[中毒] 自動重生的色情桌面捷徑和Attn! warning

[enginesun (meatfoot)]

PO文請使用下列格式並將有要求的檔案附上

資料越詳細才有辦法了解情況並作適當處理

1.問題描述：
    請在下面說明碰到的中毒情形，越詳細越好(可貼圖說明)：
系統：vista home basic
一、桌面出現兩個色情桌面捷徑，殺掉會重生。
二、右下角工具列會出現「Attn! XXXXXX warning」的圖示（長這樣：Ⓧ）
    每隔十數秒就跳出一次警告視窗，並有好幾種版本，例如：
    1.你的電腦執行的比平常慢，要不要下載執行線上掃毒？
    2.偵測到spyware（我知道，就是它這個一直煩人的「掃毒」程式啊 T^T）
      要不要執行線上全機掃描？
    3.Internet security XXXX，叫我連去什麼rapidXXX的網頁掃毒。
    以下是原文範例：
    "Attn! Windows Firewall Warning
         Excessive SMTP email traffic has been detected probable
     spanbot infection. Do you wish to scan for spanbot type malware
     now? (recommended)"

    使用過EFix後，狀況二，三次重開機只有第一次有，但狀況一，一直都在

2.掃毒報告：
    請先使用掃毒軟體執行全機掃描後將掃毒結果傳到置底空間
    如會掃描很久請最少掃描以下位置和防毒軟體顯示的中毒檔案位置：
      C:\Windows\System32  C:\Windows  C:\Program Files

    請盡可能提供掃毒報告，如無法掃描請務必註明，也可使用線上掃毒掃描報告
    線上掃毒使用方式請看精華區

使用Norton於正常模式掃描，無異常
使用Norton於安全模式掃描，無異常
使用精華區推薦之CA 線上掃毒，無法啟動「開始掃描」

3.系統輔助分析軟體掃描報告：
  此處報告為需了解你系統內有何程式啟動和常駐所必須要的報告

  請將掃描結果上傳至置底空間，置底空間無法使用者請改用http://www.kotuha.com
  使用方式：
      Combofix：   http://reinfors.googlepages.com/Combofix.html
      Hijackthis： http://reinfors.googlepages.com/Hijackthis
      SRENG：      http://reinfors.googlepages.com/SRENG.html
  如無法使用網路請看精華區 1 - 8 使用方式 


4.報告連結：
  請將掃描報告(log)貼於下方 (上面的全要)
      Combofix  ：
      Hijackthis：http://sun.cis.scu.edu.tw/~92a39/upload/33319.txt
      SRENG     ：http://sun.cis.scu.edu.tw/~92a39/upload/33320.txt
      掃毒報告  ：

      EFix      ：http://sun.cis.scu.edu.tw/~92a39/upload/33321.txt

  小弟慌了手腳，不知所措，就自己先用了EFix，不知會不會有不良的影響？
懇請版上各位大大出手相救，萬分感謝。Orz

--

                屋漏偏逢連夜雨  長使英雄淚滿襟

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 61.228.39.95
推 junorn:Combofix跑一遍貼報告上來
※ 編輯: enginesun       來自: 61.228.39.95         (11/12 10:10)
推 olliekr:把Hijeckthis裡面04項中所有的YUR****.exe都取消試試
推 Tequila7211:頗...壯觀..@@
→ enginesun:j大大，小弟爬文發覺您有提過combofix有風險
→ enginesun:是否只要關掉防毒再用combofix 就不會有問題了呢？
→ enginesun:另，o大大您的方式剛fixed過了，色情捷徑一樣出現
→ enginesun:不過還是很感謝您orz
→ enginesun:目前狀況二似乎已解除。剩狀況一，謝謝大大。
推 junorn:EFix風險不小於Combofix...
推 junorn:關防毒是要關閉防護不是關他GUI介面要注意。
→ enginesun:報告，是！小弟馬上去跑combofix。
→ enginesun:感謝各位高手的幫忙，combofix後，目前回復正常。Orz。