![]() |
|
論壇說明 |
歡迎您來到『史萊姆論壇』 ^___^ 您目前正以訪客的身份瀏覽本論壇,訪客所擁有的權限將受到限制,您可以瀏覽本論壇大部份的版區與文章,但您將無法參與任何討論或是使用私人訊息與其他會員交流。若您希望擁有完整的使用權限,請註冊成為我們的一份子,註冊的程序十分簡單、快速,而且最重要的是--註冊是完全免費的! 請點擊這裡:『註冊成為我們的一份子!』 |
![]() ![]() |
|
主題工具 | 顯示模式 |
|
![]() |
#1 (permalink) |
管理員
![]() ![]() |
![]() ![]() 您應該刪除到 ntdetect.com 而不是 ntdelect.com 系統檔 ntdetect.com 病毒檔 ntdelect.com 中間不一樣,看大寫的檔名差更多 怕殺錯,我有寫一支簡單的 批次檔 --------------------------------------------------- @echo off del /f /q /a:- %windir%\Prefetch\ntdelect.co* del /f /q /a:- %windir%\system32\fly32.dll del /f /q /a:- %windir%\system32\poor32.dll del /f /q /a:- %windir%\system32\kavo*.* del /f /q /a:- %windir%\system32\kav0*.* del /f /q /a:- %windir%\system32\kav1*.* del /f /q /a:- %windir%\system32\wincab.sys for %%V in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) DO del /f /q /a:h %%V:\autorun.inf for %%V in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) DO del /f /q /a:h %%V:\ntdelect.com --------------------------------------------------- 把虛線中的內容複製,貼到記事本中,存成副檔名是 .cmd 或 .bat 執行即可 只能在 安全模式 中使用不然殺了又生. 還要把執行 regedit,收尋跟 ntdelect.com 、kavo.exe 有關的機碼,並刪除 崇開機就差不多了,不過隱藏檔的開放那個就被鎖住了 還好我平時有用 GHOST ... 大家都在趕流行嘛 中標嘛 ... ![]() 此帖於 2007-09-15 03:32 AM 被 getter 編輯. |
__________________ 在「專業主討論區」中的問題解決後,要記得按一下 ![]() 這是一種禮貌動作。 ![]() 一樣是在「專業主討論區」中發問,不管問題解決與否,都要回應別人的回答文喔。 不然搞 [斷頭文],只看不回應,下次被別人列入黑名單就不要怪人喔。 天線寶寶說再見啦~ ... 天線寶寶說再見啦~ 迪西:「再見~ 再見~」 『 Otaku Culture Party 』 關心您 ... ![]() |
|
![]() |
送花文章: 37855,
![]() |
![]() |
#5 (permalink) |
管理員
![]() ![]() |
![]() 那個我只是大概聽他表述 ... 詳情不懂
想起來了 ... 別台電腦 我電腦裡的是 NTDETECT.COM 46.4 KB (47,564 位元組) 有關,我以我手上的 ntdelect 病毒樣本 它會在登錄檔的 [HKEY_CURRENT_USER\Software\Microsoft\Windows] 中的三處留下紀錄 1.在 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2] 中 留下機碼 {e03cdb20-5ed2-11dc-b770-00c1260a8394} 可能是孳生源。 2.在 [HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache] 中 留下字串值 "X:\\ntdelect.com"="kava" 之類,表示病毒感染的進入點。 3.在 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] 中 留下字串值 "kava"="C:\\Windows\System32\kavo.exe" 可能是開機宰入的其中一種的點 然後它的 autorun.inf 內容如下: [AutoRun] open=ntdelect.com ;shell\open=Open(&O) shell\open\Command=ntdelect.com shell\open\Default=1 ;shell\explore=Manager(&X) shell\explore\Command=ntdelect.com 這是我第一次看到如此複雜的 重新寫一個批次檔可以粗略的刪除登錄檔中的 ntdelect 病毒紀錄,如下 語法:
@echo off cls echo "kavo & ntdelect" 病毒移除器 echo ---------------------------- echo. pause echo. echo. echo 產生清除 "kavo & ntdelect" 病毒所寫入登錄的機碼 echo ----------------------------------------------- echo. echo. echo Windows Registry Editor Version 5.00 >>del_kavo.reg echo. >>del_kavo.reg echo [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_TRLMNCZQ] >>del_kavo.reg echo. >>del_kavo.reg echo [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] >>del_kavo.reg echo "CheckedValue"=dword:00000001 >>del_kavo.reg echo. >>del_kavo.reg echo 執行清除 "kavo & ntdelect" 病毒所寫入登錄的機碼 echo ----------------------------------------------- echo. echo. regedit /s del_kavo.reg del /f /q del_kavo.reg reg.exe delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /v "kava" /f >nul 2>nul echo 移除潛藏於系統,可能的病毒檔 echo ---------------------------- del /f /q /a:- %windir%\Prefetch\ntdelect.co* del /f /q /a:- %windir%\system32\fly32.dll del /f /q /a:- %windir%\system32\poor32.dll del /f /q /a:- %windir%\system32\kavo*.* del /f /q /a:- %windir%\system32\kav0*.* del /f /q /a:- %windir%\system32\kav1*.* del /f /q /a:- %windir%\system32\wincab.sys echo. echo. echo 移除潛藏於各磁碟代號中的病毒引導啟動檔 "autorun.inf" 及病毒檔 echo ------------------------------------------------------------- for %%V in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) DO del /f /q /a:- %%V:\autorun.inf for %%V in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) DO del /f /q /a:- %%V:\ntdelect.com echo. echo. echo 作業完成 echo. echo. pause 註:已將修復 檔案總管 的隱藏檔的檢視功能加入至我編寫的批次檔中。 此帖於 2007-09-15 03:19 AM 被 getter 編輯. 原因: 批次檔補充 |
![]() |
送花文章: 37855,
![]() |
![]() ![]() |
|
|
![]() |
||||
主題 | 主題作者 | 討論區 | 回覆 | 最後發表 |
請問如何在xp完dos game | dia700911 | 軟體應用問題討論區 | 4 | 2004-05-22 03:03 PM |