guly
VIP會員
洋洋
積分 2210
發文 83
註冊 2005-10-16 來自 越南
狀態 離線
|
#1 [注意] 發現隨身碟、記憶卡的惡意執行軟體
各位朋友請注意,這兩天發現有一種新惡意執行程式,由於掃毒軟體幾乎無法發現,在這邊,告訴各位朋友並希望如果有發現的解決方式。
由於現今隨身碟、記憶卡活動流行,因此以往隨身碟、記憶卡常伴隨W32、Trojan系列的蠕蟲病毒(尤其是越南,幾乎只要記憶卡經過他們手機店的電腦,每個都中毒),這一種還好,只要是他人的隨身碟,插入USB後不要先開啟而先掃描刪除它就解決了,但是現在這個就糟糕了,因為它,掃毒軟體根本無法發現,這兩天為了這個弄得快無力了,整天系統重灌,還以為是硬體有問題。
如何判定這類有問題的隨身碟,記憶卡?
當隨身碟、記憶卡插入電腦後,電腦讀取後一般會顯示:用Media Play播放、檢視圖片、開啟資料夾、加快我的開機速度(Vista)等,這是正常的。但是如果插入後,那個跳出來顯示除了有[開啟資料夾]、[加快我的開機速度(Vista)]外,最上面還有一個[執行.exe]或[Setup.exe]、[Run.exe]、[*.exe],請不要開啟,到[我的電腦],看到那個隨身磁碟,指著它按滑鼠右鍵,如果在選單中有[自動執行]的項目,下面還有一個很奇怪的執行選單,例如我碰到的[Quet vi rut cung bach khoa AntiVirus](還有其他亂碼的),保證這個隨身碟、卡中獎了。
影響範圍:Windows 2000,Windows Xp , Windows Vista
會在執行那個exe檔後,串改Win32\Sistem?.exe的資料,Windows XP,2000的Regedit控制權被鎖定,重開後電腦無法登入(要重灌);Windows Vista由於核心無法竄改,中了後重開登入無法顯示視窗作業,只要再重開按F8,選[修復我的電腦],將系統還原到前面一點的時間就OK了。還有一項特點,當系統是Administrator當使用者,中獎後按[Ctrl]+[Alt]+[Del]時,[啟動工作管理員]居然不見了,重開就發生前述的症狀。
預防方法:
1、他人的磁碟插入電腦,請不要有任何動作,先檢視是否有我說的那的*.exe出現,然後按取消。
2、先進入[我的電腦],先掃描那個磁碟是否有已知的病毒蠕蟲。
3、指著那個磁碟按滑鼠右鍵,看看是不是有前述的奇怪選單。
解決方法:
1、確定有這種情形,要開啟該磁碟,請指著該磁碟按滑鼠右鍵,選擇[開啟],千萬不要用滑鼠左鍵點兩下[會執行]。
2、在該磁碟下面的壓縮檔、安裝程式、Office紋建檔等,只要是可以執行或開啟的檔案千萬不要開啟。
3、在視窗選單…[工具]\[資料夾選項]\[檢視]下面的[隱藏檔案和資料夾],點選[顯示所有檔案和資料夾],按[確定]後,將該磁碟裡面的檔案拷貝到系統硬碟的一個資料夾裡(隱藏檔不要)。
4、Format…格式化那個磁碟(如果那個磁碟的資料不要,就直接格式化,上面1、2、3的步驟省略)
結論:
這個東西很狡滑,除了系統主要磁區外,會感染隨身碟、記憶卡、外接式硬碟與延伸磁碟區,然後長駐在該磁碟保留的緩充記憶磁區裡,你是找不到他的檔案的,當你開啟顯示隱藏檔案與資料夾,會發現有*.xml或者是Filelist*.*的隱藏檔,當使用者不知情點兩下滑鼠左鍵就直接執行惡意程式(產生以下列的批次檔並執行),但是如果是用按滑鼠右鍵選擇[開啟]或[檔案管理員]進入這個磁碟,只要執行到這磁碟裡面一切的*.exe , *.com,Office文件檔,rar與zip壓縮檔等,它還是會跟著執行病毒程式執行破壞指令,但是如果是進入磁碟進行複製檔案的行為,就沒有觸犯的它的啟動執行,也因此這個磁碟如果資料重要是還有救的,最終,在防毒軟體還沒有出現解決方法之前,格式化這個隨身碟、記憶卡或者是延伸磁碟是唯一的辦法。
2008/5/8在磁碟中找到批次檔
deltmp.bat
@echo off
Color 0a
Echo ============================
Echo *xiajisoft.com*
Echo *Wanguoj@163.com*
Echo ============================
Echo (亂碼)
Del /f /s /q %systemdrive%\*.tmp
Del /f /s /q %systemdrive%\*._mp
Del /f /s /q %systemdrive%\*.gid
Del /f /s /q %systemdrive%\*.chk
Del /f /s /q %systemdrive%\*.old
Del /f /s /q %systemdrive%\recycled\*.*
Del /s /q Windir%\temp & md %windir%\temp
Del /f /q %suserprofile%\recent\*.*
Del /f /s /q %suserprofile%\Local Settings\Temporary Internet Files\*.*
Del /f /s /q %suserprofile%\Local Settings\Temp\*.*
Del /f /s /q %suserprofile%\recent\*.*
@exit
wgi.bat
@echo off
Color 0a
Echo ============================
Echo *xiajisoft.com*
Echo *Wanguoj@163.com*
Echo ============================
Echo (亂碼)
Echo (亂碼)
Echo (亂碼)
Del c:\*.vbs /f /s /aH
Del c:\*.reg /f /s /aH
Del d:\*.vbs /f /s /aH
Del d:\*.reg /f /s /aH
Del e:\*.vbs /f /s /aH
Del e:\*.reg /f /s /aH
Del f:\*.vbs /f /s /aH
Del f:\*.reg /f /s /aH
@exit
原來是這樣子,難怪掃毒程式掃不到,因為它也是執行程式,只是隱藏在緩衝記憶磁區裡,這樣製造出惡意的批次檔殺掉系統檔案,真的再怎麼看都是合法掩飾非法,不過這個樣子的話,XP與2000作業系統將是受害最深的。
[ Last edited by guly on 2008-5-12 at 08:21 AM ]
|
洋洋 |
|