作者junorn (威廉华勒斯)
看板AntiVirus
标题Re: [中毒] 电脑自动倒数60秒重开机, 可是扫不到疾 …
时间Sat Sep 27 10:38:12 2008
帮Zha0要样本看看
有些地方有找到不过要注册....没辄
我观察了一下似乎几个有报告的共通点是spoolsv.exe都没有过数位签章
所以底下的稍微修改一下
改成
U载OTMoveIt2
http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe
到安全模式下执行 然後在左边的视窗贴上以下东西
EmptyTemp
C:\WINDOWS\System32\v2messen.exe
C:\WINDOWS\System32\sprint.dll
C:\WINDOWS\System32\mssvch.dll
C:\WINDOWS\System32\spoolsv.exe
C:\Windows\system32\dllcache\spoolsv.exe
然後照底下的动作跑完了之後
将C:\_OTMOVEIT资料夹压缩起来传到免费空间贴上来
这样才有机会分析是哪边的问题。
另外请注意spoolsv.exe是windows系统档案
只有在中了这东西的人才需要删，平常没事别删。
※ 引述《idaer (这是个充满老梗的世界)》之铭言：
: : → aamon:我有 sprint.dll 建立日期是 2008/9/20 09/27 05:17
: : 推 SilverRanger:我也是，建立日期9/20，修改日期9/27... 09/27 05:39
: : → SilverRanger:http://140.134.4.70/~d9329381/sprint.rar 09/27 05:40
: : 推 pomeloyou:我也有不过建立日期是2008/9/26 09/27 05:48
: : 推 mantou:我也有sprint.dll建立日期也是9/20..修改日期9/26 09/27 05:53
: : 推 apple604:有sprint.dll建立日期9/26修改日期9/27 09/27 06:46
: : → aamon:电脑中又出现新东西了 dots.exe, sprint.dll砍掉会重生 09/27 06:49
: : → aamon:一个小时会发作一次, 还有windows\temp\里多了很多东西呢 09/27 06:50
: 下载OTMoveIt2
: http://download.bleepingcomputer.com/oldtimer/OTMoveIt2.exe
: 到安全模式下执行 然後在左边的视窗贴上以下东西
: EmptyTemp
: C:\WINDOWS\System32\v2messen.exe
: C:\WINDOWS\System32\sprint.dll
: C:\WINDOWS\System32\mssvch.dll
: 按下「MoveIt」，如果系统要求重开机，按「YES」
: 如果不行的话 跑Combofix/HijackThis/SRENG 然後把报告贴上来~
--
人间世称做缘 相连的红线不停缠绕
脆弱而惹人悲怜的彼岸花 愤怒、伤感、终日以泪洗面
在凌晨零时的夜幕中 为你消除无法平息的怨恨
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 220.132.171.86
※ 编辑: junorn 来自: 220.132.171.86 (09/27 10:38)
※ 编辑: junorn 来自: 220.132.171.86 (09/27 10:39)
2F：→ zha0:感谢 ... 还在找 .... 因为都还没看到 http 下来的东西 XD 09/27 10:59
3F：推 tjfu:我的个人空间伺服器目前有问题 晚点我会放上来我删掉的档案 09/27 11:34
4F：推 scotttomlee:如果spoolsv.exe不是最近建立的话 算是相同问题吗? 09/27 11:39
5F：→ junorn:To:Z老板没错就是这XD 09/27 11:47
6F：→ junorn:spoolsv.exe要看数位签章，建立一定是很久以前建立的 09/27 11:47
7F：推 cmonkey:对了，那要用印表机的时候该怎麽办？ 09/27 11:48
8F：→ junorn:当然要找档案补回去啦... 09/27 11:48
9F：推 cmonkey:能向你要这个档吗？ (没中毒的spoolsv.exe ) 09/27 12:04
11F：推 cmonkey:谢谢。 09/27 12:24
12F：推 chicobo:我也要谢谢J大的档案 09/27 12:32
13F：推 scotttomlee:谢谢板大的档案 09/27 12:47
14F：推 idaer:谢谢板大提醒 竟然没发现这点 冏rz 09/27 13:59