作者hirokofan (笠原弘子 命！)
看板AntiVirus
標題[閒聊] 偽防毒disk antivirus professional
時間Mon Feb 25 21:04:31 2013
拿去谷狗出現的全部是如何移除XD
今天早上同事來求救說奇摩不能上，我看看不對勁，怎麼有個全部都英文的奇怪東西
想要移除時發現任何程式一開起來就跟你說這個程式有毒不准開
工作管理、ctrl+alt+del什麼的全部都被擋掉
因為第一次交手不知道有什麼東西就先把網路線拔了
憑直覺先重開機進入安全模式（命令提示字元模式）
輸入regedit叫出登錄管理員，搜尋runonce然後找上一格的run
看看開機有沒有載入什麼奇怪的東西，果然看到一串74xxxxxxxxxxxxxxxx
把機碼刪掉（影片似乎是到這邊就重開機了）
在XP下這個程式是藏在C:\Documents and Settings\All Users\
下面一個74xxxxxxxxxxxxxxxx的資料夾，砍掉之後重開機就好了
不過不知道這傢伙是怎麼進來的，因為下手太快忘記看程式建立的時間了
誰知道今天下午奇摩真的掛了XD
--
給忙碌的人用的Vocaloid週記....
先行版
（順利的話週二晚上）
http://hirokofan.pixnet.net/blog/category/1820969
完整版
（順利的話週六中午）
http://hirokofan.pixnet.net/blog/category/1820741
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 114.39.32.182
1F：推 SDUM:直接用 autoruns 查啟動項 比較方便。 02/25 21:25
2F：→ SDUM:如果不是手動亂執行，從 java進來的可能性很高。 02/25 21:27
3F：→ hirokofan:那時就什麼程式都開不起來，臨時也忘了那台有autoruns 02/25 21:29
4F：→ hirokofan:我也懷是java，搞定後第一件事就是砍他XD 02/25 21:29
5F：→ hirokofan:那台是java 7 u7，會死也不意外.... 02/25 21:30
6F：→ George017:目前java最新 java 7u15 02/26 00:38
7F：→ bestpika:7u15 沒出多久就有 0day 了 02/27 02:49
8F：推 penghu:Win7 一樣收尋runonce 機碼在runonce資料夾內xxx74xxxxxxxx 03/07 23:18
9F：→ penghu:程式在C:\ProgramData\xxxx74xxxxxxxx的資料夾 03/07 23:21