作者jocelyn81616 (張小寶是我~~)
看板AntiVirus
標題[求救] 應該是中了資料夾exe病毒,且會自動重開機
時間Thu Jan 17 08:50:20 2013
1. 敘述問題：
兩天前開始發現電腦的資料夾會自己複製自己,
原本只覺得稍有古怪,但是電腦裡的資料夾也不多,就一個個手動把應用程式檔案刪除
但是今天覺得實在不對勁,所以開始嘗試掃毒,並且google相關資訊,
沒想到我一執行有關掃毒的動作 (例如開啟掃毒網頁,下載防毒軟體)
電腦就會自動重新開機.... (如果是掃毒網頁,chrome就會跳出一個死的電腦臉)
所以目前我不知道該如何移除這樣一個病毒
剛剛爬了置底文章裡的所有偵測病毒連結...結果電腦就這樣重開了二十多次
真是感覺有點毛毛的...這病毒怎麼這麼聰明
2. 系統資料：
電腦系統是 windows 7,是viao S 系列,去年夏天八月購入的
系統都有正常更新
使用的防毒軟體
真的很對不起願意幫我解圍的板友,我並沒有使用任何防毒軟體....
至少沒有刻意下載,所以有的只有 過期的 PC CILLIN 跟 過期的 諾頓
再來就是WINDOWS本身的防火牆
3. 分析報告：
以使用開機F8安全模式成功掃描分析!
以下為分析報告
COMBO FIX
http://sun.cis.scu.edu.tw/~92a39/upload/42033.txt
1/17更新報告
http://sun.cis.scu.edu.tw/~92a39/upload/42035.txt
HiJackThis
http://sun.cis.scu.edu.tw/~92a39/upload/42032.txt
1/17更新報告
http://sun.cis.scu.edu.tw/~92a39/upload/42036.txt
sreng
http://sun.cis.scu.edu.tw/~92a39/upload/42034.txt
1/17更新報告
http://sun.cis.scu.edu.tw/~92a39/upload/42037.txt
先謝謝各位的援助!
** 1/17補充:
目前看似電腦已無病毒,掃描後也未發現,
然而小紅傘總是掃描至百分之八十六%後即跳停...我感覺有點納悶
似乎是掃描百分之八十六%後就結束掃描了,如圖
http://ppt.cc/94j9
會跳出視窗要我處理發現的有害檔案,
我選擇修復過兩三次...發現有點蠢,
因為這些檔案就是怪怪的exe病毒,修復大概沒效吧
總之這些檔案選擇修復後還是龜在我電腦裡
所以我這次掃描完就選擇全部刪除,如圖
http://ppt.cc/1KJP
我不太明白為什麼 刪除的檔案數 不等於 發現的問題檔案數
不過目前看起來電腦已經沒有奇怪的騙人資料夾了
另外,我手上還是有這個資料夾病毒可以給版友研究,
我不太清楚我是怎麼中毒的,好像是使用dropbox的關係,
也可能是我的隨身碟插入公用電腦的關係,
目前我把電腦的dropbox刪了 避免再同步病毒檔案到電腦裡
但是dropbox網路空間裡還存在這個病毒
dropbox提供的 shareLink 在下方,
請注意! 這是病毒!! 並未壓縮
https~www.dropbox.com/s/u0322u2u7zlstow/Photos.exe
目前我開了小紅傘正在重新全面掃描一次...
謝謝各位熱心的板友幫助
**再補充,
已掃描結束,沒有病毒了
這次很順利的掃描到百分之百,
附上這次的掃描分析報告
Avira
http://sun.cis.scu.edu.tw/~92a39/upload/42038.txt
接下來只剩下USB隨身碟裡面的病毒要處理,
不過前天被朋友拿走了,我已經請他不要使用,盡快還給我
等拿回來再繼續補充處理狀況
謝謝大家 :)
我上了一課, 不只對電腦防毒掃毒更熟悉操作,
也對於PTT的PO文系統更加熟練...
感激不盡
--
◆ From: 67.189.38.217
1F：→ George017:先借台電腦，連上網去抓付費防毒試用版的安裝檔吧！ 01/17 12:50
2F：→ George017:相關的資訊(免費防毒或付費防毒)可以看置底文章 01/17 12:51
3F：→ George017:另外，把過期的pc-cillin移掉吧，他無法給你什麼幫助 01/17 12:52
4F：→ George017:先準備好防毒安裝檔(免費或付費)，把pc-cillin移掉 01/17 12:54
5F：→ George017:接著安裝防毒，先上網更新一次，重開機進安全模式(F8) 01/17 12:55
6F：→ George017:再跑一遍掃毒程式(或者你也可以在這時使用置底的工具) 01/17 12:57
7F：→ George017:另外，有些防毒有提供所謂的救援模式(進入類linux環境) 01/17 12:58
8F：→ George017:也可以試試看(但是要清楚自己掃描的是哪個磁碟) 01/17 12:59
9F：→ George017:補充一下，pc-cillin有移除工具可用(請上官網抓) 01/17 13:00
10F：→ fireslayer:先把所有過期的防毒移掉 進安全模式掃毒 01/17 13:33
11F：→ jocelyn81616:好的,我現在就把過期的防毒軟體刪掉,並下載新的安裝 01/17 14:31
12F：→ jocelyn81616:我下載置底連結的小紅傘Avira,現在正要刪除舊的防毒 01/17 14:40
13F：→ jocelyn81616:有個叫做mcafee security scan plus的也要刪嗎? 01/17 14:42
14F：→ jocelyn81616:另外,我朋友傳給我Dr.Web cureIt 掃毒,我執行後成功 01/17 14:45
15F：→ jocelyn81616:掃出兩百零三個病毒,選擇清除,卻剩最後三個除不掉 01/17 14:46
16F：→ jocelyn81616:掃了將近三個小時,一直卡著(我剛剛有出門一趟) 01/17 14:46
17F：→ jocelyn81616:我現在回來重開機F8,再掃一次,就只剩這三個掃不動 :( 01/17 14:47
18F：→ jocelyn81616:這是hiJackThis的檔案 01/17 15:04
20F：→ jocelyn81616:抱歉剛剛有點搞錯掃描順序,以下是combofix的檔案 01/17 15:27
22F：→ jocelyn81616:然後是sr的掃描報告(下方) 01/17 15:31
24F：→ George017:mcafee security scan plus只是來告訴你電腦裝了哪些防 01/17 15:34
25F：→ George017:護軟體而已，通常應該是在安裝flash player時一起裝到 01/17 15:35
26F：→ George017:所以移除也沒差 01/17 15:36
27F：→ George017:另外，都有掃描結果了，要不要把內容修成指定格式？ 01/17 15:37
28F：→ George017:這樣之後看這篇文的人比較快上手 01/17 15:37
29F：→ George017:再問一下，你有再一次在安全模式下用小紅傘跑全掃嗎？ 01/17 15:45
30F：→ George017:看看那三個小紅傘怎麼判斷 01/17 15:46
※ 編輯: jocelyn81616 來自: 67.189.38.217 (01/17 16:11)
31F：→ jocelyn81616:我剛剛來不及按成安全模式就安裝了...(對不起) 01/17 16:15
32F：→ jocelyn81616:現在正在全掃中,好像有發現東西 01/17 16:15
33F：→ jocelyn81616:另外也使用了dr.web全掃,卻顯示沒有病毒(大概被騙了? 01/17 16:16
34F：→ jocelyn81616:不過奇怪的假檔案夾真exe都還存在,沒有被刪除 01/17 16:17
35F：→ jocelyn81616:但是假檔案夾已經沒有辦法偽裝成檔案夾的圖示 01/17 16:19
36F：推 ra065311:看來挺嚴重的 列為最優先案子 開始分析報表 01/17 17:04
37F：→ jocelyn81616:@@請問這是什麼意思？我要用防毒軟體執行什麼程序嗎 01/17 17:15
38F：→ jocelyn81616:我現在電腦是安全模式(無網路)完整系統掃瞄中 有點久 01/17 17:18
39F：→ George017:那就先去做別的事，耐心等他掃完吧！ 01/17 17:20
40F：推 ra065311:08grqft3.exe 這什麼? 01/17 17:20
41F：推 ra065311:C:\Users\Jocelyn\AppData\Local\Microsoft\Windows\Temp 01/17 17:27
42F：→ ra065311:orary Internet Files\Content.IE5\PD5ZD8ZF\HijackThis[ 01/17 17:28
43F：→ ra065311:1].exe 把這檔案刪除 刪除前最好先備份 01/17 17:28
44F：→ fireslayer:不需要備份 看到temp下面的東西直接刪就對了 01/17 17:29
45F：→ jocelyn81616:感謝幾位熱心的板友相助,礙於時差關係我先睡下了 01/17 17:35
46F：→ jocelyn81616:起床後會回報狀況,並更新掃瞄報告，非常謝謝你們！ 01/17 17:36
47F：推 ra065311:會要求備份是有點私心 我想拿個檔案來分析 01/17 22:13
48F：推 miamodo:HijackThis[1].exe不是毒. 01/17 22:30
49F：→ fireslayer:不是毒 但是還是可以刪 01/18 01:40
※ 編輯: jocelyn81616 來自: 67.189.38.217 (01/18 02:24)
※ 編輯: jocelyn81616 來自: 128.223.222.42 (01/18 04:22)
50F：→ ra065311:3. 若有病毒連結請將「http://」改為其他代替文字（違規 01/18 07:32
51F：→ ra065311:：警告一次） 01/18 07:32
52F：→ ra065311:然後你那個不是病毒主體 主體在隨身碟內 01/18 07:35
53F：→ ra065311:還有磁碟根目錄 01/18 07:35
54F：→ ra065311:去抓Efix來用吧 隨身碟病毒多半都可以靠它清 01/18 07:43
※ 編輯: jocelyn81616 來自: 128.223.223.62 (01/18 08:22)
55F：→ jocelyn81616:我已經把隨身碟拿回來了,所以我現在去找efix... 01/18 08:23
56F：→ jocelyn81616:所以我只要直接把隨身碟插入電腦,再開掃毒,就好了嗎? 01/18 08:32
57F：→ jocelyn81616:對不起...我下載了efix但是執行後顯示不支援64位元 01/18 09:07
58F：→ jocelyn81616:我剛剛對隨身碟掃毒了..裡面沒有毒,我想我應該是從 01/18 09:46
59F：→ jocelyn81616:dropbox公用資料夾中毒的,至於病毒主體就不清楚在哪. 01/18 09:47
60F：→ jocelyn81616:總之問題解決了,感謝各位 01/18 09:48