MIS的背影

卡巴斯基防毒無法啟動

roylee@pmail.idv.tw (榮哥) — Tue, 03 Nov 2009 15:54:59 +0800

公司同仁卡巴斯基防毒無法啟動
移除重新安裝也一樣
我嘗試安裝小紅傘也是一樣無法啟動
判斷是因為中毒造成,所以就先手動將小紅傘病毒碼更新
掃毒確定無毒後
再來就是修改機碼
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
（如圖）

圖中看到很多xxx.EXE (大寫）應該有些被病毒修改過所以執行該該檔案
都無法作用,這次的現象連我的regedit.exe 我也無法執行
將他刪除後就正常

開網頁不時會出現21cnyl.com 的網址(W32.Pagipef.B 病毒)

roylee@pmail.idv.tw (lee_rong) — Mon, 26 May 2008 16:30:44 +0800

開網頁不時會出現21cnyl.com 的網址

賽門鐵克會偵測到病毒(W32.Pagipef.B)
中毒檔案 C:WINDOWSsystem32driverslsass.exe
小紅傘抓到的病毒名稱則是TR/Agent.abj.148

在msconfig 會看到 "~" 這個程式開機啟動

解決方法:
因為懶的手動所以安裝小紅傘更新最新病毒碼後,完整掃瞄從新開機就可以解決

IE首頁被綁架(導向網址http://www.asecureforum.com

roylee@pmail.idv.tw (lee_rong) — Wed, 09 Apr 2008 17:26:39 +0800

公司User-PC 開啟IE後馬上被導向 hxxp://www.asecureforum.com
然後企圖下載惡意程式,更改首頁設定也失效

解決方法:
1.到安全模式下
2.刪除C:Program FilesNetProject
3.刪除機碼HKEY_CLASSES_ROOTCLSID{7C109800-A5D5-438F-9640-18D17E168B88}

WORM_CRYPT.AB病毒(KASPERSKY.EXE)

roylee@pmail.idv.tw (lee_rong) — Wed, 09 Jan 2008 10:31:37 +0800

這次是同事電腦中毒又是新的autorun
officescan 抓到 WORM_CRYPT.AB
中毒檔案 C:\KASPERSKY.EXE

解決方法:
1.關閉系統還原,到安全模式
2.刪除
C:\Program Files\Common Files\Microsoft Shared\MSINFO\Kaspersky.exe
C:\Program Files\Common Files\Microsoft Shared\MSINFO\SgotoDel.bat
C:\WINDOWS\system32\_Kaspersky.exe
X:\AutoRun.inf
X:\Kaspersky.exe
(其中X為全部磁碟)

ChristmasImg2007-12.zip 病毒(WORM_IRCBOT.ARB)

roylee@pmail.idv.tw (lee_rong) — Thu, 27 Dec 2007 10:59:46 +0800

明明聖誕節過了,還中毒,今天站長公司的同事連番發生,msn
亂傳檔案給聯絡人.....所以只好下令先關閉所有MSN

症狀:

1.會亂傳ChristmasImg2007-12.zip 給msn聯絡人

2.中毒後msn很難關閉

3. officescan 病毒碼 4.911.00抓不到

解法:

1.到安全模式,並關閉系統還原

2.刪除下列檔案

C:\WINDOWS\msmsgrs.exe(有就刪除)

C:\WINDOWS\ChristmasImg2007-12.zip

C:\Program Files\Windows Live\Messenger\msnmsgr.exe (有就刪除)

C:\WINDOWS\system32\svho.exe

C:\0000a.exe (有就刪除)

C:\0h000.exe (有就刪除)

C:\0h00.exe (有就刪除)

3.刪除下列登錄檔值

登錄檔路徑:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
登錄檔名稱:MsnLiveMe

TROJ_AGENT.AHAU病毒

roylee@pmail.idv.tw (lee_rong) — Sun, 16 Dec 2007 10:48:54 +0800

TROJ_AGENT.AHAU病毒

中毒檔案 c:\windows\system32\winupdate.exe
解決方法
1.安全模式刪除 c:\windows\system32\winupdate.exe
2.刪除登錄檔
HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache\

HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon中的shell字串值

3.更新病毒到最新完整掃毒一次

TROJ_STRAT.JD & Possible_Strat-6 病毒

roylee@pmail.idv.tw (lee_rong) — Thu, 06 Dec 2007 10:54:01 +0800

TROJ_STRAT.JD & Possible_Strat-6 病毒

這兩個病毒比較麻煩
遇到的症狀 : 執行每個程式會出現錯誤訊息(下圖)

解決方法:到安全模式下刪除(若無法刪除可利用Unlocker程式)
C:\windows\system32\p2podbc.dll
C:\windows\system32\webpvbam.dll
C:\WINDOWS\system32\efjtx0jc.dll
C:\WINDOWS\system32\kbdgmqqm.dll
C:\WINDOWS\system32\e1.dll
C:\WINDOWS\system32\gdi3ciod.dll
C:\WINDOWS\system32\sqlurasp.dll
C:\Documents and Settings\user\Local Settings\Temp\*
C:\WINDOWS\metr.exe
C:\windows\system32\sqlurasp.exe
C:\WINDOWS\system32\efjtx0jc.dll
C:\WINDOWS\

TSPY_ONLINE.EOD 病毒(有類似疾風病毒的60秒從開機訊息)

roylee@pmail.idv.tw (lee_rong) — Tue, 06 Nov 2007 11:14:37 +0800

TSPY_ONLINE.EOD 病毒

中毒檔案 C:\WINDOWS\Debug\62D4F8F5DDAC.dll

出現症狀:

無法開啟檔案總管的搜尋功能，無法看事件檢視器的內容，網路完全斷掉，無法設定 TCP/IP

會出現RPC 伺服器錯誤，倒數60秒後重新開機

重新開機後，系統啟動速度極慢，停留在"Windows正在啟動中"10分鐘以上，會出現svchost.exe 錯誤

解決方法:
1.先在沒有中毒的PC上面寫依各簡單的批次檔內容"shutdown -a " 放到MIS必備隨身碟中,這是因為要暫時解決60秒關機訊息

2.再中毒的PC上面,到安全模式下面(會等一段時間),進入後就先把隨身碟插入吧
如果有出現60秒關機,就趕緊執行一下小批次檔讓此訊息關閉

刪除

C:\WINDOWS\Debug\62D4F8F5DDAC.exe
C:\WINDOWS\Debug\62D4F8F5DDAC.dll
C:\WINDOWS\AVP.EXE , C:\WINDOWS\system32\od3mdi.dll(這2個是基本的病毒檔會造成WINSCOK問題)

不小心執行奇摩信箱的寄來信的附件(2ACE4CFBAF2C.dll盜帳號木馬)

roylee@pmail.idv.tw (lee_rong) — Thu, 25 Oct 2007 14:35:24 +0800

前幾天營業員說電腦中毒了,去看了以後發現 officescan 出現訊息如下

訊息會一直跳出來,所以要到安全模式下解毒
關閉系統還原
中毒檔案 c:\2ACE4CFBAF2C.dll
解決方法
1.刪除下面2個檔案
c:\2ACE4CFBAF2C.dll
c:\2ACE4CFBAF2C.exe (這是依各隱藏檔所以要先開隱藏檔才看的到喔)
c:\windows\system32\kavo.exe
c:\windows\system32\ubs.exe

c:\windows\system32\kavo0.dll

2.刪除登陸檔HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks | {79fc744e-75ca-49b0-8f02-aeae4caacbe0}

3.清除所有tmp檔,可以到blog首頁分享區抓清tmp工具(一定要做喔)

VAnti!rootkit病毒

roylee@pmail.idv.tw (lee_rong) — Thu, 18 Oct 2007 11:15:22 +0800

今天同事的nb一直掃出VAnti!rootkit這一個病毒(mcfee掃出來)

怎麼找也找不到要刪除的檔案！
解決方法：
利用Sophos Anti-Rootkit 工具找到xxx.mp2.ifx2的檔案

且讓這個程式刪除他後，重新開機在用Mcfee掃就沒有VAnti!rootkit病毒訊息出現了