害我朋友全盘格式化的病毒

显示全部楼层 · 发表于 2009-8-21 16:00:14

文件 _trac_king.log 接收于 2009.05.28 09:13:04 (UTC)
当前状态: 完成
结果: 0/40 (0.00%)

File size: 20480 bytes
MD5 : 85a25f461460cd8ad88e2b611ae4eb90
SHA1 : be2f62e83aa7ca8b72318b40641404115afdea93
SHA256: acf549cb044261ef8aca6c3077578e28c8f91651b932ae4f80062b008aa89952

显示全部楼层 · 发表于 2009-8-27 14:50:15

楼主把注意力放到这个文件上或许是个错误。这个文件的存在或许是其他原因，与病毒也许没有直接的联系。
这个文件的相同情况，我已经在某台电脑上也看到了，这个文件是被svchost.exe锁定的，因为时间关系，加之电脑是别人的，我也没仔细看过这个文件是谁创建的，这台电脑上装有nod32和360卫士。这个文件是可以用xuetr强制删除的，包括那个文件夹也可以删除，只不过在删除之后它会被再次生成。我试了用同名文件免疫的办法来阻止这个文件夹的产生，目前来看似乎有效，但未试过重启后会怎样。
楼主或许应该试试少安装一些安全软件，比如什么都不装，只用xuetr和wsyscheck分析。太多的hook增加了手工检查的难度。

显示全部楼层 · 发表于 2009-8-27 14:56:36

光盘winPE下删除

显示全部楼层 · 发表于 2009-8-28 22:25:01

在那台电脑上,我发现了一个特点,只在ntfs的分区上存在这个文件夹及文件,在fat32的分区上没有.
我还是试了重启,同名文件免疫的办法没有失效.
这个文件不是删不掉,用xuetr可以强制删除,只是它在一段时间后会再次产生.所以,用什么方法来删除它已经没有必要再继续探讨了,现在讨论它是如何产生的可能还比较有意义一点.
已知的是,"系统还原"确实是关闭的,相关的服务也是停止的.
我尚未试过的是,打开"系统还原"再关闭.

显示全部楼层 · 发表于 2009-8-28 23:08:38

这个文件正常的。我也有貌似

[病毒样本] 害我朋友全盘格式化的病毒