1234   2  /  4  页   跳转

[求助] 病毒

回复: 1KB文件夹病毒有好的办法吗



引用:
原帖由 天月来了 于 2009-9-10 8:11:00 发表
这个1kb的文件夹快捷方式的右键属性,查看指向什么***.vbs文件,找到那个***.vbs文件压缩发来,那文件具有隐藏的、系统的属性,需要用解压工具WinRAR依路径打开找那***.vbs文件。

还有用SRENG工具扫描系统日志发这论坛来

点击下载:[url=http://bbs.ikaka.com/attachment.aspx?attachmentid




天月老师你好,我现在把1KB病毒详细给你发过来。
1.发来用SRE扫描的结果,在附件中。
2.发来截图1,是每次打开我的电脑、IE或硬盘时都有的WINDOWS脚本宿主提示。
  截图2,是每个硬盘下多的两个文件夹,RE和SYS起头的那两个文件夹。这两上文件删不掉。两个文件夹的内容只有点编辑时才能看出来,,具体内容我压缩一个给你发个附件过去,打开时请小心,以免中毒。另外从此图中可以看出快捷方式文件1KB的图样。
    截图3,右键是打开硬盘时,有自动播放提示。右键打开文件夹时有编辑提示。
3.瑞星公司发的扫描AUTO,在安全模式和XP下均无法运行,好象是CMD命令,内容是I AM  HERE.......PRESS ANY 键继续。然后一闪而过。另外有时发现硬件时,也是这样的提示。所以我不知道,这个命令是AUTO给的,无法运行,还是病毒的命令.
4.开机提示WINDOWS找不到%SYStemRoot\system\svchost.exe,无法加载或运行systemroot\system\svchost.exe.
5.您给发的SRE,开始运行时,提示,下面的函数内容与预期不符,他们可能被一些恶意的文件所修改,接下来是一串函数。
6.此病毒通过U盘传播。
只想到这些,有问题再反馈给你。
另外我被感染的U盘,还能用吗,去哪杀毒?
以上问题,麻烦老师,我先谢过了。

附件附件:

下载次数:275
文件类型:text/plain
文件大小:
上传时间:2009-9-10 17:53:12
描述:扫描日志

gototop
 

回复:1KB快捷方式病毒

下载文件批量提取工具提取下面文件
附件: 文件提取处理器.rar (内附说明)(右键选择“目标另存为”下载)本链接不支持迅雷等下载工具下载

提取:
C:\WINDOWS\system\svchost.exe
C:\WINDOWS\system32\386894290.vbs
C:\386894290.vbs
D:\947194999.vbs
E:\327256353.vbs
F:\1552260564.vbs
G:\680589357.vbs

不论提取结果如何,哪怕提取失败,也请压缩发来看看

然后

这里下载费尔木马强力清除助手,点选“抑制文件再生”删除下面文件。
附件: 费 尔.rar(内附说明)(右键选择“目标另存为”下载)本链接不支持迅雷等下载工具下载

删除:
C:\WINDOWS\system\svchost.exe
C:\WINDOWS\system32\386894290.vbs
C:\Autorun.inf
C:\386894290.vbs
D:\Autorun.inf
D:\947194999.vbs
E:\Autorun.inf
E:\327256353.vbs
F:\Autorun.inf
F:\1552260564.vbs
G:\Autorun.inf
G:\680589357.vbs

不论删除结果如何立即重启电脑,看情况如何。

记住任何时候不要再去企图打开其他盘的文件夹快捷方式了

将那些文件夹快捷方式压缩几个发来



真不知道你出于什么原因,死也不愿意细看我说的东西
百年以后,你的墓碑旁 刻着的名字不是我
gototop
 

回复:1KB快捷方式病毒

先帮天月师父答两点
5.您给发的SRE,开始运行时,提示,下面的函数内容与预期不符,他们可能被一些恶意的文件所修改,接下来是一串函数。
答:根据现在的这份日志看是卡卡修改的,正常。
7.我被感染的U盘,还能用吗,去哪杀毒?
答:如果U盘里面没有重要的文件,建议格式化。
另外:瑞星杀软可以设置,禁止U盘可执行文件运行。
gototop
 

回复:1KB快捷方式病毒

在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除:
启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <load><%SystemRoot%\system\svchost.exe "C:\WINDOWS\system32\smss.exe:386894290.vbs">  []

将这项的内容清空:
    <load><%SystemRoot%\system\svchost.exe "C:\WINDOWS\system32\smss.exe:386894290.vbs">  []

就是改为
    <load><> 

内容清空即可

SRENG工具的各项操作看这里:http://bbs.ikaka.com/showtopic-8545446.aspx
百年以后,你的墓碑旁 刻着的名字不是我
gototop
 

回复: 1KB快捷方式病毒



引用:
原帖由 天月来了 于 2009-9-10 18:15:00 发表
在扫日志的SRENG工具》启动项目》注册表》里面找下面项目删除:
启动项目
注册表
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <load><%SystemRoot%\system\svchost.exe "C:\WINDOWS\system32\sms

谢谢,明天去单位处理。我的U盘格式化,可以去别的电脑上吗?会不会传播病毒?另外,今天忘记给传过去那几个病毒文件的压缩了,明天吧。谢谢,我会认真看你的:SRENG工具的各项操作看这里:http://bbs.ikaka.com/showtopic-8545446.aspx
gototop
 

回复:1KB快捷方式病毒

你难道从来都不设置自己的系统显示隐藏文件、显示系统、显示文件扩展名???

至于U盘拿别人的电脑上是否被传播病毒,完全取决于别人电脑上是否有病毒。

而别人电脑上是否有病毒,应该不是你能大规模过问的吧??

除非你是网管
百年以后,你的墓碑旁 刻着的名字不是我
gototop
 

回复: 1KB快捷方式病毒

我真是没有设置过系统显示隐藏文件、显示系统、显示文件扩展名,一直是系统默认的。U盘的事我是说,我的盘上有毒,在别人机子上杀毒,会不会把我的文件夹病毒传给他?在他的机子上通过组策略,禁止自动播放就传不上上我的病毒了吗?
gototop
 

回复: 1KB快捷方式病毒



引用:
原帖由 xiewei2347 于 2009-9-11 8:11:00 发表
我真是没有设置过系统显示隐藏文件、显示系统、显示文件扩展名,一直是系统默认的。U盘的事我是说,我的盘上有毒,在别人机子上杀毒,会不会把我的文件夹病毒传给他?在他的机子上通过组策略,禁止自动播放就传不上上我的病毒了吗?


老师好:我现在开始用你的第一步,批量提取,然后用费尔。结果:
            1.提取文件时出现错误,因为打不开备份文件夹,任何硬盘下的文件夹都打不开,下载时选择文件夹也是同样打不开,我只能提取到我的文档,然后压缩,我把错误的压缩发给你。
            2.费尔操作以后,仍然没有解决问题。
            3.我把那几个文件压缩后发给你,文件名947194999,那是病毒的文件,请小心打开。
          4.传完后,我开始用第二个方法,用SREN删除注册表。
谢谢老师。

附件附件:

下载次数:246
文件类型:application/octet-stream
文件大小:
上传时间:2009-9-11 9:54:08
描述:提取批量文件

附件附件:

文件名:947194999.rar
下载次数:228
文件类型:application/octet-stream
文件大小:
上传时间:2009-9-11 9:54:08
描述:病毒文件

gototop
 

回复 17F xiewei2347 的帖子

你盘上的毒如果对方的电脑上的杀毒软件能杀,自然没问题了。

如果不能杀,并且他的电脑也没显示隐藏文件,没显示系统文件,没显示文件扩展名,那么你自然还是看不出U盘里的异常的了。

自然是随意打开文件夹,还是易中毒的了。

我估计这逻辑顺序告诉你,你也一时弄不懂

你现在左右无事,去用解压工具WinRAR打开各盘,看看就知道了。
百年以后,你的墓碑旁 刻着的名字不是我
gototop
 

回复: 1KB快捷方式病毒

这个玩意处理起来,还真麻烦

目前没有专用的搜索删除工具

你这样吧:

首先这里下载进程管理器:
附件: 进程管理器.rar(内附说明)(右键选择“目标另存为”下载)本链接不支持迅雷等下载工具下载

在进程管理器里,终止下面的可能还存在的进程:
C:\WINDOWS\system32\WScript.exe
C:\WINDOWS\system\svchost.exe

注意:路径和文件名一定要看准确了,别自以为是的去终止C:\WINDOWS\system32\里的svchost.exe进程。

然后下载这个搜索工具,去搜索文件去:
附件: 文件搜索工具.rar(内附说明)(右键选择“目标另存为”下载)本链接不支持迅雷等下载工具下载

如下图,搜索  *.vbs  文件



搜索到的,类似的数字********.vbs的所有这类文件,全部选择,并右键菜单选择删除即可

最后用SRENG工具

在扫日志的SRENG工具》系统修复》文件关联》修复文件关联

SRENG工具的各项操作看这里:http://bbs.ikaka.com/showtopic-8545446.aspx
最后编辑天月来了 最后编辑于 2009-09-11 11:08:31
百年以后,你的墓碑旁 刻着的名字不是我
gototop
 
1234   2  /  4  页   跳转
页面顶部
Powered by Discuz!NT