[求救] 應該是中了資料夾exe病毒,且會自動重開機

[jocelyn81616 (張小寶是我~~)]

1. 敘述問題：

兩天前開始發現電腦的資料夾會自己複製自己,

原本只覺得稍有古怪,但是電腦裡的資料夾也不多,就一個個手動把應用程式檔案刪除

但是今天覺得實在不對勁,所以開始嘗試掃毒,並且google相關資訊,

沒想到我一執行有關掃毒的動作 (例如開啟掃毒網頁,下載防毒軟體)

電腦就會自動重新開機.... (如果是掃毒網頁,chrome就會跳出一個死的電腦臉)

所以目前我不知道該如何移除這樣一個病毒

剛剛爬了置底文章裡的所有偵測病毒連結...結果電腦就這樣重開了二十多次

真是感覺有點毛毛的...這病毒怎麼這麼聰明



2. 系統資料：
電腦系統是 windows 7,是viao S 系列,去年夏天八月購入的
系統都有正常更新

使用的防毒軟體

真的很對不起願意幫我解圍的板友,我並沒有使用任何防毒軟體....
至少沒有刻意下載,所以有的只有 過期的 PC CILLIN 跟 過期的 諾頓
再來就是WINDOWS本身的防火牆


3. 分析報告：

以使用開機F8安全模式成功掃描分析!

以下為分析報告



COMBO FIX

http://sun.cis.scu.edu.tw/~92a39/upload/42033.txt


1/17更新報告

http://sun.cis.scu.edu.tw/~92a39/upload/42035.txt




HiJackThis

http://sun.cis.scu.edu.tw/~92a39/upload/42032.txt

1/17更新報告

http://sun.cis.scu.edu.tw/~92a39/upload/42036.txt




sreng

http://sun.cis.scu.edu.tw/~92a39/upload/42034.txt

1/17更新報告

http://sun.cis.scu.edu.tw/~92a39/upload/42037.txt




先謝謝各位的援助!


** 1/17補充:

目前看似電腦已無病毒,掃描後也未發現,

然而小紅傘總是掃描至百分之八十六%後即跳停...我感覺有點納悶

似乎是掃描百分之八十六%後就結束掃描了,如圖

http://ppt.cc/94j9

會跳出視窗要我處理發現的有害檔案,

我選擇修復過兩三次...發現有點蠢,

因為這些檔案就是怪怪的exe病毒,修復大概沒效吧

總之這些檔案選擇修復後還是龜在我電腦裡


所以我這次掃描完就選擇全部刪除,如圖

http://ppt.cc/1KJP

我不太明白為什麼 刪除的檔案數 不等於 發現的問題檔案數

不過目前看起來電腦已經沒有奇怪的騙人資料夾了




另外,我手上還是有這個資料夾病毒可以給版友研究,

我不太清楚我是怎麼中毒的,好像是使用dropbox的關係,

也可能是我的隨身碟插入公用電腦的關係,

目前我把電腦的dropbox刪了 避免再同步病毒檔案到電腦裡

但是dropbox網路空間裡還存在這個病毒

dropbox提供的 shareLink 在下方,



請注意! 這是病毒!! 並未壓縮

https~www.dropbox.com/s/u0322u2u7zlstow/Photos.exe



目前我開了小紅傘正在重新全面掃描一次...

謝謝各位熱心的板友幫助


**再補充,

已掃描結束,沒有病毒了

這次很順利的掃描到百分之百,

附上這次的掃描分析報告


Avira

http://sun.cis.scu.edu.tw/~92a39/upload/42038.txt


接下來只剩下USB隨身碟裡面的病毒要處理,

不過前天被朋友拿走了,我已經請他不要使用,盡快還給我

等拿回來再繼續補充處理狀況

謝謝大家 :)

我上了一課, 不只對電腦防毒掃毒更熟悉操作,

也對於PTT的PO文系統更加熟練...

感激不盡



--
◆ From: 67.189.38.217
→ George017:先借台電腦，連上網去抓付費防毒試用版的安裝檔吧！
→ George017:相關的資訊(免費防毒或付費防毒)可以看置底文章
→ George017:另外，把過期的pc-cillin移掉吧，他無法給你什麼幫助
→ George017:先準備好防毒安裝檔(免費或付費)，把pc-cillin移掉
→ George017:接著安裝防毒，先上網更新一次，重開機進安全模式(F8)
→ George017:再跑一遍掃毒程式(或者你也可以在這時使用置底的工具)
→ George017:另外，有些防毒有提供所謂的救援模式(進入類linux環境)
→ George017:也可以試試看(但是要清楚自己掃描的是哪個磁碟)
→ George017:補充一下，pc-cillin有移除工具可用(請上官網抓)
→ fireslayer:先把所有過期的防毒移掉 進安全模式掃毒
→ jocelyn81616:好的,我現在就把過期的防毒軟體刪掉,並下載新的安裝
→ jocelyn81616:我下載置底連結的小紅傘Avira,現在正要刪除舊的防毒
→ jocelyn81616:有個叫做mcafee security scan plus的也要刪嗎?
→ jocelyn81616:另外,我朋友傳給我Dr.Web cureIt 掃毒,我執行後成功
→ jocelyn81616:掃出兩百零三個病毒,選擇清除,卻剩最後三個除不掉
→ jocelyn81616:掃了將近三個小時,一直卡著(我剛剛有出門一趟)
→ jocelyn81616:我現在回來重開機F8,再掃一次,就只剩這三個掃不動 :(
→ jocelyn81616:這是hiJackThis的檔案
→ jocelyn81616:http://sun.cis.scu.edu.tw/~92a39/upload/42032.txt
→ jocelyn81616:抱歉剛剛有點搞錯掃描順序,以下是combofix的檔案
→ jocelyn81616:http://sun.cis.scu.edu.tw/~92a39/upload/42033.txt
→ jocelyn81616:然後是sr的掃描報告(下方)
→ jocelyn81616:http://sun.cis.scu.edu.tw/~92a39/upload/42034.txt
→ George017:mcafee security scan plus只是來告訴你電腦裝了哪些防
→ George017:護軟體而已，通常應該是在安裝flash player時一起裝到
→ George017:所以移除也沒差
→ George017:另外，都有掃描結果了，要不要把內容修成指定格式？
→ George017:這樣之後看這篇文的人比較快上手
→ George017:再問一下，你有再一次在安全模式下用小紅傘跑全掃嗎？
→ George017:看看那三個小紅傘怎麼判斷
※ 編輯: jocelyn81616    來自: 67.189.38.217        (01/17 16:11)
→ jocelyn81616:我剛剛來不及按成安全模式就安裝了...(對不起)
→ jocelyn81616:現在正在全掃中,好像有發現東西
→ jocelyn81616:另外也使用了dr.web全掃,卻顯示沒有病毒(大概被騙了?
→ jocelyn81616:不過奇怪的假檔案夾真exe都還存在,沒有被刪除
→ jocelyn81616:但是假檔案夾已經沒有辦法偽裝成檔案夾的圖示
推 ra065311:看來挺嚴重的 列為最優先案子 開始分析報表
→ jocelyn81616:@@請問這是什麼意思？我要用防毒軟體執行什麼程序嗎
→ jocelyn81616:我現在電腦是安全模式(無網路)完整系統掃瞄中 有點久
→ George017:那就先去做別的事，耐心等他掃完吧！
推 ra065311:08grqft3.exe 這什麼?
推 ra065311:C:\Users\Jocelyn\AppData\Local\Microsoft\Windows\Temp
→ ra065311:orary Internet Files\Content.IE5\PD5ZD8ZF\HijackThis[
→ ra065311:1].exe 把這檔案刪除 刪除前最好先備份
→ fireslayer:不需要備份 看到temp下面的東西直接刪就對了
→ jocelyn81616:感謝幾位熱心的板友相助,礙於時差關係我先睡下了
→ jocelyn81616:起床後會回報狀況,並更新掃瞄報告，非常謝謝你們！
推 ra065311:會要求備份是有點私心 我想拿個檔案來分析
推 miamodo:HijackThis[1].exe不是毒.
→ fireslayer:不是毒 但是還是可以刪
※ 編輯: jocelyn81616    來自: 67.189.38.217        (01/18 02:24)
※ 編輯: jocelyn81616    來自: 128.223.222.42       (01/18 04:22)
→ ra065311:3. 若有病毒連結請將「http://」改為其他代替文字（違規
→ ra065311:：警告一次）
→ ra065311:然後你那個不是病毒主體 主體在隨身碟內
→ ra065311:還有磁碟根目錄
→ ra065311:去抓Efix來用吧 隨身碟病毒多半都可以靠它清
※ 編輯: jocelyn81616    來自: 128.223.223.62       (01/18 08:22)
→ jocelyn81616:我已經把隨身碟拿回來了,所以我現在去找efix...
→ jocelyn81616:所以我只要直接把隨身碟插入電腦,再開掃毒,就好了嗎?
→ jocelyn81616:對不起...我下載了efix但是執行後顯示不支援64位元
→ jocelyn81616:我剛剛對隨身碟掃毒了..裡面沒有毒,我想我應該是從
→ jocelyn81616:dropbox公用資料夾中毒的,至於病毒主體就不清楚在哪.
→ jocelyn81616:總之問題解決了,感謝各位