求助 - 唉唉!!!wincab.sys中毒

我二.三天中了wincab.sys
有用avast掃描...把它刪掉或移隔組 之後重開機又會跑出來....
就關機 休息 過一天上電腦每次開機都是 會它跑出來...
試過了方法....但無法刪...怎麼解決...
謝謝
看看 wincab.sys 中毒的圖片
-------------------------------------------------------------------------------
Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 下午 03:38:16, on 2007/9/9
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Inventec\Dreye\DreyeMT\msnplugin.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\Virtual CD v9\System\VC9Play.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe
C:\Program Files\FlashGet\flashget.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\ATnotes\ATnotes.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Virtual CD v9\System\VC9SecS.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\svchost.exe
D:\others\Downloads\HiJackThis_v2.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: flashget urlcatch - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\Program Files\FlashGet\jccatch.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O3 - Toolbar: ALiBaBar - {0A1375E1-56C2-11D6-8E45-8933A0FB5235} - C:\PROGRA~1\ALiBaBar\ALiBaBar.dll
O3 - Toolbar: Dr.eye WebPage Translation - {92B255FE-94E2-4BCA-958D-3926CE38913F} - C:\Program Files\Inventec\Dreye\DreyeMT\DreyeIEBar.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSNDreyePlugin] C:\Program Files\Inventec\Dreye\DreyeMT\msnplugin.exe /h
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [VC9Player] C:\Program Files\Virtual CD v9\System\VC9Play.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Flashget] C:\Program Files\FlashGet\flashget.exe /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Yahoo! Pager] "C:\PROGRA~1\Yahoo!\MESSEN~1\YAHOOM~1.EXE" -quiet
O4 - HKCU\..\Run: [ATnotes.exe] C:\Program Files\ATnotes\ATnotes.exe
O4 - HKCU\..\Run: [iTudouAutoStart] C:\Program Files\iTudou\iTudou.exe -AutoStart
O4 - HKCU\..\Run: [kava] C:\WINDOWS\system32\kavo.exe
O4 - HKUS\S-1-5-20\..\Run: [ctfmon.exe] ctfmon.exe (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide2] cmd.exe /C rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,L,,4,N (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [ctfmon.exe] ctfmon.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [ctfmon.exe] ctfmon.exe (User 'Default user')
O8 - Extra context menu item: &使用 FlashGet 下載 - C:\Program Files\FlashGet\jc_link.htm
O8 - Extra context menu item: &全部使用 FlashGet 下載 - C:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: 匯出至 Microsoft Excel(&X) - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java 主控台 - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Program Files\FlashGet\FlashGet.exe
O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Program Files\FlashGet\FlashGet.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ZH-TW/.../GAME_UNO1.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab56907.cab
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Virtual CD v9 Management Service (VC9SecS) - H+H Software GmbH - C:\Program Files\Virtual CD v9\System\VC9SecS.exe

--
End of file - 5702 bytes
************************************
照你們文章試做3.4次...有刪除了...但重新開機還是跑出來..
不行哦...

可不可以再重灌電腦嗎....

[getter]

這一隻是新的隨身碟類型 ( autorun.inf 引導 ) 的病毒，
我也是用 AVAST，確定目前無法攔阻
中毒的症狀:
1.出現 wincab.sys 訊息。
2.無法將檔案總管的顯示隱藏檔功能開啟，病毒會將其改回去。
3.無法使用 WinPE 切入救援，當 WinPE 完成開機後，用檔案總管欲進入
中毒的磁碟時，出現異常的錯誤訊息。

解毒方式 1:
1.下載 winCV http://myweb.hinet.net/home1/cview/wincv05.exe
2.安裝 winCV ，使用 winCV 將所有磁碟中的 autorun.inf & ntdelect.com
刪除。注意 ntdelect.com 跟 C:\ 系統檔案 的 ntdetect.com 有一字之差。
3.使用 GOHST 還原先前的備分
4.需要在安全模式中刪檔

[chang5632]

說明：
1.此木馬為USB專門病毒（歸類木馬），舉凡隨身碟、硬碟、記憶卡等都會感染！！！
因為會載入autorun.ini以您身邊最近有插過USB的周邊得都要一一清除！！
只要感染的隨身碟，插到哪裡就感染到哪裡，很可怕！本人至少感染了四台電腦
含公司伺服器。

2.先弄清楚是如何感染的，是下載檔案還，是使用了感染的USB隨身碟？

3.
請千萬別小看此木馬程式，有很多的掃毒軟體是掃不出來的，其實他有相關的程式隱身在系統裡如下C:\WINDOWS\system32\kavo.exe
C:\WINDOWS\system32\kavo.dll
C:\WINDOWS\system32\kav0.dll
C:\WINDOWS\system32\kav1.dll
C:\ntdelect.com（系統裡有個NTDTECT.COM千萬別刪除看清楚！！病毒是 l系統檔是T）
但您也別太高興！因為它把系統全部隱藏起來了
無論您麼改顯示統檔案，一跳出設定他又隱藏了起來了！
著就是此病毒的特色。

～以下為清病毒方法～

1.下載delautorun.rar 執行它（此軟體修改註冊機碼，關閉所有的autorun)
http://sylovanas.myweb.hinet.net/Ant...delautorun.rar
2.網路搜尋下載Hijackthis
使用Hijackthis選取下列項次修復 (數字項次左邊打勾後按Fix Checked）
04項看到kavo或kava就選取他按Fix checked
http://www.merijn.org/files/hijackthis_sfx.exe

3.然後一定要重新開機
開完機後要去修改註冊機碼（regedit)
在開始→執行中，輸入【regedit】，在
HKEY_LOCAL_MACHINE\ SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL下找到Checkedvalue這個檔案
修改這個Checkedvalue的值
把0改為1
(記得動作要快）
4.打開我的電腦-工具-資料夾選項-檢視-顯示所檔案和資料夾（打勾）-隱藏保護的作業系統（不要打勾）
5.先刪除C:\ntdelect.com 還有系統所的磁區都要，如D.E.F....等
然後進入c:\wundows\system32\ 然後搜尋KAVO看看是否有
C:\WINDOWS\system32\kavo.exe
C:\WINDOWS\system32\kavo.dll
C:\WINDOWS\system32\kav0.dll
C:\WINDOWS\system32\kav1.dll
全殺掉。
至此系統應是乾淨的
6.把身邊的所有的USB儲存裝置，都拿來清除
注意看裡頭大概有兩個隱藏檔
autoexe.ini
ntdelect.com
改快把它殺了，千萬別執行它，因為就是此2檔自動執行而感染的，

～凡插過必留下病毒～
祝殺毒成功

[猜謎人]

作者: getter

這一隻是新的隨身碟類型 ( autorun.inf 引導 ) 的病毒，
我也是用 AVAST，確定目前無法攔阻
中毒的症狀:
1.出現 wincab.sys 訊息。
2.無法將檔案總管的顯示隱藏檔功能開啟，病毒會將其改回去。
3.無法使用 WinPE 切入救援，當 WinPE 完成開機後，用檔案總管欲進入
中毒的磁碟時，出現異常的錯誤訊息。

解毒方式 1:
1.下載 winCV http://myweb.hinet.net/home1/cview/wincv05.exe
2.安裝 winCV ，使用 winCV 將所有磁碟中的 autorun.inf & ntdelect.com
刪除。注意 ntdelect.com 跟 C:\ 系統檔案 的 ntdetect.com 有一字之差。
3.使用 GOHST 還原先前的備分
4.需要在安全模式中刪檔

我就是誤刪了NTDETECT.COM導致系統全毀！即使有相同的檔拷貝回去也沒有用！
AVAST無用不知哪個才檔的住

[getter]

作者: 猜謎人

我就是誤刪了ntdelect.com導致系統全毀！即使有相同的檔拷貝回去也沒有用！
AVAST無用不知哪個才檔的住

新病毒應該沒有，我有回寄給 AVAST 這一隻病毒然後阿
您應該刪除到 ntdetect.com 而不是 ntdelect.com

系統檔 ntdetect.com
病毒檔 ntdelect.com

中間不一樣，看大寫的檔名差更多

怕殺錯，我有寫一支簡單的 批次檔
---------------------------------------------------
@echo off
del /f /q /a:- %windir%\Prefetch\ntdelect.co*
del /f /q /a:- %windir%\system32\fly32.dll
del /f /q /a:- %windir%\system32\poor32.dll
del /f /q /a:- %windir%\system32\kavo*.*
del /f /q /a:- %windir%\system32\kav0*.*
del /f /q /a:- %windir%\system32\kav1*.*
del /f /q /a:- %windir%\system32\wincab.sys
for %%V in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) DO del /f /q /a:h %%V:\autorun.inf
for %%V in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) DO del /f /q /a:h %%V:\ntdelect.com
---------------------------------------------------

把虛線中的內容複製，貼到記事本中，存成副檔名是 .cmd 或 .bat 執行即可
只能在 安全模式 中使用不然殺了又生.

還要把執行 regedit，收尋跟 ntdelect.com 、kavo.exe 有關的機碼，並刪除
崇開機就差不多了，不過隱藏檔的開放那個就被鎖住了

還好我平時有用 GHOST ...


大家都在趕流行嘛 中標嘛 ...

[猜謎人]

為什麼NTDETECT.COM拷回去也沒用呢

[getter]

作者: 猜謎人

為什麼NTDETECT.COM拷回去也沒用呢

這就不清楚了

我的一個朋友，也發生跟您一樣誤刪的狀況
不過也跟您一樣複製回去，結果他好了 ...

我想會不會是 NTDETECT.COM 也有版本之分
如 SP1 或 SP2 或 HOME 或是 Pro... 等

[猜謎人]

作者: getter

這就不清楚了

我的一個朋友，也發生跟您一樣誤刪的狀況
不過也跟您一樣複製回去，結果他好了 ...

我想會不會是 NTDETECT.COM 也有版本之分
如 SP1 或 SP2 或 HOME 或是 Pro... 等

真的嗎？我是從光碟上複製回去
你朋友是如何複製回去的？
我版本沒錯耶

[getter]

作者: 猜謎人

真的嗎？我是從光碟上複製回去
你朋友是如何複製回去的？
我版本沒錯耶

那個我只是大概聽他表述 ... 詳情不懂

想起來了 ... 別台電腦

我電腦裡的是 NTDETECT.COM 46.4 KB (47,564 位元組)

有關，我以我手上的 ntdelect 病毒樣本

它會在登錄檔的 [HKEY_CURRENT_USER\Software\Microsoft\Windows] 中的三處留下紀錄
1.在 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2] 中
留下機碼 {e03cdb20-5ed2-11dc-b770-00c1260a8394} 可能是孳生源。
2.在 [HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache] 中
留下字串值 "X:\\ntdelect.com"="kava" 之類，表示病毒感染的進入點。
3.在 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] 中
留下字串值 "kava"="C:\\Windows\System32\kavo.exe" 可能是開機宰入的其中一種的點

然後它的 autorun.inf 內容如下:

[AutoRun]
open=ntdelect.com
;shell\open=Open(&O)
shell\open\Command=ntdelect.com
shell\open\Default=1
;shell\explore=Manager(&X)
shell\explore\Command=ntdelect.com

這是我第一次看到如此複雜的


重新寫一個批次檔可以粗略的刪除登錄檔中的 ntdelect 病毒紀錄，如下

@echo off
cls
echo "kavo & ntdelect" 病毒移除器
echo ----------------------------
echo.
pause
echo.
echo.

echo 產生清除 "kavo & ntdelect" 病毒所寫入登錄的機碼
echo -----------------------------------------------
echo.
echo. 

echo Windows Registry Editor Version 5.00 >>del_kavo.reg
echo. >>del_kavo.reg
echo [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_TRLMNCZQ] >>del_kavo.reg
echo. >>del_kavo.reg
echo [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] >>del_kavo.reg
echo "CheckedValue"=dword:00000001 >>del_kavo.reg
echo. >>del_kavo.reg


echo 執行清除 "kavo & ntdelect" 病毒所寫入登錄的機碼
echo -----------------------------------------------
echo.
echo. 

regedit /s del_kavo.reg
del /f /q  del_kavo.reg
reg.exe delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /v "kava" /f >nul 2>nul

echo 移除潛藏於系統，可能的病毒檔
echo ----------------------------

del /f /q /a:- %windir%\Prefetch\ntdelect.co*
del /f /q /a:- %windir%\system32\fly32.dll
del /f /q /a:- %windir%\system32\poor32.dll
del /f /q /a:- %windir%\system32\kavo*.*
del /f /q /a:- %windir%\system32\kav0*.*
del /f /q /a:- %windir%\system32\kav1*.*
del /f /q /a:- %windir%\system32\wincab.sys

echo.
echo. 
echo 移除潛藏於各磁碟代號中的病毒引導啟動檔 "autorun.inf" 及病毒檔
echo -------------------------------------------------------------

for %%V in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) DO del /f /q /a:- %%V:\autorun.inf
for %%V in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) DO del /f /q /a:- %%V:\ntdelect.com

echo.
echo.
echo 作業完成
echo.
echo.

pause

加上 chang5632 大大說貼除來的那個批次檔，可以修復 檔案總管的隱藏檔的檢視功能 ...

註:已將修復 檔案總管 的隱藏檔的檢視功能加入至我編寫的批次檔中。

[猜謎人]

從光碟上複製和別台電腦複製會有所不同嗎？
電腦原本的檔即使開啟隱藏仍然看不見
可是從別處來源的檔案卻無法看不見
可惜我已經重灌
要不然真想了解誤刪除是否有救！
後人可以以之救回
對了
我是多重開機
會不會是這樣才無效

[getter]

這個 ... 不清楚ㄝ，不過他那邊的機器，幾乎不用多重開機的。

我是靠 Ghost，先進安全模是殺檔，在光碟開機恢復她 ...。

我找一找有關kavo 來試試...沒想到一下子解決了..呼...
http://www.ck101.com/forums/redirect...&goto=lastpost 讑壇
-----------------------------------------------------------------------------
game764202
等級: 試用糯米

UID 1423711
精華 0
積分 10
帖子 5
閱讀權限 25
註冊 2007-7-16
狀態 離線 #15 大 中 小
發表於 2007-9-9 23:12 資料 個人空間 短消息 加為好友
我寫了一個可以清除kavo病毒的軟體了

下載網址
http://groups.google.com/group/shuweii/files

kavo_killer.ex

下載的時候改檔名改成 kavo_killer.exe 就可以用了

我本身是做電腦維修的，已經處理了好幾個kavo病毒的客戶
處理到煩了，所以寫了一支可以清kavo病毒的程式
我故意讓自己中kavo病毒，然後想辦法用VB去破解病毒
搞了2個小時，終於完成了，我測試只要一個按鍵 3秒鐘
病毒就可以完全刪除了

[getter]

剛剛測試了一下，可以喔。

1.把檔案 NTDETECT.COM 重新命名，當作誤刪。
2.重新開機，不斷重新啟動。
3.使用 WinPE，光碟開機。
4.放入 WindowsXP 安裝光碟，並複製 i386\NTDETECT.COM 到 C:\。
5.重新開機，恢復正常。

因為，我有 2 台光碟機才能如此做，只有一台的話就，很麻煩 ...


然後有試過用 WinPE 光碟機裡面的 i386\NTDETECT.COM 到 C:\，
竟然也可以喔。建議是當可以正常進系統的話。還是把WindowsXP 安裝光碟
裡的 i386\NTDETECT.COM 複製到 C:\ 中。

多重開機的部份也 OK。我的是 SPFDISK 的多重開機。

註:WinPE 用的是20040801 版。

[猜謎人]

作者: getter

剛剛測試了一下，可以喔。

1.把檔案 NTDETECT.COM 重新命名，當作誤刪。
2.重新開機，不斷重新啟動。
3.使用 WinPE，光碟開機。
4.放入 WindowsXP 安裝光碟，並複製 i386\NTDETECT.COM 到 C:\。
5.重新開機，恢復正常。

因為，我有 2 台光碟機才能如此做，只有一台的話就，很麻煩 ...


然後有試過用 WinPE 光碟機裡面的 i386\NTDETECT.COM 到 C:\，
竟然也可以喔。建議是當可以正常進系統的話。還是把WindowsXP 安裝光碟
裡的 i386\NTDETECT.COM 複製到 C:\ 中。

多重開機的部份也 OK。我的是 SPFDISK 的多重開機。

我太早ghost了
嗚.............

[getter]

作者: 猜謎人

我太早ghost了
嗚.............

還好啦，當我中到這一隻，也是先殺在 ghost。
比用那個殺毒器簡單多了。

我還拿一個硬碟灌系統做中毒分析 + 研究