菜鸟发现未知病毒，请高手帮忙！

显示全部楼层 · 发表于 2007-5-13 06:03:11

原帖由 qiqi00612 于 2007-5-13 06:04 发表

我个我前几天就上传了样本啊,是U盘类的,是一客户拿到小店打印时中的....强!现在可以删了啊,你看看是不是这个

尊敬的用户，您好！

　　您上报的样本文件包含病毒程序 Virus.VBS.Small.a，请您 ...

应该是不一样的毒吧，有人在第二楼用KAV7扫出两个启发

显示全部楼层 · 发表于 2007-5-13 07:10:47

好毒
做个记号

显示全部楼层 · 发表于 2007-5-13 07:29:54

原帖由 qiqi00612 于 2007-5-13 05:44 发表
小心的是有会改服务路径的毒也就是说这个服务项本来是windows的,合法的,可这病毒一改把其路径改成自己的,那这个服务也是合法的,只是运行的东东不一样了,要小心这个啊!

服务路径是没改，SSM倒提示了N次修改注册表shell folders路径，可是我拿注册表快找来相比看不出有什么变化
这支毒最恶毒的地方还是修改Explorer\Advanced\Folder\Hidden的行为，不只修改了值，还改了值的数据种类，从dword换成string
害我看了老半天，明明把值修好了怎么还看不见隐藏文件

想不到这种时候，EQ和SSM的实时注册表监控法竟然不如SSM免费版的polling监控法来得好用

显示全部楼层 · 发表于 2007-5-13 09:51:07

驱逐舰

显示全部楼层 · 发表于 2007-5-13 10:54:56

冰刃可以同时把选中的两个文件进程干掉吧,而且好象在文件_设置里面可以阻止其再生.另类办法就是安全模式下搞.

显示全部楼层 · 发表于 2007-5-13 12:39:26

，，好毒啊，这个病毒。

显示全部楼层 · 发表于 2007-5-14 13:10:43

原帖由 dikex 于 2007-5-13 02:05 发表

还有一些东西呢

文件：各个非系统分区根目录下:autorun.inf和mpqoisq.exe

注册表关于隐藏文件的：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL ...

因当时急着用电脑，所以直接GHO还原，打开隐藏及系统隐藏，安全删除autorun.ini及mpqoisq.exe。
删除后未见病毒再发作。
在此感谢各位！辛苦辛苦！

菜鸟发现未知病毒，请高手帮忙！

本帖子中包含更多资源