Shadow Defender 是否会被误认为是鬼影？

FreeEquFraT

kyqm 发表于 2011-8-7 15:17
没找到,,HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kisknl这个分支啊？

纳闷，

不好意思，没仔细看，这个已经被删掉了。

kyqm

不对，
现在还是SD保护状态，我重启后恢复了“中毒”状态
本来注册表里应该有这一支才对啊。

kyqm

2,0110807,,diskpt.sys,,恶意驱动,,21,,000000000000000000,,0
2,0110807,,C:\WINDOWS\system32\pchsvc.dll,,重启删除,,21,,000000000000000000,,0
2,0110807,,C:\WINDOWS\system32\6to4.dll,,重启删除,,21,,000000000000000000,,0
2,0110807,,C:\WINDOWS\system32\ias.dll,,重启删除,,21,,000000000000000000,,0
2,0110807,,HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kisknl,,删除注册表成功,,0,,000000000000000000,,0

这是重启后的专杀扫描日志
说明重启后应该有HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kisknl

但我没找到

FreeEquFraT

kyqm 发表于 2011-8-7 15:39
2,0110807,,diskpt.sys,,恶意驱动,,21,,000000000000000000,,0
2,0110807,,C:\WINDOWS\system32\pchsvc.dl ...

你用ARK工具看吧，比较底层一点，用XT的话开HIVE分析比较好一点。
------------------------------------------------------------------------------------------------
而且你也可以去病毒救援区翻下帖子，鬼影1、2、3好像都有相关教程，分析一下就知道是不是中鬼影了。
再补充一下，如果不开SD的话专杀查不出鬼影应该就没事的，你也可以用其他专杀再试一下。

zby_1991

种过一豆 发表于 2011-8-7 14:31
diskpt.sys  ---- 恶意驱动

这个是sd的驱动,不知道是不是误报了

高启发，你懂得

顺便to LZ，专杀这种东西不要太敏感

kyqm

换个思路，再找一台机子，装SD，也用专杀扫一遍，看看是否会重现问题，
哪位朋友试试看？

greathover

不要只盯着shadow，请问楼主如何保证安装盘和原分区中文件安全呢？

kyqm

greathover 发表于 2011-8-7 18:48
不要只盯着shadow，请问楼主如何保证安装盘和原分区中文件安全呢？

我一直用的是Eset Smart Security ，扫描系统内存，以及C盘没发现病毒。

kyqm

我用家里另一台电脑尝试了一下，SD没有保护时没扫出鬼影，SD加上保护后，扫除了5个病毒
日志为
2,0110807,,免疫：,,C:\Documents and Settings\Administrator\Local Settings\Temp\tmp.tmp,,0,,000000000000000000,,0
2,0110807,,免疫：,,C:\WINDOWS\system32\xp-b1393be4.exe,,0,,000000000000000000,,0
2,0110807,,免疫：,,C:\WINDOWS\system32\b3b4da\393be4.exe,,0,,000000000000000000,,0
2,0110807,,免疫：,,C:\WINDOWS\system32\1ea28c\ed3dc2.exe,,0,,000000000000000000,,0
2,0110807,,HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kisknl,,删除注册表成功,,0,,000000000000000000,,0
2,0110807,,diskpt.sys,,恶意驱动,,21,,000000000000000000,,0
2,0110807,,C:\WINDOWS\system32\pchsvc.dll,,重启删除,,21,,000000000000000000,,0
2,0110807,,C:\WINDOWS\system32\regsvc.dll,,重启删除,,21,,000000000000000000,,0
2,0110807,,C:\WINDOWS\system32\6to4.dll,,重启删除,,21,,000000000000000000,,0
2,0110807,,C:\WINDOWS\system32\ias.dll,,重启删除,,21,,000000000000000000,,0
2,0110807,,HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kisknl,,删除注册表成功,,0,,000000000000000000,,0


但是两台机子软件差不多，所以担心这个例子没有代表性

哪位有空也帮忙测试一下。

kyqm

还有，我在网上查了一下6to4.dll和ias.dll 好像是病毒 http://www.baidu.com/s?wd=6to4.dll%20ias.dll&pn=20

为什么我的Eset没有一点反应？我天天都升级的

一运行SD它们就回来了，纳闷。