很 囧 很囧的vbs病毒

wlgljmwym

麦咖啡杀

原来是那个数据流病毒

winxp0286

中了后。。求解决方法。。文件全部被隐藏起来了！

SONGLEI

DefenseWall HIPS log file

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图更改 C:\WINDOWS\explorer.exe:808978780.vbs 的大小 (文件 )

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图更改 C:\WINDOWS\system32\smss.exe:808978780.vbs 的大小 (文件 )

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值 Load 在注册表键 HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值 Ver 在注册表键 HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值 Date 在注册表键 HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值  在注册表键 HKCR\inifile\shell\open\command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值  在注册表键 HKCR\inffile\shell\open\command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值  在注册表键 HKCR\batfile\shell\open\command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值  在注册表键 HKCR\cmdfile\shell\open\command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值  在注册表键 HKCR\regfile\shell\open\command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值  在注册表键 HKCR\chm.file\shell\open\command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值  在注册表键 HKCR\hlpfile\shell\open\command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值  在注册表键 HKCR\Applications\iexplore.exe\shell\open\command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值  在注册表键 HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值  在注册表键 HKCR\Applications\iexplore.exe\shell\open\command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值  在注册表键 HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值  在注册表键 HKCR\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图创建新的注册表键 HKCR\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\open\command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图创建新的注册表键 HKCR\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\open\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图创建新的注册表键 HKCR\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\explore\command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图创建新的注册表键 HKCR\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\explore\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值  在注册表键 HKCR\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图创建新的注册表键 HKCR\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\open\command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图创建新的注册表键 HKCR\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\open\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图创建新的注册表键 HKCR\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\explore\command\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图创建新的注册表键 HKCR\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\explore\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值 CheckedValue 在注册表键 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值 CheckedValue 在注册表键 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 设置值 NoDriveTypeAutoRun 在注册表键 HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\ (注册表)

10.04.2009  08:39:20，模块 C:\WINDOWS\system32\wscript.exe， 企图 删除值 IsShortcut 在注册表键 HKCR\lnkfile\ (注册表)

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 C:\Documents and Settings\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 C:\Downloads\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 C:\Program Files\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 C:\WINDOWS\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图创建新的文件 D:\AutoRun.inf (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 D:\PPStream\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 D:\KuGou2008\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 D:\TM2008\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 D:\chrome\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 D:\KuGou\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 D:\08无锡旅游\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 D:\色戒\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 D:\Temporary internet files\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 D:\KMPlayer\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 D:\Documents and Settings\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 D:\迅雷Thunder 5.9.4.969\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图打开受保护的文件 D:\Mozilla Firefox\ (资源隔离)

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 D:\PowerWord Lite\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 D:\婚纱照\ 设置隐藏属性 (文件 )

10.04.2009  08:39:19，模块 C:\WINDOWS\system32\wscript.exe， 企图为 D:\婚宴\ 设置隐藏属性 (文件 )

SONGLEI

果然疯狂的设置隐藏属性,还疯狂建立一堆假INK, 结果因为被DW阻挡,隐藏失败, 在各根目录出现这个景象,
还释放一个SVCHOST.EXE到SYSTEM下面,挺有迷惑力啊
回滚后,一切复归原状, 我越来越相信DW的防御能力了, 简单易用又安全的平衡



[ 本帖最后由 SONGLEI 于 2009-10-4 08:53 编辑 ]

vte8689

下来看看

iihho

Norton Internet Security 2010 还没解压完就给删了

winxp0286

天哪。。全部文件不见了。。被隐藏了。。

winxp0286

中了。文件不见了。有无解决方法？难道真的要把NTFS格式变成FAT32才有解吗？

amjjyndl

新人报道学习!