求助 - 唉唉!!!wincab.sys中毒

[猜謎人]

為什麼NTDETECT.COM拷回去也沒用呢

[getter]

作者: 猜謎人

為什麼NTDETECT.COM拷回去也沒用呢

這就不清楚了

我的一個朋友，也發生跟您一樣誤刪的狀況
不過也跟您一樣複製回去，結果他好了 ...

我想會不會是 NTDETECT.COM 也有版本之分
如 SP1 或 SP2 或 HOME 或是 Pro... 等

[猜謎人]

作者: getter

這就不清楚了

我的一個朋友，也發生跟您一樣誤刪的狀況
不過也跟您一樣複製回去，結果他好了 ...

我想會不會是 NTDETECT.COM 也有版本之分
如 SP1 或 SP2 或 HOME 或是 Pro... 等

真的嗎？我是從光碟上複製回去
你朋友是如何複製回去的？
我版本沒錯耶

[getter]

作者: 猜謎人

真的嗎？我是從光碟上複製回去
你朋友是如何複製回去的？
我版本沒錯耶

那個我只是大概聽他表述 ... 詳情不懂

想起來了 ... 別台電腦

我電腦裡的是 NTDETECT.COM 46.4 KB (47,564 位元組)

有關，我以我手上的 ntdelect 病毒樣本

它會在登錄檔的 [HKEY_CURRENT_USER\Software\Microsoft\Windows] 中的三處留下紀錄
1.在 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2] 中
留下機碼 {e03cdb20-5ed2-11dc-b770-00c1260a8394} 可能是孳生源。
2.在 [HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache] 中
留下字串值 "X:\\ntdelect.com"="kava" 之類，表示病毒感染的進入點。
3.在 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] 中
留下字串值 "kava"="C:\\Windows\System32\kavo.exe" 可能是開機宰入的其中一種的點

然後它的 autorun.inf 內容如下:

[AutoRun]
open=ntdelect.com
;shell\open=Open(&O)
shell\open\Command=ntdelect.com
shell\open\Default=1
;shell\explore=Manager(&X)
shell\explore\Command=ntdelect.com

這是我第一次看到如此複雜的


重新寫一個批次檔可以粗略的刪除登錄檔中的 ntdelect 病毒紀錄，如下

@echo off
cls
echo "kavo & ntdelect" 病毒移除器
echo ----------------------------
echo.
pause
echo.
echo.

echo 產生清除 "kavo & ntdelect" 病毒所寫入登錄的機碼
echo -----------------------------------------------
echo.
echo. 

echo Windows Registry Editor Version 5.00 >>del_kavo.reg
echo. >>del_kavo.reg
echo [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_TRLMNCZQ] >>del_kavo.reg
echo. >>del_kavo.reg
echo [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] >>del_kavo.reg
echo "CheckedValue"=dword:00000001 >>del_kavo.reg
echo. >>del_kavo.reg


echo 執行清除 "kavo & ntdelect" 病毒所寫入登錄的機碼
echo -----------------------------------------------
echo.
echo. 

regedit /s del_kavo.reg
del /f /q  del_kavo.reg
reg.exe delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /v "kava" /f >nul 2>nul

echo 移除潛藏於系統，可能的病毒檔
echo ----------------------------

del /f /q /a:- %windir%\Prefetch\ntdelect.co*
del /f /q /a:- %windir%\system32\fly32.dll
del /f /q /a:- %windir%\system32\poor32.dll
del /f /q /a:- %windir%\system32\kavo*.*
del /f /q /a:- %windir%\system32\kav0*.*
del /f /q /a:- %windir%\system32\kav1*.*
del /f /q /a:- %windir%\system32\wincab.sys

echo.
echo. 
echo 移除潛藏於各磁碟代號中的病毒引導啟動檔 "autorun.inf" 及病毒檔
echo -------------------------------------------------------------

for %%V in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) DO del /f /q /a:- %%V:\autorun.inf
for %%V in (C D E F G H I J K L M N O P Q R S T U V W X Y Z) DO del /f /q /a:- %%V:\ntdelect.com

echo.
echo.
echo 作業完成
echo.
echo.

pause

加上 chang5632 大大說貼除來的那個批次檔，可以修復 檔案總管的隱藏檔的檢視功能 ...

註:已將修復 檔案總管 的隱藏檔的檢視功能加入至我編寫的批次檔中。

[猜謎人]

從光碟上複製和別台電腦複製會有所不同嗎？
電腦原本的檔即使開啟隱藏仍然看不見
可是從別處來源的檔案卻無法看不見
可惜我已經重灌
要不然真想了解誤刪除是否有救！
後人可以以之救回
對了
我是多重開機
會不會是這樣才無效

[getter]

這個 ... 不清楚ㄝ，不過他那邊的機器，幾乎不用多重開機的。

我是靠 Ghost，先進安全模是殺檔，在光碟開機恢復她 ...。

我找一找有關kavo 來試試...沒想到一下子解決了..呼...
http://www.ck101.com/forums/redirect...&goto=lastpost 讑壇
-----------------------------------------------------------------------------
game764202
等級: 試用糯米

UID 1423711
精華 0
積分 10
帖子 5
閱讀權限 25
註冊 2007-7-16
狀態 離線 #15 大 中 小
發表於 2007-9-9 23:12 資料 個人空間 短消息 加為好友
我寫了一個可以清除kavo病毒的軟體了

下載網址
http://groups.google.com/group/shuweii/files

kavo_killer.ex

下載的時候改檔名改成 kavo_killer.exe 就可以用了

我本身是做電腦維修的，已經處理了好幾個kavo病毒的客戶
處理到煩了，所以寫了一支可以清kavo病毒的程式
我故意讓自己中kavo病毒，然後想辦法用VB去破解病毒
搞了2個小時，終於完成了，我測試只要一個按鍵 3秒鐘
病毒就可以完全刪除了