
22F：推 hirokofan:假防毒很早就做的比真的還漂亮了XD 12/31 11:18
23F：→ y3k:估狗圖片搜fake av有圖看 精美到不可思議 幾可亂真 超強的... 12/31 12:21
24F：→ y3k:有時候我都想這些人應該去防毒公司工作的... 12/31 12:21
25F：→ turnipcar75:nb請自行拷貝重要文件資料後 直接回朔成出廠狀態吧 12/31 21:24
26F：→ turnipcar75:然後做windows update+mse+開uac+沙箱 12/31 21:25
27F：→ turnipcar75:才剛吵完事情就發生了哀何時才會想到要買呢.. 12/31 22:25
29F：→ y3k:不過就像ra大講的 把檔案刪掉就好了 12/31 23:23
30F：→ ra065311:忘了說 註冊表內 12/31 23:38
31F：→ ra065311:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentV 12/31 23:38
32F：→ ra065311:ersion\Run 裡有個相關的機碼 把它刪除掉 12/31 23:39
33F：→ ra065311:C:\WINDOWS\Prefetch 裡面副檔名為pf的檔案都可以刪除掉 12/31 23:41
34F：→ ra065311:全部處理完後需要重新開機 然後拔掉網路線再全系統掃瞄 01/01 17:22
35F：→ y3k:順帶一題小紅傘下一版的Rescue Disk很好很強大XD 協助測試中~ 01/02 01:03
36F：→ y3k:目前已經確定有Regedit功能 也可以teamviewer讓人遠端協助 01/02 01:05
37F：→ y3k:好到令人痛哭流涕QwQ 01/02 01:05
38F：→ turnipcar75:卡巴bd早有.....那不是甚麼新奇功能 01/02 01:23
39F：→ y3k:BD我不知道 但是卡巴斯基我上個月才用過 確定沒有那麼豐富阿@@ 01/02 01:36
40F：→ y3k:Avira可是已經脫離僅僅掃描的框架了 以後可能會變成版上標準修 01/02 01:42
41F：→ y3k:復工具之一XDD 01/02 01:42
42F：推 sennei:KIS不是有這樣的功能?我不是說單純防毒的KIV喔@@ 01/02 14:27
43F：→ sennei:BD和卡巴兩家的防護評價都是超級高的...幾乎都是這兩家 01/02 14:29
44F：→ sennei:在搶一二名XD 01/02 14:29
45F：→ y3k:喔喔我們是說修復用光碟的功能喔~@@ 01/02 18:27
46F：→ turnipcar75:卡巴的修復功能在引擎之中不管是光碟或者軟體. 01/03 23:06
47F：→ turnipcar75:你自己也說下一版,現在官方有放嗎?載點請私訊 01/03 23:08
48F：→ y3k:載點請自行搜尋Avira Beta Center然後加入會員... 01/03 23:17
49F：→ turnipcar75:卡巴和BD的掃描光碟中對於原系統的修復功能都在引擎中 01/04 01:10
50F：→ turnipcar75:不過針對部分的惡意程式僅做到移除感染項目 01/04 01:11
51F：→ turnipcar75:不過已經可以使目標系統達到解毒狀態了 卡巴自帶AVZ 01/04 01:12
52F：→ turnipcar75:腳本與其他離線掃描器 足夠在開機系統下移除惡意軟體 01/04 01:13
53F：→ turnipcar75:並修復註冊表 01/04 01:14
54F：→ turnipcar75:反觀AVIRA呢? 如果不是現在沒有又何必要做個所謂 01/04 01:24
55F：→ turnipcar75:超強光碟.附帶一提紅傘2013版是有簡單註冊表修復了.. 01/04 01:25
56F：→ turnipcar75:先簡單拍拍手恭喜一下.不過處理流程和啟動解毒條件 01/04 01:27
57F：→ turnipcar75:非常耗時.. 01/04 01:27
58F：→ ra065311:搞不懂到底爭這有什麼意義 01/04 03:08
59F：→ y3k:我也不知道阿... 但是很討厭一植被回馬槍 01/04 07:51
60F：推 turnipcar75:這個叫名譽之戰阿 01/04 08:18
61F：→ turnipcar75:卡巴的掃毒光碟中以確定有註冊表編輯器....且認識win8 01/04 12:10
62F：推 sennei:卡巴2013年版就有支援WIN8了 好像包裝盒沒有詳細說明 01/04 15:08
63F：→ sennei:官網上面有更新 01/04 15:09
64F：→ turnipcar75:不我說的是那個掃毒光碟內的編輯器可以認識w8的reg 01/05 00:48