|
2007-09-09, 03:17 PM
|
|
|
|
求助 - 唉唉!!!wincab.sys中毒
我二.三天中了wincab.sys 有用avast掃描...把它刪掉或移隔組 之後重開機又會跑出來.... 就關機 休息 過一天上電腦每次開機都是 會它跑出來... 試過了方法....但無法刪...怎麼解決... 謝謝   看看 wincab.sys 中毒的圖片  ------------------------------------------------------------------------------- Logfile of Trend Micro HijackThis v2.0.0 (BETA) Scan saved at 下午 03:38:16, on 2007/9/9 Platform: Windows XP SP2 (WinNT 5.01.2600) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe C:\Program Files\Alwil Software\Avast4\ashServ.exe C:\WINDOWS\Explorer.EXE C:\Program Files\Inventec\Dreye\DreyeMT\msnplugin.exe C:\Program Files\Common Files\Real\Update_OB\realsched.exe C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe C:\Program Files\Virtual CD v9\System\VC9Play.exe C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe C:\Program Files\FlashGet\flashget.exe C:\WINDOWS\system32\ctfmon.exe C:\Program Files\ATnotes\ATnotes.exe C:\Program Files\Internet Explorer\IEXPLORE.EXE C:\WINDOWS\system32\inetsrv\inetinfo.exe C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe C:\Program Files\Virtual CD v9\System\VC9SecS.exe C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe C:\Program Files\Alwil Software\Avast4\ashWebSv.exe C:\WINDOWS\system32\svchost.exe D:\others\Downloads\HiJackThis_v2.exe O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: flashget urlcatch - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\Program Files\FlashGet\jccatch.dll O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll O3 - Toolbar: ALiBaBar - {0A1375E1-56C2-11D6-8E45-8933A0FB5235} - C:\PROGRA~1\ALiBaBar\ALiBaBar.dll O3 - Toolbar: Dr.eye WebPage Translation - {92B255FE-94E2-4BCA-958D-3926CE38913F} - C:\Program Files\Inventec\Dreye\DreyeMT\DreyeIEBar.dll O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32 O4 - HKLM\..\Run: [MSNDreyePlugin] C:\Program Files\Inventec\Dreye\DreyeMT\msnplugin.exe /h O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe O4 - HKLM\..\Run: [VC9Player] C:\Program Files\Virtual CD v9\System\VC9Play.exe O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe" O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [Flashget] C:\Program Files\FlashGet\flashget.exe /min O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [Yahoo! Pager] "C:\PROGRA~1\Yahoo!\MESSEN~1\YAHOOM~1.EXE" -quiet O4 - HKCU\..\Run: [ATnotes.exe] C:\Program Files\ATnotes\ATnotes.exe O4 - HKCU\..\Run: [iTudouAutoStart] C:\Program Files\iTudou\iTudou.exe -AutoStart O4 - HKCU\..\Run: [kava] C:\WINDOWS\system32\kavo.exe O4 - HKUS\S-1-5-20\..\Run: [ctfmon.exe] ctfmon.exe (User 'NETWORK SERVICE') O4 - HKUS\S-1-5-20\..\RunOnce: [nltide2] cmd.exe /C rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,L,,4,N (User 'NETWORK SERVICE') O4 - HKUS\S-1-5-18\..\Run: [ctfmon.exe] ctfmon.exe (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [ctfmon.exe] ctfmon.exe (User 'Default user') O8 - Extra context menu item: &使用 FlashGet 下載 - C:\Program Files\FlashGet\jc_link.htm O8 - Extra context menu item: &全部使用 FlashGet 下載 - C:\Program Files\FlashGet\jc_all.htm O8 - Extra context menu item: 匯出至 Microsoft Excel(&X) - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll O9 - Extra 'Tools' menuitem: Sun Java 主控台 - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Program Files\FlashGet\FlashGet.exe O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Program Files\FlashGet\FlashGet.exe O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ZH-TW/.../GAME_UNO1.cab O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab56907.cab O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe O23 - Service: Virtual CD v9 Management Service (VC9SecS) - H+H Software GmbH - C:\Program Files\Virtual CD v9\System\VC9SecS.exe -- End of file - 5702 bytes ************************************ 照你們文章試做3.4次...有刪除了...但重新開機還是跑出來.. 不行哦...  可不可以再重灌電腦嗎.... 此帖於 2007-09-10 03:45 PM 被 naccicoco 編輯. |
|
送花文章: 0,
|
|
2007-09-10, 06:36 PM
|
#17 (permalink) | |
|
管理員
 
|
引用:
我不用一個硬碟去做中毒分析，怎麼寫的出殺毒的批次檔 還是以後請中毒者請完整重灌吧。 |
|
|
__________________ 在「專業主討論區」中的問題解決後，要記得按一下  按鈕喔，這是一種禮貌動作。  一樣是在「專業主討論區」中發問，不管問題解決與否，都要回應別人的回答文喔。 不然搞 [斷頭文]，只看不回應，下次被別人列入黑名單就不要怪人喔。 天線寶寶說再見啦~ ... 天線寶寶說再見啦~ 迪西：「再見~ 再見~」 『 Otaku Culture Party 』 關心您 ... 
|
||
|
送花文章: 37855,
|
|
2007-09-11, 11:52 AM
|
#25 (permalink) | |
|
管理員
|
引用:
我是使用 WinPE 20040801 版本，做光碟開機，然後用 WinPE 的檔案總管 複製貼上，從 CD:\i386\ -> C:\NTDETECT.COM 底下 使用 WinPE 的檔案總管連隱藏檔都看的到 ...， 不過ㄚ要是中到這一次的毒的話是會進不了中毒的磁碟 ... 我測試的時候是以系統正常時，假設誤刪 NTDETECT.COM 而非中毒時。 之前不是有版胞貼那個 XPE 嗎? 我想可以測試看看 除了防毒、GHOST 之外也要有一片 WinPE、XPE 的光碟開機的 Windows 系統，可以增加救援力。 NTDETECT.COM 所在 1.在硬碟的 C:\ 下面(照Windows預設值)，應該可以用 DIR C:\ /A 的 CMD 可以看到。 2.Windows的安裝光碟的 I386 資料夾中，如果是同一版(PRO+SP2)會與硬碟中的 檔案大小一致。 3.是 WinPE 光碟，在光碟的 I386 資料夾中，不過 WinPE 的與硬碟中的檔案，有檔案大小若干的不同。 XPE 的架構與 WinPE 不同沒有 I386 資料夾，沒有 NTDETECT.COM 檔案存在，應該是藏起來了， 不過開機速度比 WinPE 快多了。 此帖於 2007-09-11 12:11 PM 被 getter 編輯. |
|
|
|
送花文章: 37855,
|
|
向 getter 送花的會員:
|
|
2007-09-11, 12:14 PM
|
#26 (permalink) | |
|
榮譽會員
 
|
引用:
又學了一招 以後就不怕了 剛剛發現各分割區都有ntdelect被他害慘了 一個一個砍了 再次感謝大大 |
|
|
|
送花文章: 1110,
|
|
2007-09-11, 12:50 PM
|
#27 (permalink) |
|
管理員
|
我現在將 NTDETECT.COM 放上來
有 Windows 原來的、WinPE、XPE 的 NTDETECT.COM 檔案下載 http://www.badongo.com/file/4322823 內容如下 NTDETECT.COM -> Windows 原來的 NTDETECT.COM.win -> Windows 原來的備份 NTDETECT.COM.winpe -> WindPE 的備份 NTDETECT.COM.xpe -> xpe 的備份 僅供開機測試，不保證不會出事。 不管是哪一種病毒，要清除本來就不好處理。 最安全的方式 : 1.將所有的硬碟的分割表刪除。 2.重建所有硬碟 MBR區塊。 3.重新分割。 4.使用破壞式 format。 5.重灌系統或 GHOST。 偷懶的方法一 : 不是 USB 型病毒 1.重建所有硬碟 MBR區塊。 2.使用破壞式 format C: 並重灌系統或 GHOST。 3.選用自己信任的防毒軟體，做完整掃毒。 偷懶的方法二 : 是 USB 型病毒 1.進入安全模式。 2.將所有分割區、磁碟、隨身碟中的 autorun.inf 刪除，可以的話將檢視 autorun.inf 內容，將內容所指的隱藏執行檔一並刪除。 3.使用破壞式 format C: 並重灌系統或 GHOST。 4.選用自己信任的防毒軟體，做完整掃毒。 註:若是第 2 項沒做好，重灌系統或 GHOST 個 N 次也沒用。 固執的方法 : 是 USB 型病毒 1.設法檢視 autorun.inf 內容，將病毒的檔名記下。 2.使用 Google 或 Yahoo 等收尋引擎，找尋相關資訊。 3.以所找來的資訊做解毒動作。 |
|
|
送花文章: 37855,
|
|
向 getter 送花的會員:
|
|
2007-09-12, 01:13 PM
|
#29 (permalink) |
|
註冊會員
|
我用 MicroWorld eScan 隨身版 掃一掃 , 就沒再出現病毒訊息 . 大家參考看看
http://forum.slime.com.tw/thread215633.html |
|
|
送花文章: 185,
|
平板模式
