作者junorn (威廉華勒斯)
看板AntiVirus
標題Re: [問題] 用efix後 出問題了
時間Tue Aug 19 20:26:30 2008
這是報告裡面"看的到"的惡意檔案
C:\WINDOWS\system32\360mon.dll
C:\WINDOWS\system32\adsntzt.dll
C:\WINDOWS\system32\adsntzt.nls
C:\WINDOWS\system32\bootvidgj.dll
C:\WINDOWS\system32\bootvidgj.nls
C:\WINDOWS\system32\cliconfgzx.dll
C:\WINDOWS\system32\cliconfgzx.nls
C:\WINDOWS\system32\dispexcb.dll
C:\WINDOWS\system32\dispexcb.nls
C:\WINDOWS\system32\dpvvoxmh.dll
C:\WINDOWS\system32\dpvvoxmh.nls
C:\WINDOWS\system32\imgutilhx2.dll
C:\WINDOWS\system32\keyiftp.dll
C:\WINDOWS\system32\lweurqhx.dll
C:\WINDOWS\system32\msobjstl.dll
C:\WINDOWS\system32\msobjstl.nls
C:\WINDOWS\system32\360mon.dll
C:\WINDOWS\system32\explsore.exe
C:\WINDOWS\temp\System.exe
C:\WINDOWS\system32\tmplljydf1.exe
C:\WINDOWS\system32\utilty.exe
C:\WINDOWS\system32\serev.exe
C:\WINDOWS\system32\Dxdiag9.dll
C:\WINDOWS\setup_102722.exe
C:\WINDOWS\system32\Fuck.exe
C:\WINDOWS\system32\pg.exe
C:\WINDOWS\2008042301.exe
C:\WINDOWS\system32\sovlost.exe
C:\WINDOWS\system32\sichost.exe
C:\WINDOWS\system32\Nessery.sys
被綁架的惡意網址
hxxp:// www.3929.cn?tn=102722
掛載在appinit位置的惡意程式
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"appinit_dlls"=zsqf.dll,ytfa.dll,ytfb.dll,ytfc.dll
c:\windows\system32\zsqf.dll
c:\windows\system32\ytfa.dll
c:\windows\system32\ytfb.dll
c:\windows\system32\ytfc.dll
啟動登錄值內的
%systemroot%\system32\1mIg3s.dll
winlogon的
notify\xy3safe
"C:\WINDOWS\system32\360mon.dll"
掛載在服務 / 驅動項的
C:\WINDOWS\system32\pg.exe
C:\WINDOWS\system32\Fuck.exe
C:\WINDOWS\system32\Drivers\msiffei.sys
C:\WINDOWS\system32\serev.exe
C:\WINDOWS\system32\Nessery.sys
C:\WINDOWS\system32\ntkrnlpy.exe
C:\WINDOWS\system32\ssdtti.sys
C:\WINDOWS\system32\rapimgr.exe
C:\WINDOWS\system32\explsore.exe
C:\WINDOWS\system32\drivers\touhv.sys
C:\WINDOWS\system32\NetNtEx.dll
這邊看的到的就有這些，看不到的....要靠防毒軟體
你在參考看看吧。
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 220.132.171.86
推 kilinyo:重灌比較快XD 08/19 20:30
推 faris1003:灌比較快XD 08/19 21:10
推 kkcat:如果具備感染正常檔案的能力的話 那重灌清的乾淨媽? 08/19 21:24
推 faris1003:重灌的意思就是把你的電腦重新格式化了，除非... 08/19 21:43
→ faris1003:它具備感染BIOS的能力 =3= 08/19 21:44
→ final01:XDDDDDDD 08/19 21:55
→ junorn:大致上都ok啦。 08/19 22:18
→ yukitowu:我試過的爛方法 用最後修改的日期去搜尋全部的檔案 08/19 23:27
→ yukitowu:如果有出現不該出現的像是執行檔之類的 那就有被感染 08/19 23:27
→ yukitowu:不過要是時間太久遠那當然就沒用Qrz... 08/19 23:28
→ faris1003:原po的情形還是重灌會比較快，與其在這反覆詢問 08/19 23:29
→ faris1003:重灌可能花的時間更少。 08/19 23:30
推 kkcat:恩 謝謝大家 我現在正在努力的聯絡到那人 08/19 23:53