› 看板 AntiVirus 關於我們 聯絡資訊
作者joycewanga (宒宒)
看板AntiVirus
標題[中毒] 逛了一個常去的大陸論壇之後發生問題
時間Mon Sep 15 20:30:03 2008
1.問題描述： 在逛了一個常逛的大陸論壇之後 出現了Winxp.dll記憶體在使用中的錯誤訊息 於是我就趕緊用combofix掃電腦 掃完之後出現的log有把C:/Windows/Winxp.dll以及另一個廣告cookie刪除掉 但還是不放心，就用AVG-FREE 7.5再掃一次 有掃到另外四個木馬 如圖：http://www.badongo.com/pic/4461879 圖示看不清的話是這四個： C:/Windows/zoej.exe C:/Windows/ylgp.exe C:/Windows/sryn.exe C:/Windows/npzg.exe 用了AVG裡的Wipe功能將這四個木馬給刪除了 後來重新開機，也沒發現再生 只是不知道還有沒有其他餘孽 所以還是PO上LOG來請高手幫忙鑑定一下 如果已經沒問題了話 也希望可以給EFIX 或是COMBOFIX做個參考 2.掃毒報告： 即上圖http://www.badongo.com/pic/4461879 AVG-FREE 7.5好像不能存成文字檔 另外，我後來又掃了avg-anti spy 報告： http://sun.cis.scu.edu.tw/~92a39/upload/32428.txt 3.系統輔助分析軟體掃描報告： 此處報告為需了解你系統內有何程式啟動和常駐所必須要的報告 4.報告連結： 請將掃描報告(log)貼於下方 (上面的全要) Combofix ：http://sun.cis.scu.edu.tw/~92a39/upload/32429.txt Hijackthis：http://sun.cis.scu.edu.tw/~92a39/upload/32430.txt SRENG ：http://kotuha.com/file/eUHmi-SREngLOG.html 掃毒報告 ：見上圖 -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 118.165.80.205 ※ 編輯: joycewanga 來自: 118.165.80.205 (09/15 20:44) ※ 編輯: joycewanga 來自: 118.165.80.205 (09/15 20:46)
→ joycewanga:另 AVG掃出的第五個應該不是木馬 可能是AVG太敏感了 09/15 21:09
→ joycewanga:但我還是順手WIPE了 09/15 21:20
推 idaer:怪怪的 : C:\WINDOWS\system32\down.sys 09/15 21:25
→ joycewanga:請問是要刪掉嗎？ 還是說要另外處理？ 09/15 22:07
推 idaer:把它更名down.sys.vir且移到別槽ex: c:\suspect 試試吧~~ 09/15 22:12
→ joycewanga:啊 我剛剛已經刪掉咧 我再重新開機看看這餘孽有沒有存 09/15 22:13
→ idaer:btw 這檔案只有236 bytes 也太小了吧 09/15 22:15
→ idaer:刪掉就算了 應該不是什麼重要的檔 可能是病毒產生的downlist 09/15 22:15
→ idaer:用意可能是中毒之後 讀取down.sys從網路上抓其他病毒 當然 09/15 22:16
→ idaer:這只是我的猜測 呵呵~~ 09/15 22:16
→ joycewanga:我刪掉了 目前沒看到餘孽 感謝您的幫忙 09/15 22:21
→ joycewanga:請問這樣是代表都OK了嗎？ 09/15 22:22
推 idaer:目前log沒看到什麼不對勁 應該是沒問題了 有問題再上po囉~ 09/15 22:23
→ joycewanga:謝謝 這樣我就安心了 09/15 22:25
推 idaer:以後上網用sandboxie上去吧~多了這層保護至少比較安全些~ 09/15 22:31
→ joycewanga:SANDBOD跟LinkScaner的功能一樣嗎？ 我目前兩者都沒有 09/15 22:35
推 idaer:不一樣 linkscaner是AVG幫你做檢驗 類似麥卡菲的siteadvisor 09/15 22:36
→ idaer:功效沒有很大 因為網站安全評鑑只是一時的 沒有立即性的防護 09/15 22:37
→ idaer:AVG商業版的WebShield就有立即的防護囉 不過搭配sandboxie 09/15 22:38
→ idaer:會更好用 因為防毒軟體也不是什麼毒都抓的到@@ 09/15 22:39
→ joycewanga:喔喔 請問I大有推荐的sandboxie嗎？ 09/15 22:40
→ idaer:http://www.sandboxie.com/index.php?DownloadSandboxie 09/15 22:41
→ idaer:http://www.sandboxie.com/SandboxieInstall.exe 32bit使用 09/15 22:41
→ joycewanga:我已經裝好了 09/15 22:43
→ idaer:序號的話 zha0的文章有喔 #15wzsbmW 09/15 22:45
→ joycewanga:也註冊完成了 可是好像不太會用 09/15 22:48
推 idaer:教學 SDUM大的文章裡有 #17EZH4fy :) 09/15 22:50
→ idaer:我裝了都沒做什麼設定 我拿這來分析有問題的檔案 ex:病毒 09/15 22:51
→ joycewanga:喔喔 感謝 09/15 22:52