作者junorn (威廉华勒斯)
看板AntiVirus
标题Re: [问题] 用efix後 出问题了
时间Tue Aug 19 20:26:30 2008
这是报告里面"看的到"的恶意档案
C:\WINDOWS\system32\360mon.dll
C:\WINDOWS\system32\adsntzt.dll
C:\WINDOWS\system32\adsntzt.nls
C:\WINDOWS\system32\bootvidgj.dll
C:\WINDOWS\system32\bootvidgj.nls
C:\WINDOWS\system32\cliconfgzx.dll
C:\WINDOWS\system32\cliconfgzx.nls
C:\WINDOWS\system32\dispexcb.dll
C:\WINDOWS\system32\dispexcb.nls
C:\WINDOWS\system32\dpvvoxmh.dll
C:\WINDOWS\system32\dpvvoxmh.nls
C:\WINDOWS\system32\imgutilhx2.dll
C:\WINDOWS\system32\keyiftp.dll
C:\WINDOWS\system32\lweurqhx.dll
C:\WINDOWS\system32\msobjstl.dll
C:\WINDOWS\system32\msobjstl.nls
C:\WINDOWS\system32\360mon.dll
C:\WINDOWS\system32\explsore.exe
C:\WINDOWS\temp\System.exe
C:\WINDOWS\system32\tmplljydf1.exe
C:\WINDOWS\system32\utilty.exe
C:\WINDOWS\system32\serev.exe
C:\WINDOWS\system32\Dxdiag9.dll
C:\WINDOWS\setup_102722.exe
C:\WINDOWS\system32\Fuck.exe
C:\WINDOWS\system32\pg.exe
C:\WINDOWS\2008042301.exe
C:\WINDOWS\system32\sovlost.exe
C:\WINDOWS\system32\sichost.exe
C:\WINDOWS\system32\Nessery.sys
被绑架的恶意网址
hxxp:// www.3929.cn?tn=102722
挂载在appinit位置的恶意程式
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"appinit_dlls"=zsqf.dll,ytfa.dll,ytfb.dll,ytfc.dll
c:\windows\system32\zsqf.dll
c:\windows\system32\ytfa.dll
c:\windows\system32\ytfb.dll
c:\windows\system32\ytfc.dll
启动登录值内的
%systemroot%\system32\1mIg3s.dll
winlogon的
notify\xy3safe
"C:\WINDOWS\system32\360mon.dll"
挂载在服务 / 驱动项的
C:\WINDOWS\system32\pg.exe
C:\WINDOWS\system32\Fuck.exe
C:\WINDOWS\system32\Drivers\msiffei.sys
C:\WINDOWS\system32\serev.exe
C:\WINDOWS\system32\Nessery.sys
C:\WINDOWS\system32\ntkrnlpy.exe
C:\WINDOWS\system32\ssdtti.sys
C:\WINDOWS\system32\rapimgr.exe
C:\WINDOWS\system32\explsore.exe
C:\WINDOWS\system32\drivers\touhv.sys
C:\WINDOWS\system32\NetNtEx.dll
这边看的到的就有这些，看不到的....要靠防毒软体
你在参考看看吧。
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 220.132.171.86
1F：推 kilinyo:重灌比较快XD 08/19 20:30
2F：推 faris1003:灌比较快XD 08/19 21:10
3F：推 kkcat:如果具备感染正常档案的能力的话 那重灌清的乾净妈? 08/19 21:24
4F：推 faris1003:重灌的意思就是把你的电脑重新格式化了，除非... 08/19 21:43
5F：→ faris1003:它具备感染BIOS的能力 =3= 08/19 21:44
6F：→ final01:XDDDDDDD 08/19 21:55
7F：→ junorn:大致上都ok啦。 08/19 22:18
8F：→ yukitowu:我试过的烂方法 用最後修改的日期去搜寻全部的档案 08/19 23:27
9F：→ yukitowu:如果有出现不该出现的像是执行档之类的 那就有被感染 08/19 23:27
10F：→ yukitowu:不过要是时间太久远那当然就没用Qrz... 08/19 23:28
11F：→ faris1003:原po的情形还是重灌会比较快，与其在这反覆询问 08/19 23:29
12F：→ faris1003:重灌可能花的时间更少。 08/19 23:30
13F：推 kkcat:恩 谢谢大家 我现在正在努力的联络到那人 08/19 23:53