作者kochikame (Blitzkrieg)
看板AntiVirus
標題Re: [請益] 最近少去伊莉
時間Sun May 14 12:12:43 2017
※ 引述《DrDisk (At room man)》之銘言：
: 推 SuperSg: powershell.exe是什麼檔案? 我發現我有一個，但安裝日期 05/06 12:42
: → SuperSg: 是2009年了 05/06 12:42
: 推 catzvicky21: 感謝分享 掃出66個檔案 刪除之後powershell.exe 就沒 05/06 12:55
: → catzvicky21: 出現了 繼續觀察 05/06 12:55
: → hn9480412: powershell.exe是系統本來就有的殼層命令列程式 05/06 13:29
: → hn9480412: 如果要類比的話就是OS X(Un*x)的終端機 05/06 13:30
: 推 SuperSg: 所以說這個檔案沒錯，是病毒借用這個檔案搞事這樣? 05/06 13:31
: 對。
: → hn9480412: 而這個powershell跟普通的CMD(命令提示字元)概念類似 05/06 13:33
: → hn9480412: 但是Powershell可以透過指令執行腳本 05/06 13:33
: → hn9480412: 而Powershell也可以輸入cmd後下cmd的指令 05/06 13:34
: → hn9480412: 主要還是看那個powershell.exe位置在哪裡 05/06 13:36
: → hn9480412: 我是沒有中過啦，但如果是這樣的話可以推測是透過PS 05/06 13:36
: → hn9480412: 來遠端執行腳本指令 05/06 13:36
借用這篇問請教各位前輩
在下很幸運地在中5月12日這波勒索病毒前發現相關訊息得以提前預備
不過爬文後才知道其實在4月23日伊莉已經有利用假FLASH更新來植入木馬
進而讓使用者中勒索病毒的情況
因為自己也算是伊莉的常客
所以這段期間應該也有上伊莉的可能性
但不太記得有沒有出現FLASH更新的畫面，更不記得有無下載
只是至目前為止，還沒有跳出被綁架的綠色畫面
想請問一下有無檢測自己電腦是否中毒的方式
雖然我開啟工作管理員並無前述的powershell.exe執行情形
但這東西似乎是OS本身就有的
以這個做為依據是否可靠?
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 118.165.121.176
※ 文章網址: https://webptt.com/m.aspx?n=bbs/AntiVirus/M.1494735168.A.C31.html
1F：→ gwofeng: powershell.exe不會閒來無事一直常駐 05/14 12:14
2F：推 yugiyo: chrome不會出現叫你安裝Flash 05/14 12:25
3F：→ WhiteMouse: 伊莉那波 那天只要進去就會一直跳要你更新的畫面 基 05/14 12:25
4F：→ WhiteMouse: 本上一定有記憶 沒有就沒有了吧 05/14 12:25
5F：→ a313102002: 難怪先前powershell.exe莫名一直要求對外連線... 05/14 13:16
6F：推 abramtw: PowerShell 可以在登錄檔關閉 我是把他給關掉了 05/14 13:36
7F：推 edward40812: Eyny現在安全了嗎 05/14 16:52
8F：推 smt3457: 伊莉現在安全了嗎?+1 05/22 16:44