推 junorn:用冰劍砍那個檔重開機 03/04 09:15
→ mitsuruyeh:已用IceSword刪除。請問機碼部分就不必管他了嗎？ 03/04 19:45
→ mitsuruyeh:剛刪除重開機後有試著去刪除機碼，但是無法刪除。 03/04 19:46
推 junorn:一樣用冰劍刪機碼 03/05 01:08
→ mitsuruyeh:已刪除了，目前一切OK。感謝。<(_._)> 03/05 19:37
1.先盡量詳細描述電腦問題：
賽門鐵克發出警訊c:\windows\system32\drivers\ideg2.sys
感染Trojan.Farfli無法刪除，拒絕存取。
2008年10月和11月也po過一樣的文章，到目前為止，這個ideg2.sys
不論怎麼刪除，就是一再出現。
上網搜尋了一下，賽門鐵克網站有關於這個木馬的解法，網址如下：
http://www.symantec.com/security_response/writeup.jsp?docid=
2007-072901-5957-99&tabid=3
試了一下，
進行這個步驟時，出現一點麻煩，試過有箭頭部份的機碼刪不掉。
然後後面刪掉的好像又重新出現了。
5. To delete the value from the registry
Navigate to and delete the following entries:
- > HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_[RANDOM 1]
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_[RANDOM 2]
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\[RANDOM 1]
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\[RANDOM 2]
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Class\{8ECC055D-047F
-11D1-A537-0000F8753ED1}
-> HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_[RANDOM 1]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_[RANDOM 2]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\[RANDOM 1]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\[RANDOM 2]
-> HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IE4\"Main" = "[RANDOM 8 CHARACTER
NAME].dll" <- 另外這個部分不知道要找哪一個檔案....
2.提供掃毒結果：
目前依然只有賽門鐵克發出警訊說有感染病毒。
去卡巴線上掃毒，上述這個檔案並沒有出現感染病毒的問題。
但在跑Hijackthis及SRENG時，賽門鐵克照樣一直跳出來說ideg2.sys有病毒。
3.系統輔助分析軟體掃描報告(請依照COMBOFIX→Hijackthis→SRENG排序執行)：
掃描結果如下：
Combofix：http://kotuha.com/file/DSlTj-combofixlog.html
Hijackthis：http://kotuha.com/file/Vhl4c-hijackthis.html
SRENG：http://kotuha.com/file/iqrT6-SREngLOG.html
卡巴線上掃毒:http://kotuha.com/file/wyqpM-kasperskyreport.html
因為實在反覆得太受不了了，所以隔了這麼久，又再上來求救了。
煩請幫幫忙，非常感謝。
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 203.67.109.96
※ 編輯: mitsuruyeh 來自: 203.67.109.96 (03/03 22:56)