Re: [求救] 一疑似利用隨身碟傳染的木馬程式

[junorn (威廉華勒斯)]

注意：此回應僅限此篇處理。
複製底下 **號之間的文字不包含 **號

**
File::
C:\msbackup.exe
c:\windows\system32\ntprint.exe
c:\program files\mmsbackup.exe
c:\windows\system\ieremove.exe
c:\windows\system\csrss32.exe
c:\windows\calcs.exe
c:\windows\sndvols.exe
c:\windows\system32\drivers\oreans32.sys
c:\temp\temp.bat
c:\windows\wutdat.exe
c:\program files\Common Files\Microsoft Shared\MSInfo\msbackup.exe
c:\windows\ipfix.exe
c:\windows\system32\ntprint.exe
c:\windows\system32\drivers\oreans32.sys

DRIVER::
NetDDEsvc
Backup_Info
oreans32

REGISTRY::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"wutdat"=-
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\sdauxservice]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\sdcoreservice]

**

之後開啟記事本按右鍵貼上複製的內容
之後按另存新檔
檔案名稱取名為CFSCRIPT.TXT
檔案類型選所有檔案
編碼選ANSI

之後將CFSCRIPT圖示拖曳到Combofix圖示上，之後依照他指示動作
執行其間不要動電腦
跑完之後

1.將c:\qoobox資料夾壓縮起來傳到免空貼上來
2.將跳出來的文字報告儲存起來之後上傳後貼連結給我.

--
無論何時都是盡頭 一定逃不了
讓天空的鳥 背著哀傷逃走嗎
這裡是假縫 永遠把我束縛
無論是來與往 也已經逝去
那就是夢

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 210.68.130.155
推 lcjjaff:推個XDrz  J老闆解了^^y
推 rambo2728:J大您好 這是文字報告http://0rz.tw/K1s9x
→ rambo2728:這是qoobox的壓縮檔http://0rz.tw/Ux4p8
→ rambo2728:另外還要請教J大您 我另外一台VISTA的電腦一樣用同樣步
→ rambo2728:驟嗎???  應該是同樣這隻病毒沒錯!
→ junorn:同一支不代表動作一樣，這有帶木馬下載功能的樣子，一次一
→ junorn:台
→ junorn:再來將底下的檔案壓縮起來之後傳到免空貼連結上來,貼完後
→ junorn:將這兩個檔刪掉，但這兩個檔可能會再生，再生就不管他.
→ junorn:c:\windows\system32\calc.exe
→ junorn:c:\windows\system32\sndvol32.exe
→ junorn:刪完之後一樣再跑COMBOFIX報告上來
推 rambo2728:J大您好，這是LOG檔http://0rz.tw/7GsA8
→ rambo2728:這是壓縮檔案http://0rz.tw/rZzWi
→ rambo2728:關於vista那台 J大您晚上方便嗎 因為我現在人在實驗室裡
→ junorn:不方便，有需要的話就一定貼報告上來就好了.
推 rambo2728:恩   那我現在衝回去宿舍好了XD...還請J大您稍等會
推 rambo2728:J大，現在在VISTA那台電腦遇到的最大的問題是 當執行
→ rambo2728:Combofix時候，當畫面跑到 尋找感染的文件...掃描時間容
→ rambo2728:易加倍  那畫面時候  就會卡在那裡 等了快30分鐘一樣還
→ rambo2728:是不為所動 請問這情況是...還有得救嗎...
→ junorn:那跑EFix吧.看能不能跑
推 rambo2728:SORRY 剛被老闆CALL走...J大我這邊補上EFix掃出來的兩檔
→ rambo2728:EF_Extras.TXT  http://0rz.tw/S28bs
→ rambo2728:LOG.TXT  http://0rz.tw/RcE4y
→ rambo2728:還得麻煩J大您了  感謝!
→ lcjjaff:VISTA那台看起來沒事耶XD
推 rambo2728:之前我也這樣以為阿  但只要把隨身碟插上去 那三個檔案
→ rambo2728:MyDocuments.scr  Photo.scr  Winzip.pif就都會再出現在
→ rambo2728:隨身碟裡頭O_Q
推 rambo2728:更慘的是下午才用EFix把windows.exe刪除 剛剛回宿舍開電
→ rambo2728:腦....他又回來啦....囧....而且他其他感染的檔案又不於
→ rambo2728:之前那台XP是msbackup.exe 外加COMBOEFix不知道為啥會像
→ rambo2728:卡死一般停住無法執行....傷透腦了...囧
→ rambo2728:目前在這台VISTA除了偽裝成WINDOWS.EXE之外 另外又偽裝
→ rambo2728:成哪個檔案...真的還有待查驗....
→ junorn:夭壽喔....那個隱藏屬性不要隨便用啦，擬系統屬性全亂了..