Re: [中毒] 隨身碟病毒會隱藏以及創造EXE資料夾

[xiaoyao (改變)]

※ 引述《way0963 (衛斯理)》之銘言：
: PO文請使用下列格式並將有要求的檔案附上
: 資料越詳細才有辦法了解情況並作適當處理
: 1.問題描述：
:     請在下面說明碰到的中毒情形，越詳細越好(可貼圖說明)：
: 家裡面的USB跟隨身硬碟都有此狀況電腦也都交叉感染~"~
: USB裡面的資料夾都會被隱藏以及創造出相同名稱的EXE資料夾(大小1.43M)
: 刪除後還是會自動出現
: 2.掃毒報告：
:     請先使用掃毒軟體執行全機掃描後將掃毒結果傳到置底空間
:     如會掃描很久請最少掃描以下位置和防毒軟體顯示的中毒檔案位置：
:       C:\Windows\System32  C:\Windows  C:\Program Files
: NOD32掃不到毒
:     請盡可能提供掃毒報告，如無法掃描請務必註明，也可使用線上掃毒掃描報告
:     線上掃毒使用方式請看精華區
: 3.系統輔助分析軟體掃描報告：
:   此處報告為需了解你系統內有何程式啟動和常駐所必須要的報告
:   請將掃描結果上傳至置底空間，置底空間無法使用者請改用http://www.kotuha.com
:   使用方式：
:       Combofix：   http://reinfors.googlepages.com/Combofix.html
:       Hijackthis： http://reinfors.googlepages.com/Hijackthis
:       SRENG：      http://reinfors.googlepages.com/SRENG.html
:   如無法使用網路請看精華區 1 - 8 使用方式
: 4.報告連結：
:   請將掃描報告(log)貼於下方 (上面的全要)
:       Combofix  ：http://sun.cis.scu.edu.tw/~92a39/upload/34356.txt
:       Hijackthis：http://sun.cis.scu.edu.tw/~92a39/upload/34357.txt
:       SRENG     ：http://sun.cis.scu.edu.tw/~92a39/upload/34358.txt
:       EFIX       :http://sun.cis.scu.edu.tw/~92a39/upload/34359.txt
: 有用EFIX5.0以及KAVOKILLER都無法處理
: Spybot和WOW都派上用場了還是失敗
: 只好上來請教各位大大
: 因為我爸資料夾裡面很多研究檔案所以都很頭疼
: 拜託各位解毒高手了
: 先感恩了~~


應該是第二代隨身碟病毒

autorun.inf
Notepad.exe

行為模式類似 不同電腦會產生不同檔名的資料夾和檔案名稱
無法用USB專殺來通殺

EFIX已經有刪除部份檔案
c:\DOCUME~1\user\LOCALS~1\Temp\E_4\com.run
c:\DOCUME~1\user\LOCALS~1\Temp\E_4\dp1.fne
c:\DOCUME~1\user\LOCALS~1\Temp\E_4\eAPI.fne
c:\DOCUME~1\user\LOCALS~1\Temp\E_4\internet.fne
c:\DOCUME~1\user\LOCALS~1\Temp\E_4\krnln.fnr
c:\DOCUME~1\user\LOCALS~1\Temp\E_4\RegEx.fnr
c:\DOCUME~1\user\LOCALS~1\Temp\E_4\shell.fne
c:\DOCUME~1\user\LOCALS~1\Temp\E_4\spec.fne
f:\Notepad.exe

其他的要手動刪除

og.EDT
og.dll
ud.dll
00c3ac.exe
cnvpe.fne
spec_a.fne
.
.
.
等等 實在太多了=.=



--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 140.130.189.41
→ xiaoyao:之前有人問過  [中毒] 隨身碟病毒(會修改資料夾屬性)
→ way0963:那個大大好像也沒解決~請問og.EDT等等要去哪刪呢
→ way0963:還是把TEMP整個清空會不會對電腦有影響?~謝謝
推 junorn:重下EF或者是更新吧，bug我修了沒問題的話應該是可以刪
→ junorn:不過產生的同檔名資料夾要靠防毒。
推 way0963:感謝你~