[轉錄]Re: [求救] 中了MSN的毒= =

[et1783 ()]

※ [本文轉錄自 AntiVirus 看板]

作者: junorn (威廉華勒斯) 看板: AntiVirus
標題: Re: [求救] 中了MSN的毒=  =
時間: Fri Aug 14 16:10:25 2009

複製底下**符號行到**符號行之間所有文字不包含*號

*******************************************

move file::
c:\windows\client.exe
C:\Windows\msupdate32.exe
C:\WINDOWS\livemessenger.com
c:\windows\system32\msword98.exe
C:\WINDOWS\mslsrv32.exe
C:\WINDOWS\msnmsg.exe


mod reg::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Client"=-
"Windows Update Service"=-
"Microsoft Update"=-
"msword98"=-
"Regedit32"=-
"Microsoft Driver Setup"=-

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Client"=-
"Windows Update Service"=-
"Microsoft Update"=-
"msword98"=-
"Microsoft Driver Setup"=-

reboot::

********************************************

複製之後下載EFix
http://reinfors.blogspot.com/
下載到桌面之後執行

等執行到出現一個視窗標題叫script gui的時候
在那個視窗中間空白可以輸入文字的地方按右鍵選貼上

確認你貼上的內容和你複製的內容一樣之後按下方的scan按鈕等他跑完
跑完之後就連msn看看還會不會亂傳網址
還是會的話將掃描報告傳到置底空間連結後貼上來
不會就不用了.
並使用新版和更新病毒碼至完整狀態的防毒軟體作全機掃瞄.




--
長路如淡夢  無盡空嘆息
月光照亮我心房 野花輕搖指前路
過失之痛滿胸中
抬手長自撫  願能將其拂
欲言又止萬千語  化作葉兒染愛色

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 210.68.130.155
推 StaurusW:http://0rz.tw/nClV9 用好了~
→ junorn:恩好了這樣就可以了
推 StaurusW:真的嗎!? 那我還需要再改密碼嗎?
→ StaurusW:請問 "C:\ef_backup\Backup\c\WINDOWS\client.exe.vir"
→ StaurusW:這個檔要刪除嗎? 剛剛用PANDA掃描換成這個有問題
→ StaurusW:用AVG也說感染檔案 這是圖http://yfrog.com/11clipboar
→ StaurusW:重貼圖http://yfrog.com/11clipboarddp
→ junorn:那個就是EFix幫你刪除的c:\windows\client.exe，刪掉就好
→ junorn:密碼能改就改.
推 StaurusW:嗯嗯  感謝你的幫忙
推 smilemyself:大推大推喔喔喔喔喔喔超厲害的謝謝你
→ johnlu:http://ifile.it/bzd1i8l 這是檔案有哪幾套可以刪除
→ johnlu:我用NOD32 avadare 都說很健康
→ johnlu:網友用德國小紅傘+木馬大師2009都沒事
推 smilemyself:我又中毒了可以去看依下18088的文章嗎??
推 h000ya:你好 我今天也不小心中這個毒了...QQ 用這個方法之後登入
→ h000ya:還是有一樣的問題耶.... 請問能教教我怎麼辦嗎？
→ h000ya:我完全看不懂 那些程式英文 所以也沒辦法用上一篇的方法解
推 KarasuTW:>johnlu 請用 VirusTotal, Jotti's malware scan 等服務
→ johnlu:K大所以這是最新MSN病毒服務
→ johnlu:如果把那兩個Client拿掉的話是否就解決
→ johnlu:h大你因為啟動有執行到client記得不要執行或者先刪除
→ johnlu:顯示 BackDoor.IRC.Sdbot.5130
推 KarasuTW:VirusTotal 和 Jotti's 是線上單檔掃描程式，可測試多個
→ KarasuTW:防毒軟體… SDBot 是蠻有歷史的後門程式了，這次用的方法
→ KarasuTW:很低調不易事前偵測... 過幾天應該大家都能防了
推 faris1003:J大推一個，我果然還是不擅長解釋...=.=
→ johnlu:因為檔案屬性很怪+檔案再重開機會顯示是否執行
→ johnlu:我使用PCtools防火+NOD32試用.問我是否執行.我按取消後
→ johnlu:又再一次.在跑去Msconfig發現啟動怪怪的.去找檔案位置
→ johnlu:才發現檔案屬性.會大意中招.因為跟對方當時還在聊天MSN
→ johnlu:一點也沒有那種無名者一丟就跑的狀況
→ johnlu:所以很難防備.+上點開後整個電腦變的超慢LAG
→ johnlu:才注意到他在啟動IUI裡面自我安裝兩次都在\windows\
→ johnlu:沒事把啟動IUI清理得太乾淨果然被看出來
推 h000ya:我開網頁之後很白痴的按了執行....我現在應該怎麼做＠＠
推 h000ya:用小紅傘掃毒能解決嗎 我的電腦裡裝的是這個
→ johnlu:h大你也中獎看得懂我的圖嗎.知識+說紅傘找不到
→ johnlu:我在第一封有貼40的線上只有5個找到後門木馬
推 h000ya:對不起...我看不懂....那我可以用你這篇貼的方法嗎？
推 KarasuTW:這一篇或 #1AXbNp3D 的試試看，SDBot 持續變種中...
※ 編輯: junorn          來自: 61.216.80.103        (08/15 22:03)
※ 編輯: junorn          來自: 61.216.80.103        (08/15 22:06)
推 h000ya:如果掃完的LOG檔顯示沒有刪除任何檔案 就表示失敗是嗎？
※ 編輯: junorn          來自: 61.216.80.103        (08/15 22:42)
推 paying02:請問一下  我用了你的方法  他說沒有刪除任和檔案  這樣
→ paying02:是好了嗎  謝謝
→ KarasuTW:如果是剛按到就跑過來的人，這個毒要重開機才會安裝...
→ KarasuTW:所以重開機後套用這個腳本才會有效
推 ajpomelo:這招很有用!!!感恩我解掉了XD
推 abatw:推 幫兩個同學解決了:D
推 cd00739283:感謝感謝~終於清掉了~差點就要重灌了XD
推 GinHan:可以順便幫我看一下嗎 http://tinyurl.com/nx5v8x
→ GinHan:沒有刪除client 不過上線好像沒有亂傳東西
→ GinHan:只刪掉一個  怕怕的 謝謝
→ KarasuTW:>GinHan 沒有問題
推 GinHan:感謝~~
推 holyjune28:麻煩可以幫我看一下嗎http://tinyurl.com/omtgx8 感謝!
推 Waterpig:麻煩J大了 http://ppt.cc/~8aj 謝謝
※ 編輯: junorn          來自: 61.216.80.103        (08/16 20:08)
推 dooooor:http://go2.tw/25j5 安吶甘丟這樣對嗎?  謝謝分享..
推 KarasuTW:樓上三個都 OK...
推 icejoseph:請問 置底的空間是指?
→ littlblac:跟樓上的疑問一樣....
推 cybuler:http://ppt.cc/PcLI  這樣嗎~ 謝謝m(_ _)m
推 killualee:麻煩了  http://ppt.cc/0WKa  謝謝
推 KarasuTW:>cybuler 請把 C:\Windows 改成 E:\Windows 再來一次
推 KarasuTW:>killualee OK...
推 killualee:謝謝!!
推 cybuler:http://ppt.cc/3vHT  重新一次了  麻煩一下 謝謝m(_ _)m
推 jimmy512041:把LOG傳到至底空間   什麼意思?
推 AQmike:請問一下  如果我只有點連結 沒按下載  這樣會中嗎??
→ AQmike:我問我朋友它們都說我沒有傳給他們連結  這樣就是沒中嗎?
推 amber0806:感謝～
推 gjo3g0:http://ifile.it/1u8tbj3  拜託了~  J大超感謝你~~!
推 zhenn:把LOG傳到至底空間   什麼意思?
推 MAHORA:http://sun.cis.scu.edu.tw/~92a39/upload.php
→ MAHORA:上面這個是置底上傳空間
→ MAHORA:把最底下的[公告] 求救文，發文前須知！【必看！】看一下
推 zhenn:上傳完成就代表ok了嗎?
推 ALLPASS2003:請幫我看一下有沒有成功.謝謝.http://ppt.cc/z8b6
推 gjo3g0:重新上傳  麻煩你了~~謝謝http://tinyurl.com/qvbkfs
推 bill055282:http://ppt.cc/au(n  麻煩幫我看一下 非常感謝
→ bill055282:http://0rz.tw/X4j4z 重新上傳 跟上面的一樣  謝謝
推 mo77:http://ppt.cc/aq0A 不好意思，也請麻煩幫我一下，謝謝!!!!
推 zhenn:麻煩請幫我看一下，是否完成。謝謝 http://0rz.tw/obRIU
推 cybuler:代po  http://ppt.cc/c9Nx  麻煩了 謝謝
推 wakai:http://sun.cis.scu.edu.tw/~92a39/upload/35849.txt
→ wakai:幫忙一下 拜託
推 nessele:http://sun.cis.scu.edu.tw/~92a39/upload/35858.txt
→ nessele:不好意思  也拜託幫我看一下Q Q  被這個病毒弄得好煩=兒=
推 Aaronko:太感謝了~成功
推 lalilata: http://ppt.cc/oIji 麻煩幫看..萬分感謝!!!謝謝謝謝
推 kevinlcsf:重開機過後用腳本 沒有刪除任何檔案 也沒有傳網址給別人
→ kevinlcsf:這樣是ok的嗎..
推 clandowater:http://ppt.cc/8A1J 拜託幫我看一下
推 KarasuTW:又變種啦 J 大 OTL...
推 KarasuTW:>cybuler 你可能有中別的病毒，請照求救文範例另外發文
推 KarasuTW:> ALLPASS2003 再掃一次
→ KarasuTW:>gjo3g0, bill055282, mo77, zhenn, cybuler代, wakai OK
推 KarasuTW:>nessele, clandowater OK  >lalilata：你中了其他病毒
→ KarasuTW:>j大: 看來不是變種而是重複感染 -A-"
→ KarasuTW:今天已經星期一了！大家有疑問的請先更新病毒碼掃描系統
推 emon945:http://ppt.cc/G255 也麻煩幫我看一下，感謝T^T
→ junorn:K大不簡單喔一個一個看冏... 我比較在意那個msword98.exe
推 KarasuTW:下面有一個感染到很深層的 msword98 囧rz...
推 KarasuTW:>emon945 ok   >junorn 我只有看有沒有清掉 SDbot 人太多
→ junorn:連我公司上游廠商都一堆人中...不愧是科技公司XD
→ junorn:回題，那個msword98.exe如果行的話看有沒有辦法弄到樣本
→ junorn:雖說確定是病毒不過想看看和這sdbot有沒有關聯.
推 nessele:K大多謝
推 killer0812:http://sun.cis.scu.edu.tw/~92a39/upload/35870.txt
→ killer0812:請幫忙看看  感激不盡
推 KarasuTW:>killer0812 ok
推 killer0812:謝謝！！以後不亂點了ORZ
推 beautyghost:http://sun.cis.scu.edu.tw/~92a39/upload/35876.txt
→ beautyghost:懇請幫忙確認，非常感謝
推 emon945:非常感謝QQ　我以後會管好自己的手的T^T
推 UTRAW:http://tinyurl.com/qlxzhh 請幫忙看一下 感謝
推 mow123012:http://ppt.cc/Z2UI 可以幫我看一下嘛 拜託你了 謝謝
推 jimmy512041:謝謝J大  我的MSN也解決了
推 choumingkai:http://sun.cis.scu.edu.tw/~92a39/upload/35878.txt
→ choumingkai:不會縮往只在上面幫我看一下 謝謝
→ junorn:越來越多msword98.exe了...看來是脫不了關係
推 wincecarter:可以請k大幫我看一下，感激不盡
→ wincecarter:http://sun.cis.scu.edu.tw/~92a39/upload/35879.txt
推 vnsioh:http://sun.cis.scu.edu.tw/~92a39/upload/35880.txt
→ vnsioh:請問這樣有掃掉嗎?
→ vnsioh:用小紅傘+AD-WARE都沒掃到..
※ 編輯: junorn          來自: 210.68.130.155       (08/17 14:15)
推 mow123012:謝謝j大幫忙 我的msn已經解決了 感謝
推 KillerDoll:今天同事MSN傳訊息來,我沒注意也點下去,中毒了 = =
→ KillerDoll:請問可以幫忙看一下嗎 http://tinyurl.com/l8tlyj
推 whatisuknow:你好，可以也幫我看一下嗎  謝謝
→ whatisuknow:http://sun.cis.scu.edu.tw/~92a39/upload/35885.txt
→ d0184225:請問上傳到至底空間就完成了嗎?
→ d0184225:http://sun.cis.scu.edu.tw/~92a39/upload/35889.txt
→ d0184225:麻煩幫我看一下拜託 謝謝
→ Ertsy:可以幫忙看一下嗎 感謝! http://tinyurl.com/l2h7pr
推 e1236699:http://sun.cis.scu.edu.tw/~92a39/upload/35892.txt
→ e1236699:請幫我看看 謝謝
推 berrystar:J大: http://ppt.cc/-RCf  謝謝!!幫我看看!!
推 KarasuTW:> beautyghost, KillerDoll, whatisuknow, d0184225 OK
→ KarasuTW:> Ertsy, e1236699, berrystar OK
→ KarasuTW:>UTRAW,mow123012,choumingkai,wincecarter,vnsioh 重來
推 xxkevin:http://sun.cis.scu.edu.tw/~92a39/upload/35896.txt 麻煩
推 beautyghost:謝謝k大，感激不盡
推 Ertsy:謝謝J大 K大 真的感激不盡!!!
推 KarasuTW:xxkevin，你中毒很深，請照置底求救文範本處理
推 gjo3g0:感謝J大  K大!!!
推 carlcala:J大麻煩幫我看看http://ppt.cc/1W(q  感謝你~
推 jimmy512041:http://sun.cis.scu.edu.tw/~92a39/upload/35905.txt
推 clandowater:http://ppt.cc/2b5a 不好意思,在麻煩你幫我看一下
推 d0184225:感謝J大 K大 有你們真好
推 mo77:非常感謝!!!!!
推 zhenn:麻煩請幫我看一下，是否完成。謝謝 http://0rz.tw/obRIU
推 zhenn:不好意思，我眼殘，沒看到K大已經回覆我OK了。K大謝謝你
※ qaws68:轉錄至看板 Viator94Ding                                  08/18 00:06
推 sakuso:http://sun.cis.scu.edu.tw/~92a39/upload/35925.txt
→ sakuso:不好意思請幫我看一下，謝謝！
→ cherryno:麻煩也請幫忙看一下~感激 http://now.to/5iri
※ 編輯: junorn          來自: 59.112.81.235        (08/18 01:34)
推 d0184225:就如同我18019篇所寫的 拜託  請問一下 除了重灌以外
→ d0184225:還有其他方法嗎?
推 robin7795:http://sun.cis.scu.edu.tw/~92a39/upload/35927.txt
→ robin7795:幫我看一下  謝謝大神!!
推 ponla:請大大幫忙看看ok了嗎~謝謝 http://0rz.tw/JIxMF
推 nessele:代POhttp://sun.cis.scu.edu.tw/~92a39/upload/35931.txt
→ nessele:麻煩J大幫我朋友看看  真是不好意思ˊˋ
推 d0184225:http://sun.cis.scu.edu.tw/~92a39/uplaod/35932.txt
→ d0184225:因為還是沒解毒  所以又重新做一次 麻煩  再幫我看一次
推 htwu:http://0rz.com/nJX8 謝謝 我刪除的檔案好像跟大家不大一樣
→ htwu:但是MSN目前已經可以正常使用了
→ htwu:我是昨天晚上中毒  中毒之後會一直開啟很多人的msn對話視窗
→ htwu:並且傳送我所收到的連結給那些開啟的對話視窗
推 doroshin:http://sun.cis.scu.edu.tw/~92a39/upload/35934.txt
→ doroshin:請幫忙看一下!非常謝謝!!!
推 complication:可以幫我看看嗎?? http://ppt.cc/OBKE 謝謝你!!!!
推 Waterpig:幫忙看一下 http://0rz.tw/sgAYg  謝謝
推 ming33031:請幫我看一下 http://0rz.tw/sthU7 感激不盡!
推 linjj:C:\WINDOWS\system32\scrrun.dll 找不到  這樣該怎麼辦
→ oldfatcat:http://sun.cis.scu.edu.tw/~92a39/upload/35945.txt
→ oldfatcat:還請幫忙看一下，感恩　^^
推 smilemyself:j大k大  真是超強的
推 qqyiya:http://sun.cis.scu.edu.tw/~92a39/upload/35954.txt 我照
→ qqyiya:做可是我看不懂麻煩了
推 wehehe: http://0rz.tw/hQJqe  可以幫我看看嗎?謝謝
推 tclub17:http://sun.cis.scu.edu.tw/~92a39/upload/35960.txt
→ tclub17:可以也幫我看一下嗎  太感謝你了!!!!
推 joanne62028:是要貼上什麼東西阿??
推 joanne62028:http://sun.cis.scu.edu.tw/~92a39/upload/35961.txt
→ joanne62028:幫我看看,感激不盡...
→ charlieptt:http://sun.cis.scu.edu.tw/~92a39/upload/35963.txt
※ qaws68:轉錄至看板 MSNmessenger                                  08/19 03:09
推 newbloody:http://sun.cis.scu.edu.tw/~92a39/upload/35965.txt
→ newbloody:請問是這樣嗎?麻煩幫我看一下感激不盡謝謝> <
推 kukoky1123:http://sun.cis.scu.edu.tw/~92a39/upload/35967.txt
→ kukoky1123:可以幫忙看依下嗎 謝謝
※ 編輯: junorn          來自: 210.68.130.155       (08/19 10:39)
推 AMANOKANNA:http://ppt.cc/778u 請幫忙看一下 謝謝
推 venis:感恩~~Q_Q
推 ss10328:http://sun.cis.scu.edu.tw/~92a39/upload/36023.txt
→ ss10328:請幫忙看看  謝謝~~~~
推 a3eimyy:http://sun.cis.scu.edu.tw/~92a39/upload/36024.txt
→ a3eimyy:跑完以後登入還是不行 請幫忙看看 T皿T 謝謝
※ 編輯: junorn          來自: 61.216.82.232        (08/24 10:29)
推 a6842684:感謝j大Q___Q 不會再亂傳訊息了
--
我很低調滴

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 59.104.220.143